빈 환경에서 부팅 이미지까지: Buck2 기반 빌드 시스템 tine
tine은 Buck2를 바탕으로 RPM·Go·Rust 구성요소와 부팅 가능한 운영체제 이미지를 함께 빌드하는 시스템입니다. 입력을 모두 고정하고 빌드 작업을 격리해 재현성을 확보하며, 캐시와 패키지 관리, SBOM 생성도 지원합니다.
보안·인프라 · 최신기사
보안과 개인정보, 운영체제와 클라우드·데이터 인프라를 다룹니다.
회사가 비용을 내지만, 우리를 믿어야 하는 사람은 직원입니다
익명 제보 SaaS를 만드는 팀이 구매자인 회사와 실제 사용자인 직원 사이의 이해 충돌을 설명합니다. IP 기록, 계정, 이메일 수집 같은 기술 결정이 직원의 신뢰와 제품 성과 지표, 마케팅에 어떤 영향을 주는지 짚습니다.
CVE-2026-91766: PHP 리다이렉트에서 인증 정보 유출, curl은 2018년에 수정한 문제
PHP의 file_get_contents()와 fopen()은 리다이렉트를 따라갈 때 Authorization, Cookie 같은 헤더를 다른 출처에도 보냈습니다. PHP 8.2.34, 8.3.35, 8.4.26, 8.5.11에서 출처의 스킴·호스트·포트를 비교해 인증 헤더를 제거하도록 수정했습니다.
‘충분히 좋은’ AI 시대의 보안 감사
Trail of Bits는 Miden VM 감사를 준비하며 AI 에이전트로 MASM용 개발 도구와 정적 분석기, Lean 모델을 만들었습니다. 이 도구들은 서명 위조로 자금을 탈취할 수 있는 취약점과 테스트가 놓친 버그를 찾았고, 95개의 기계 검증 증명도 만들었습니다.
도난 이메일에서 송금 표적을 찾은 EvilTokens — Microsoft, 관련 사이트·도메인 200여 개 차단
Microsoft가 해킹된 이메일 계정을 분석해 송금 사기 표적을 고르도록 돕는 사이버범죄 플랫폼 EvilTokens를 해체했습니다. 관련 계정은 1만 2,000개 이상이며, 공격자들은 AI로 금융 권한이 있는 사람과 신뢰 관계를 찾아 사칭 메시지를 꾸몄습니다.
AI 하이퍼스케일러, 인프라 투자 정당화하려면 2030년까지 생산성 2.7배 높여야 한다는 분석
Wharton 연구진은 대형 기술 기업의 AI 인프라 투자 약속을 정당화하려면 2030년까지 생산성이 2.7배 올라야 한다고 추산합니다. 데이터센터 투자에 외부 자금과 부채가 늘면서, AI 수요가 기대에 미치지 못할 경우 위험이 기술 기업을 넘어 신용시장으로 확산할 수 있다는 우려도 나옵니다.
해커 집단, FBI 인사 기록 수천 건 탈취 주장
ShinyHunters가 FBI 채용 사이트에서 현직·전직 요원과 지원자의 개인정보를 탈취했다고 주장했습니다. FBI는 침해 주장을 확인하고 조사 중이며, 유출 경로는 아직 밝혀지지 않았습니다.
Flock, 자사 카메라 위치를 담은 상세 지도 삭제 요구
보안 연구자가 Flock의 공개된 인증 토큰을 이용해 기기 위치 정보를 수집하고, 카메라와 보조 장치 약 30만 대를 표시한 지도를 공개했습니다. Flock은 지도가 자사 상표를 무단 사용한다며 삭제를 요구했으며, 이 과정에서 취약점 대응과 데이터 보안 공개를 둘러싼 의문도 제기됐습니다.
해커들이 FBI 요원 전체의 정보를 훔쳤다는 주장에 FBI 수사 착수
해킹 조직 ShinyHunters가 FBI 직원 약 3만 8,000명의 개인정보를 훔쳤다고 주장해 FBI가 조사하고 있습니다. FBI는 자체 시스템이나 외부 업체 시스템이 침해됐는지 확인 중이며, 유출 정보 일부는 진짜로 보인다고 BBC가 보도했습니다.
Flock, 경찰의 차량번호 검색에 사유와 사건번호 요구
차량번호 인식 카메라 업체 Flock Safety가 경찰의 데이터베이스 검색 절차를 바꿉니다. 검색 사유를 표준 항목에서 고르게 하고 연말까지 사건번호 입력도 요구하지만, 긴급 상황에는 면제할 수 있습니다. Reddit 이용자들은 실제 확인과 처벌이 없다면 형식만 바뀔 뿐이라며 법원 영장과 독립 감사를 요구했습니다.
