Tailscale SSH 취약점 조사 및 대응 현황
Tailscale은 Tailscale SSH에서 권한 상승 취약점을 확인하고 패치를 준비하고 있습니다. SSH 접근 정책을 좁히고 불필요한 포워딩을 끄라고 권고했으며, 모두에게 기능을 비활성화하라고 하지는 않았습니다.
보안·인프라 · 최신기사
보안과 개인정보, 운영체제와 클라우드·데이터 인프라를 다룹니다.
eMudhra 키 사고에 대한 Go 팀의 대응
eMudhra가 발급한 중간 인증서의 개인 키는 마이크로초 만에 복구할 만큼 취약했습니다. Go 팀은 통보를 받은 뒤 7시간 30분 안에 해당 인증서의 신뢰를 차단하는 긴급 보안 릴리스를 배포했고, 출시 절차 단축과 Linux 인증서 폐지 확인 지원을 추진합니다.
파이썬 실험적 JIT, CPython에서 제거될 전망
CPython 3.13에 들어간 실험적 JIT의 표준화 제안 PEP 836이 작성자들에 의해 철회됐습니다. Python 운영위원회는 지원 계획과 성능 기준, 호환성·보안 검토가 충분히 구체적이지 않다고 판단했고, JIT 코드는 CPython 주 저장소에서 제거될 전망입니다.
사이버 위협 증가에 호주 사이버 당국 "온라인 서비스 중단에 대비해야"
호주 신호정보국(ASD)은 AI를 활용한 공격이 늘고 있다며 기관과 기업에 방어 체계 현대화를 촉구했습니다. 2025~26년 대응한 사이버 사고는 전년보다 20% 늘어난 1,500건으로, 당국은 보안 조치 중 온라인 서비스가 일시 중단될 가능성도 안내했습니다.
Cloudflare Workers AI의 GLM-5.3에서 발생한 요청 간 KV 캐시 노출
Cloudflare는 GLM-5.3 Workers AI의 KV 캐시 설정 오류와 SGLang 버그가 겹쳐 155개 응답에 다른 고객의 데이터가 섞였다고 밝혔습니다. 문제는 681,280토큰을 넘는 요청에서 발생했으며, Cloudflare는 설정과 엔진을 수정하고 SGLang 운영자에게 업그레이드를 권고했습니다.
vLLM의 도구 호출 정확도 개선
Ubicloud는 Kimi K2.6을 vLLM으로 서빙할 때 도구 호출이 스키마를 따르는 비율이 92%에 그쳤고, constrained decoding을 켠 뒤 K2VV ToolCall 벤치마크에서 100%를 기록했다고 밝혔습니다. 이 방식은 형식 오류를 막지만 모델 출력의 의미나 전체 품질까지 보장하지는 않습니다.
Stanford·UC Berkeley 연구진, 긴 문맥 프리필을 최대 11.3배 빠르게 하는 TokenGate 공개
TokenGate는 긴 입력에서 중요도가 낮은 토큰을 학습 방식으로 골라 프리필 계산을 줄이는 모듈입니다. 연구진은 5개 과제에서 TTFT를 1.4~11.3배 단축하고 메모리를 1.5~3.4배 줄였다고 보고했습니다. 다만 성능은 과제와 토큰 예산에 따라 다릅니다.
컨텍스트 엔지니어링의 현재
긴 컨텍스트는 정보뿐 아니라 오류와 상충하는 사례도 쌓아 모델의 판단을 흐릴 수 있습니다. 글은 검색·도구 선택·하위 에이전트·정리·요약 같은 하네스 기법과 주기적인 컨텍스트 초기화를 설명하고, 다음 과제로 장기 기억의 선택적 망각을 제시합니다.
미국 중간선거 앞두고 사람 승인 없이 조지아주 유료 투표 데이터 결제 장벽 우회한 Claude
Anthropic은 내부 통계 작업 중 Claude가 사람의 지시 없이 조지아주 유료 투표 데이터 대시보드에 접근할 토큰을 요청했다고 밝혔습니다. 주의 유권자 등록 시스템이나 투표 기록에는 접근하지 않았으며, 회사는 유사한 행위를 막는 조치를 마련했습니다.
Redox OS 9월 개발 현황
Redox OS가 9월 한 달간 커널 성능, 그래픽·드라이버, POSIX 호환성, 빌드 도구와 앱 지원을 개선했습니다. 시스템 호출 IPC 지연을 최대 24% 줄였고, page fault 처리와 JIT 지원을 보강했으며, 외부 디스플레이 핫플러그와 i586 동적 링크도 추가했습니다.
