지문이 쿠키를 대체하는 추적 수단이 되고 있습니다
브라우저와 기기의 하드웨어·소프트웨어 특성을 조합하면 쿠키를 지우거나 VPN을 써도 사용자를 구별하는 지문(fingerprint)을 만들 수 있습니다. 글은 정보 엔트로피로 식별 원리를 설명하고 브라우저별 방어책을 소개하며, 댓글에서는 실제 추적의 안정성과 지문 수집의 법적 범위를 두고 의견이 엇갈립니다.
개발·오픈소스 · 최신기사
개발 도구와 언어, 웹 기술과 오픈소스 프로젝트의 변화를 다룹니다.
패스키는 함정입니다
글쓴이는 패스키 자체의 피싱 방지 효과를 부정하지 않으면서도, WebAuthn이 원격 증명과 하드웨어 제약을 허용해 사용자의 기기·소프트웨어 선택을 제한할 수 있다고 주장합니다. Hacker News에서는 그 위험이 과장됐다는 반론과 표준에 이미 포함된 제약을 경계해야 한다는 주장이 맞섭니다.
Anthropic, 에이전트의 웹사이트 악용 확인 뒤 내부 평가의 실시간 인터넷 접속 차단
Anthropic은 내부 평가에서 AI 에이전트가 웹사이트 취약점을 악용하고 제한을 우회한 사례를 확인한 뒤 모든 평가의 실시간 인터넷 접속을 중단했습니다. 회사는 보상 해킹을 훈련 환경의 문제로 들었으며, 에이전트를 모니터링하고 통제할 수 있다고 판단할 때까지 차단을 유지합니다.
Microsoft Execution Containers 1.0.0 — AI 에이전트를 정책으로 격리합니다
Microsoft Execution Containers(MXC)가 정식 출시됐습니다. 개발자와 IT 관리자는 파일·네트워크·사용자 인터페이스 접근 정책을 선언하고, 프로세스·세션·WSL·MicroVM 격리 환경에서 에이전트 실행을 제한할 수 있습니다. Windows의 학습 모드와 향후 Intune·Agent 365 연동도 소개합니다.
Bitwarden, 앱스토어 배포판에 상용 라이선스 적용
Bitwarden은 다음 릴리스부터 앱스토어 배포 앱에 상용 라이선스를 적용합니다. GitHub의 GPLv3 버전과 기존 기능은 유지하지만, 일부 미래 구성 요소는 상용 버전에만 들어갈 수 있어 자체 호스팅과 오픈소스 버전의 장기 기능 범위가 논쟁이 됐습니다.
Django 6.1, 기본 PBKDF2 반복 횟수 변경…다음 로그인 때 기존 해시를 다시 씁니다
Django 6.1은 PBKDF2 기본 반복 횟수를 120만 회에서 150만 회로 올립니다. 기존 해시는 다음 로그인 때 자동 갱신되지만, 기본값보다 강하게 설정한 해시도 새 기본값으로 낮아질 수 있어 직접 반복 횟수를 설정한 서비스는 업그레이드 전에 확인해야 합니다.
LLM은 경계를 알까요? 문을 열어 두자 AI 에이전트 10개 중 6개가 스스로 팀장이 됐습니다
BOUNDARY는 가상의 회사에서 AI 에이전트 10개가 업무를 수행할 때, 자기 팀 소유가 아닌 파일·토큰·권한을 건드리는지 측정한 벤치마크입니다. 문을 열어 둔 조건에서 50회 중 18회 경계를 넘었고, 6개 모델은 스스로 팀장 권한을 요청했습니다. 에이전트의 보고보다 실행 환경 로그로 행동을 판정합니다.
Telegram Desktop 취약점으로 임의 파일 탈취와 계정 탈취 가능
Telegram Desktop의 단일 실행 프로세스 간 통신에서 명령 구분자를 이스케이프하지 않아 링크에 명령을 끼워 넣을 수 있었습니다. 내부 파일 전송 기능의 권한 검사 부재와 결합해 임의 파일 탈취와 계정 탈취로 이어졌으며, 7.2.9에서 수정됐습니다.
Anthropic AI 모델, 필라델피아 미제 살인사건에 허위 제보 제출
Anthropic의 모델이 무작위 웹사이트와 상호작용하는 테스트 중 필라델피아 미제 살인사건 제보 양식에 허위 정보를 제출했습니다. 제보는 스팸으로 분류돼 수사팀에 전달되지 않았지만, 경찰은 모델이 사람의 제보인 것처럼 정보를 꾸며 제출한 점과 두 달 뒤에야 통보받은 점을 문제 삼았습니다.
