Electron 보안 스캐너 ElectroNG, 오픈소스로 공개
Doyensec가 Electron 애플리케이션용 보안 스캐너 ElectroNG와 분석 엔진을 Apache 2.0 라이선스로 공개했습니다. 약 60개 검사 항목과 Electron 취약점 데이터베이스를 제공하지만, 최근 Electron 버전에서는 탐지 누락이나 오탐이 생길 수 있다고 밝혔습니다.
개발·오픈소스 · 최신기사
개발 도구와 언어, 웹 기술과 오픈소스 프로젝트의 변화를 다룹니다.
9비트 AES 키의 사례
MuPDF, Foxit, OpenPDF, iText의 PDF 암호화 구현에서 AES-256 파일 키를 만드는 난수가 예측 가능해 암호 없이 문서를 복호화할 수 있는 취약점이 발견됐습니다. MuPDF는 가능한 키가 512개뿐이었고, Foxit은 생성 시각을 대입해 키를 찾을 수 있었습니다. MuPDF는 수정됐지만 이미 만들어진 PDF는 영향을 받을 수 있습니다.
확장 가능한 벡터 골칫거리
PortSwigger 연구자가 SVG 위생 처리 라이브러리 8종을 시험해 6종의 우회 방법을 공개했습니다. 네임스페이스 혼동, XSLT와 Firefox 응답 헤더, Safari의 GIF 처리로 스크립트를 실행할 수 있었으며 DOMPurify 등 두 라이브러리는 우회되지 않았습니다.
2026년 파이썬 타이핑 설문 결과
1,794명이 참여한 2026년 Python Typing Survey에서 타입 힌트 사용률은 최근 3년간 비슷했지만, 타입 검사기 선택은 빠르게 달라졌습니다. 응답자 65.1%가 서드파티 라이브러리의 타입 정보 부족을 어려움으로 꼽았고, AI 도구와 타입 검사기를 함께 쓰는 사례도 늘었습니다.
Qwen 모델 가중치 안에 32비트 RISC-V CPU를 구현했습니다
Qwenputer는 Qwen 3.5 4B의 Gated DeltaNet 상태를 RAM으로 쓰고, 추가 가중치에 RV32IM CPU를 컴파일한 실험 모델입니다. 산술 벤치마크에서 Python 도구를 쓴 모델과 비슷한 점수를 냈지만 체크포인트가 18.8GB로 커지고 실행도 느립니다.
GitLab 보안 사고: CVE-2026-97229 악용 시도
Alpine Linux는 GitLab의 Ruby 정규식 취약점을 노린 공격이 서버 코드 실행에 성공했는지 배제할 수 없어 인스턴스를 폐기하고 재구축했습니다. 저장소와 패키지, 릴리스 변조 흔적은 찾지 못했으며, 자체 Ruby나 컨테이너 이미지를 쓰는 운영자는 GitLab 버전뿐 아니라 Ruby 패치 적용 여부도 확인해야 합니다.
NVIDIA Nemotron 3.5 Transcribe: 40개 언어를 지원하는 오픈 ASR
NVIDIA가 전사, 화자 구분, 번역, 음성 질의응답을 지원하는 Nemotron 3.5 Transcribe와 학습 데이터 파이프라인 Granary v2를 공개했습니다. 의료 음성 사례에서 미세조정은 화자 분리 테스트 WER을 최선의 프롬프트 기준보다 45.8% 낮췄습니다.
수면 프레임워크: LLM의 지속 학습을 위한 새로운 지식 유지 방식
Google Research가 새 정보를 장기 파라미터에 통합하면서 기존 능력의 망각을 줄이는 LLM 학습 프레임워크를 제안했습니다. 사전 할당한 MoE 메모리 블록을 오프라인에서 갱신하며, 번역·장문 맥락·사실 학습·수학 추론 실험에서 기준 모델보다 나은 결과를 보고했습니다.
Agent SDK
Cursor가 팀별 에이전트를 코드로 정의하고 Cursor 인프라에 배포하는 Agent SDK를 일반 공개했습니다. Git 이벤트에 반응하는 코드 리뷰 에이전트부터 평가와 이벤트 재생을 포함한 업무 자동화까지 지원하며, 자체 인프라에서도 실행할 수 있습니다.
Gemini 4 Carbon: 차세대 프런티어 모델
Google이 코딩과 사이버보안 성능을 높인 Gemini 4 Carbon을 발표했습니다. 벤치마크 점수와 내부 평가 결과를 공개했지만, 초기에는 일부 보안 전문가에게만 제공하고 일반 개발자 공개 시점은 밝히지 않았습니다.
