해커들이 Google 등 대형 서비스의 위조 TLS 인증서를 발급받았습니다
공격자들이 .gh, .sl, .as 국가 코드 최상위 도메인(ccTLD)을 장악하고 권한 DNS 레코드를 바꿔 Google과 여러 서비스의 위조 TLS 인증서를 발급받았습니다. Google은 확인된 인증서를 Chrome에서 차단하고 폐기했으며, 도메인 운영자에게 Certificate Transparency 로그 감시와 CAA 레코드 설정을 권고했습니다.
개발·오픈소스 · 최신기사
개발 도구와 언어, 웹 기술과 오픈소스 프로젝트의 변화를 다룹니다.
X.Org Server와 XWayland에서 취약점 12건 추가 발견
TrendAI Zero Day Initiative가 X.Org Server와 XWayland에서 취약점 12건을 공개했습니다. use-after-free와 버퍼 오버플로 등이 포함됐으며, xorg-server 21.1.25와 xwayland 24.1.14 이전 버전에 영향을 줍니다.
미국 의회에 다시 등장한 사이트 차단 법안 — 이번엔 VPN도 대상입니다
미국 하원의 ACPA 법안은 저작권 침해 혐의를 받는 해외 사이트를 차단하도록 ISP, DNS 사업자뿐 아니라 VPN 사업자에도 요구할 수 있게 합니다. EFF는 사이트 운영자가 법정에서 방어하기 전에 차단 대상이 정해질 수 있고, 합법적인 사이트까지 피해를 볼 수 있다고 우려합니다.
Claude Opus 5.5가 사용자 C: 드라이브를 삭제했습니다
한 개발자가 Claude Code를 권한 확인 없이 실행하던 중 Windows C: 드라이브의 데이터가 삭제됐다고 주장했습니다. Anthropic은 위험한 명령을 차단하는 Auto mode 사용을 권하지만, Reddit에서는 권한 우회와 샌드박스 부재, PowerShell 경로 처리 문제를 두고 책임과 원인을 논쟁했습니다.
AI 에이전트는 언젠가 큰 사고를 냅니다 — 피해를 줄이는 안전장치
AI 에이전트가 메일 발송, 명령 실행, 데이터 변경 같은 작업을 맡으면 잘못된 판단이나 프롬프트 인젝션이 실제 사고로 이어질 수 있습니다. 글은 최소 권한, 의미 있는 승인, 독립 검증과 감사 로그, 피해 한도와 복구 가능성 등 배포 전에 마련할 안전장치 일곱 가지를 정리합니다.
노트북 도둑과 함께 일했던 때
회사의 IT 계약직 직원이 1년 넘게 노트북 30여 대를 빼돌려 되팔았고, 임시 IT 관리자가 재고와 Apple 수리 기록을 대조해 정황을 밝혀냅니다. 회사 기기를 Apple Business Manager와 MDM에 자동 등록하지 않으면 도난 기기가 재판매될 수 있으며, 실제로 여러 나라에서 기기 잠금 알림이 이어졌습니다.
메일 서버의 SPF·DKIM·TLSA·TLS 설정을 점검하는 Go 도구
mailcheck는 Go로 만든 SMTP·DNS·TLS 진단 도구로, 도메인의 메일 수신 설정과 SPF·DKIM·DMARC 정책을 점검합니다. JSON과 Nagios/Icinga 형식으로 결과를 내보내 일일 모니터링에 붙일 수 있습니다.
개발 로그 #24: P2P 스택 강화 — 불안정한 테스트부터 WebSocket 수정까지
Rust 기반 minip2p에서 시간에 의존하던 테스트를 상태 변화 기준으로 바꾸고, 프로토콜 프레이밍을 정리했습니다. Python libp2p에서는 WebSocket 오류 보고와 소켓 누수를 수정하고 WSS 인증서 검증을 강화했으며, .NET 구현 관련 PR도 검토했습니다.