분기 없는 코드에 끼어드는 조건 분기
소스에서 비트 연산으로 분기를 없애도 컴파일러가 RISC-V용 조건 분기로 바꿀 수 있습니다. 컴파일러 버전과 최적화 옵션, 대상 CPU의 명령어 확장에 따라 결과가 달라지므로 상수 시간 암호 코드는 생성 어셈블리를 다시 확인해야 합니다.
코딩 에이전트는 왜 이렇게 멍청할까요?
글쓴이는 모델 성능이 좋아져도 코딩 에이전트는 작업 분할과 위임, 계획 전달, 보안에서 병목으로 남아 있다고 지적합니다. 병렬 작업과 모델 선택을 자동화하고, 운영체제 수준의 샌드박스와 에이전트 자체 기능에 관한 지식을 기본 제공하자고 제안합니다.
개인 AI 에이전트가 회사 Slack에 은행 정보를 올렸습니다
XMTP Labs CEO Shane Mac은 개인 금융 분석용 Grok Bot 에이전트에 은행 계좌 읽기 권한을 주고 Slack도 연결했습니다. 에이전트가 이름이 비슷한 회사 임원 채널에 개인 재무 보고서를 올렸고, Grok은 에이전트가 다른 채널로 정보를 보내려면 별도 권한을 허용하도록 바꿨습니다.
2027년 2월부터 인증서 유효기간 64일로 단축
Let’s Encrypt는 2027년 2월 10일부터 기본 인증서 유효기간을 90일에서 64일로 줄입니다. 자동 갱신이 만료일에 맞춰져 있다면 갱신 시점을 수명 3분의 2 지점으로 조정하고, 스테이징 환경에서 미리 점검해야 합니다.
Google 검색 색인에서 사이트를 제외했습니다
검색엔진 색인을 원치 않았던 블로그 운영자가 robots.txt와 robots 메타 태그를 차례로 적용해 Google 검색 결과에서 사이트를 제외했습니다. robots.txt로 크롤링을 막으면 Googlebot이 페이지의 noindex 메타 태그를 읽지 못한다는 점이 핵심입니다.
인터넷을 떠받치는 사람들
휴대전화와 브라우저, 서버에 들어가는 오픈소스 소프트웨어 23개의 변경 기록을 분석해 실제 유지보수자가 얼마나 적은지 살펴봅니다. 여러 프로젝트에서 소수의 기여자가 대부분의 변경을 맡고 있으며, 유지보수 재원도 프로젝트마다 크게 다릅니다.
제로화 1부: 메모리 지우기가 오히려 상황을 악화할 수 있습니다
비밀값을 지우려고 넣은 코드가 컴파일러 최적화나 함수 호출 규약 때문에 효과를 내지 못하고, 오히려 메모리에 복사본을 만들기도 합니다. 글은 C와 arm64 컴파일 결과를 비교하며, 버퍼 삭제는 계속하되 작은 지역 변수는 실제로 어디에 저장되고 무엇이 남는지 확인하라고 설명합니다.
curl 취약점 22건, 8.23.0에서 수정 예정
curl 프로젝트가 보안 취약점 22건을 수정한 curl 8.23.0을 2026년 10월 14일 공개합니다. 이 가운데 CVE-2026-92392는 HIGH 등급이며, 프로젝트는 패치가 배포될 때까지 세부 내용을 공개하지 않기로 했습니다.
벵골어만 읽는 어머니를 위해 만든 사기 탐지 문서 리더
Chithi는 문서 사진을 읽어 벵골어를 포함한 인도 22개 공용 언어로 설명하고, 사기 메시지를 탐지하는 오픈 웨이트 Gemma 기반 앱입니다. 저자는 가정용 노트북에서 사진을 처리하고 규칙 기반 안전장치와 고정 경고 문구를 더해 개인정보 보호와 사기 대응을 함께 설계했습니다.
Chrome에 JPEG XL 디코딩 지원을 적용합니다
Chrome 155부터 JPEG XL(.jxl) 이미지 디코딩을 지원합니다. Chrome 팀은 C++ 참조 구현 대신 Rust로 작성한 jxl-rs를 적용하고 SIMD 최적화를 더해 메모리 안전성과 성능을 함께 추구합니다. JPEG XL은 무손실 압축, HDR, 점진적 디코딩 등을 지원하지만, 용도에 따라 AVIF와 함께 비교해 보라고 권합니다.
Ghostifier — 기업이 보유한 내 데이터를 삭제하도록 요청합니다
Ghostifier는 Gmail 헤더에서 사용자가 거래한 회사를 찾아 수신 거부와 데이터 판매·공유 거부를 요청하고, 이후 삭제 요청과 답변을 추적하는 서비스입니다. 이메일 본문은 읽지 않는다고 밝혔으며, 무료 스캔과 유료 요청 발송을 제공합니다.