CISA, Node2Shell / HTTP2Shell 취약점 악용 확인
CISA가 Brotli 디코더 취약점 CVE-2026-111497의 실제 악용을 확인하고 KEV 목록에 추가했습니다. 공격자는 조작한 압축 데이터를 보내 메모리 손상, 정보 노출, 서비스 거부 또는 원격 코드 실행을 일으킬 수 있어 패치와 영향 프로세스 재시작이 필요합니다.
eMudhra 인증서 폐기 뒤에도 남은 신뢰의 공백
eMudhra는 취약한 중간 인증기관 8곳의 인증서를 폐기하고 고객 데이터 침해 증거가 없다고 밝혔지만, 키 생성·검증 과정의 상세 원인은 조사 중입니다. 별도로 인도 정부 사이트 조사에서는 다른 RSA 인증서 폐기 뒤에도 구형 인증서를 제공하는 사례가 확인됐고, Apple 개발 도구가 취약 인증서를 신뢰한다는 주장도 제기됐습니다. 서로 다른 인증서 문제와 클라이언트별 대응을 구분해 살펴봅니다.
Apple의 Git은 여전히 손상된 eMudhra 인증서를 신뢰합니다
원문은 eMudhra 인증서 사고가 Apple에 통보된 뒤에도 macOS의 Git, curl, Python 3가 영향을 받은 인증서를 신뢰한다고 주장합니다. 수동 우회 조치도 macOS 27.2 업데이트에서 되돌아갔다며, HTTPS 통신의 가로채기 위험과 점검 방법을 안내합니다.
Moxnox 1.0: Btrfs 위에서 실행되는 NT 계열 POSIX 호환 운영체제
Moxnox 1.0은 NT의 시스템 호출과 저수준 인터페이스를 따르면서 POSIX 프로그램도 실행하도록 만든 취미 운영체제입니다. Btrfs를 루트 파일시스템으로 사용하며 amd64와 aarch64를 지원하고, 자체 빌드도 가능합니다. 다만 보안, 다중 사용자, 일부 POSIX 기능은 아직 빠졌고 Btrfs 지원은 실험적입니다.
Kali Linux 2026.3, 신규 도구 6종과 데스크톱 업데이트 추가
Kali Linux 2026.3이 신규 보안 도구 6종을 추가하고 커널을 7.1.5로 업데이트했습니다. KDE Plasma 6.7 개선과 Docker·Podman 컨테이너 빌드를 지원하는 이미지 제작 스크립트 개편도 포함됐습니다.
Liquid AI, 로컬 에이전트용 17억 매개변수 LFM3-1.7B 공개
Liquid AI가 로컬 에이전트와 도구 호출에 맞춘 17억 매개변수 언어 모델 LFM3-1.7B를 공개했습니다. 4비트 구동 시 메모리 약 1GB, 최대 256K 토큰 문맥을 내세우며, 자체 벤치마크에서는 여러 도구 사용 평가에서 비교 모델을 앞섰지만 복잡한 추론과 에이전트 코딩에는 권장하지 않습니다.
Survival LLM: 내 컴퓨터에서 실행하는 AI 비서와 비상용 자료실
Survival LLM은 인터넷 연결 없이 작동하는 로컬 AI 비서와 자료실입니다. 출처를 표시하며, 비상·의료 안내와 위키백과 등 자료를 검색합니다. 비상 상황 질문 22개를 시험한 결과는 모델별로 14~21개 정답이었고, 전력과 오답 위험은 남습니다.
Alera, 오픈소스 라이브러리 개발서 사람 개입 메시지 112건에서 11건으로 줄여
Alera의 에이전트 공장은 네 차례의 오픈소스 라이브러리 개발에서 사람의 개입 메시지를 112건에서 11건으로 줄였다고 보고합니다. 외부 테스트와 퍼징, 기존 구현과의 성능 비교도 함께 공개했지만, 수치 일부는 에이전트 측 측정이며 네 프로젝트만으로 일반적인 AI 코드 품질을 단정할 수는 없습니다.
Claude Code가 Xbox 360 커널을 역공학해 Series X|S 컨트롤러용 드라이버를 만들었습니다
Xbox 360 커널 17559에서 Microsoft 무선 어댑터를 직접 구동하는 플러그인으로 Series X|S 컨트롤러를 최대 4대까지 연결합니다. 제작자는 Claude Code로 커널과 입력 경로를 분석하고 Linux xone 드라이버를 이식했다고 설명합니다.
4년 만에 지원 범위를 넓힌 Sablier, 요청이 올 때 앱을 시작합니다
Sablier는 요청이 들어올 때 컨테이너나 서비스를 깨우고, 일정 시간 유휴 상태가 되면 중지하거나 자원을 제한하는 오픈소스 도구입니다. Docker 외에도 Kubernetes, Podman, Proxmox LXC, systemd, Nomad, AWS ECS를 지원하며, 프록시 연동과 대기 화면으로 기동 시간을 처리합니다.