일회용 컴퓨터 164대와 해커톤 심사 — 아무도 물을 시간이 없던 질문
해커톤 출품작 164개의 저장소를 Fly.io Sprites의 일회용 Linux 머신에서 격리 실행해 빌드 여부를 확인한 도구와 결과를 소개합니다. 113개가 빌드에 성공했고, 저자는 점수 대신 객관적인 실행 단계와 실패 상태를 심사자에게 제공하자고 제안합니다.
네덜란드 정부, NixOS 기반 주권형 업무 환경 추진
네덜란드 정부가 운영체제뿐 아니라 오피스 도구, 협업 앱, 클라우드와 관리 도구까지 포함하는 공공기관용 디지털 업무 환경 DAWO를 개발합니다. NixOS의 재현 가능한 구성과 패키지 관리로 기술 의존도를 줄이고, 이미 여러 지방자치단체에서 소규모 시험을 진행하고 있습니다.
빌드 로그의 XSS로 이어진 SourceHut 계정 탈취
SourceHut의 빌드 로그에서 ANSI 출력을 HTML로 바꾸는 ansi2html의 OSC 8 링크 처리에 XSS 취약점이 발견됐습니다. 공격자는 공개 메일링 리스트의 CI 작업 로그에도 악성 입력을 심을 수 있었고, 피해자가 로그를 열면 세션 내 요청을 위조해 계정 권한과 배포 키에 접근할 위험이 있었습니다.
Meta Muse에 파일 시스템을 요청하자 6.8GB가 왔습니다
작성자는 Meta의 AI 비서 Muse에 세션 파일을 보관해 Google Drive로 보내 달라고 요청했고, 압축 해제 기준 6.8GB에 달하는 Linux 런타임 파일을 받았습니다. 내부 문서와 에이전트 기록, SSH 키 파일도 포함됐지만 키의 유효성이나 외부 접근 가능성은 확인하지 못했습니다.
최신 ESP32에서 리눅스 실행 — 라즈베리 파이에 가까워진 주변장치 구성
Espressif ESP32-S31은 기가비트 이더넷과 USB 호스트, 카메라·디스플레이 인터페이스를 갖추고 Sv32 MMU로 Linux를 실행합니다. 다만 PSRAM은 최대 64MB이고 GPU와 DRAM 컨트롤러가 없어, 일반적인 싱글보드 컴퓨터(SBC)라기보다 저전력 마이크로컨트롤러와 SBC 사이에 놓인 칩입니다.
Pick OS는 컴퓨터 역사의 살아 있는 화석입니다
Pick은 1965년 IBM System/360용으로 만들어져 1973년 상용화된 운영체제이자 데이터베이스입니다. 스키마 대신 여러 단계의 구분자로 레코드 구조를 표현하고 별도 사전 파일로 데이터를 설명하는 방식을 소개합니다.
영국에서 갈라진 아이클라우드 암호화 — 같은 아이폰, 다른 보호 수준
영국 정부가 애플에 고급 데이터 보호(ADP) 데이터에 접근할 기술적 능력을 요구했다는 보도 이후, 애플은 영국 신규 이용자의 ADP 가입을 막았습니다. 기존 이용자는 설정을 유지하지만 다른 이용자는 켤 수 없어 같은 영국 이용자 사이에 암호화 수준 차이가 생겼으며, 글은 비밀 기술능력 통지와 암호화 약화의 위험을 짚습니다.
파이썬은 다르게 동작합니다: 코드 안에서 실제로 일어나는 일
파이썬 변수는 값을 담는 상자가 아니라 객체에 붙는 이름이며, 대입은 이름을 객체에 연결합니다. 글은 가변성, 기본 인수, 복사, 참조 카운팅과 순환 참조 수거 등 객체 모델을 코드 예제로 설명합니다.
검열 없는 Qwen 3.8 27B로 EDR을 우회하는 LSASS 덤퍼를 만들었습니다
작성자는 여러 LLM에 LSASS 덤퍼 제작을 요청하고 EDR 탐지 여부를 비교했습니다. 검열 없는 Qwen 3.8 27B가 탐지를 피하도록 실행 파일을 수정했고, 실험실에서 테스트한 EDR 제품 두 종은 이를 탐지하지 못했습니다.
NVIDIA Model Optimizer — 다양한 기법으로 모델을 압축해 추론을 가속하는 라이브러리
NVIDIA Model Optimizer는 양자화, 가지치기, 증류, 희소화, speculative decoding 등으로 딥러닝 모델을 최적화하는 오픈소스 라이브러리입니다. Hugging Face·PyTorch·ONNX 모델을 최적화한 뒤 TensorRT-LLM, vLLM, SGLang 등에서 사용할 체크포인트로 내보냅니다.