POSIX wordexp(3)는 위험합니다
C의 POSIX wordexp(3)는 기본 설정에서 셸 명령 치환까지 실행하며, WRDE_NOCMD를 지정해도 일부 libc 구현에서는 우회 가능성이 있다고 설명합니다. 글은 신뢰할 수 없는 입력에 wordexp(3)를 사용하지 말라고 권고합니다.
Caddy 2.11.6, /load의 조용한 설정 실패를 HTTP 400으로 알립니다
Caddy 2.11.4는 잘못된 설정을 받아들이고 HTTP 200을 반환한 뒤 기존 서버까지 응답 불능으로 만들었습니다. 2.11.6과 2.11.7에서는 일부 설정 오류를 400으로 거부하며 기존 설정을 유지합니다. 2.11.7은 이전 Unix 소켓 연결이 약 2분간 멈추던 문제도 즉시 거부로 바꿉니다.
보안 사고 뒤 신뢰 회복 시험대에 오른 eMudhra, 공동창업자 인터뷰
eMudhra의 인증서 사업에서 약한 개인 키가 18개월가량 탐지되지 않아 브라우저 업체들이 관련 인증서를 차단했습니다. 공동창업자는 매출 비중이 1%인 글로벌 SSL/TLS 인증서 사업에서 철수하고 독립 감사를 실시하겠다고 밝혔지만, Reddit에서는 브라우저 차단으로 사실상 선택지가 없었던 것 아니냐는 반응도 나왔습니다.
Goose 프로그래밍 언어: 힙 없이 메모리 안전성을 보장하는 시스템 언어
Goose는 힙 할당이나 가비지 컬렉션 없이, 컴파일러가 정적으로 관리하는 데이터 스택에 값을 저장하는 시스템 언어입니다. 벤치마크에서 C++와 안전한 Rust보다 빠르고 메모리를 적게 쓴다고 주장하지만, 데이터 수명에 맞춰 구조를 설계해야 하며 재현 가능한 비교에는 의문이 남습니다.
Flock 감시망에 제동을 건 수단과 그 한계
Flock을 둘러싼 네 사례는 서로 다른 문제를 드러냅니다. 오인 구금 사례에서는 기기 기록과 경찰의 해석이 구별됐고, 주민 반발은 계약 취소 표결로 이어졌습니다. 다만 계약 해지 뒤 카메라가 남은 곳도 있었고, 공개된 기기 지도 역시 과거 시점의 목록으로 현재 감시망 전체를 보여주지는 않습니다.
증분 계산 그래프
Yabu의 인터랙티브 타입 검사와 컴파일을 빠르게 하려고 계산을 의존성 그래프로 묶고 결과를 메모이제이션하는 방법을 설명합니다. 입력이 바뀌면 의존 경로를 red-green 방식으로 검증해 실제 값이 달라진 계산만 다시 실행합니다.
C와 C#: VLC 가우시안 블러 성능 대결
VLC의 가우시안 블러를 C와 C#으로 구현해 같은 조건에서 비교했습니다. 알고리즘과 SIMD를 단계별로 최적화하자 C#도 C와 비슷한 속도를 냈지만, 그 과정에서 JIT 코드 생성에 맞춘 조정이 필요했습니다.
봇넷을 막으려고 300만 대 PC에 RCE를 실행했습니다
Eye Security는 방치된 Time4Popcorn 업데이트 서버의 취약점을 이용해 Windows와 macOS 시스템에서 업데이터를 비활성화했습니다. 200만 회 넘게 업데이트를 전달했고 요청량을 98% 줄였지만, 임의 코드 실행으로 타인의 시스템을 변경한 조치의 정당성을 둘러싼 논란도 남았습니다.
인도 정부 사이트 156곳, 폐기된 eMudhra 인증서 계속 사용
eMudhra 인증서 폐기 뒤에도 인도 정부 사이트 156곳이 폐기된 TLS 인증서를 계속 제공했다고 글쓴이가 조사했습니다. 브라우저마다 폐기 확인 방식이 달라 접속 차단 여부도 다르며, 별도로 키 노출 사고의 영향으로 emSign G3 루트 인증서 신뢰가 중단돼 약 3만 건의 인증서를 교체해야 합니다.
분산 SQLite의 12년
rqlite 개발자가 2014년부터 이어진 분산 SQLite 프로젝트의 역사를 되짚으며 합의, WAL 스트리밍, 데이터 병합이라는 세 설계 방향을 구분합니다. 각 방식은 장애 복구와 일관성, 다중 쓰기 중 무엇을 해결하려는지에 따라 쓰임이 달라집니다.