Apple과 해커의 미래
저자는 인터넷에 노출된 Mac mini가 macOS 화면 공유 취약점으로 해킹된 일을 계기로, 에이전트 실행 환경에서 macOS 권한 체계와 보안 업데이트가 겪는 문제를 짚습니다. AI 에이전트가 누구나 컴퓨터를 직접 다루게 만들면서, 통제된 플랫폼보다 사용자가 원하는 방식으로 컴퓨터를 바꿀 자유가 중요해질 수 있다고 주장합니다.
CoreSpeed — 에이전트의 앱·메모리·도구를 한곳에 연결하는 MCP
CoreSpeed는 앱 연결, 메모리, 도구를 Claude Code·Codex·Cursor 같은 MCP 에이전트에 제공하는 서비스입니다. 앱 자격 증명을 에이전트에 직접 넘기지 않고 활동 로그, 예산, 승인 절차를 관리하는 기능을 내세웁니다.
GLM-5.3 공개 — 사후 학습으로 코딩·장기 작업 성능 개선
Z.ai가 공개한 GLM-5.3은 GLM-5.2와 같은 기반 모델을 사용하고 사후 학습으로 성능을 높였습니다. 자체 코딩 벤치마크에서 50% 향상됐으며, 취약점 탐지와 익스플로잇 벤치마크에서도 개선됐습니다. SGLang, vLLM, Transformers 등으로 배포할 수 있습니다.
SSH와 nginx로 직접 운영하는 HTTP 터널
OpenSSH의 원격 포트 포워딩과 nginx를 조합해 로컬 웹 서비스를 공개하는 자체 호스팅 터널을 구현합니다. nginx의 secure_link로 만료 시간이 있는 접근 토큰을 검사하고, 셸 스크립트가 OpenSSH가 할당한 포트와 공유 URL을 찾아 출력합니다.
Caddy — 자동 HTTPS를 지원하는 확장형 멀티플랫폼 웹 서버
Caddy는 HTTP/1.1·2·3를 지원하고 TLS 인증서 발급과 갱신을 자동화하는 Go 기반 서버 플랫폼입니다. Caddyfile과 JSON API로 설정하며, 모듈 구조를 활용해 플러그인과 Go 애플리케이션을 통합합니다.
명령줄에서 쓰기 불편한 Flatpak
Flatpak 앱은 배포판에 상관없이 설치하고 샌드박스에서 실행할 수 있지만, 명령줄에서 쓰려면 긴 앱 ID를 입력하고 파일 접근도 따로 처리해야 합니다. 글은 Windows의 실행 별칭을 참고해 Flatpak에 명령 별칭과 래퍼 스크립트를 추가하자고 제안하며, 댓글은 파일 전달 자동화의 한계와 보안 문제를 지적합니다.
macOS 27에서 Apple Intelligence를 끄고 디스크 공간 되찾기
RemoveMacAI는 macOS 27에서 Apple Intelligence 기능을 끄고 내려받은 모델을 제거하는 오픈소스 도구입니다. 구성 프로파일로 기능 설정과 모델 재다운로드를 막으며, 언제든 변경을 되돌릴 수 있습니다. Hacker News에서는 저장 공간을 돌려받는 효용과 curl | bash 설치 방식의 보안 위험을 두고 논의가 이어졌습니다.
PromptBrake 무료 도구를 AI 어시스턴트와 GitHub CI에 연결했습니다
PromptBrake가 프롬프트 인젝션 테스트 도구와 OWASP LLM 위험 매핑을 AI 어시스턴트, GitHub CI에서 쓰도록 공개했습니다. 웹 도구와 MCP는 테스트 입력과 계획을 준비하고, GitHub Action은 설정한 AI 엔드포인트를 직접 검사합니다.
안드로이드 시스템 수준 광고 차단
안드로이드에서 모든 앱의 광고를 줄이는 DNS 기반 차단 방법 네 가지를 비교합니다. 비루팅 기기는 DNS 서비스·VPN·로컬 VPN 앱을, 루팅 기기는 hosts 파일 수정을 쓸 수 있으며, 각 방법의 보안 위험과 앱 호환성 한계도 설명합니다.
Cloudflare OHTTP 게이트웨이 공개
Cloudflare가 OHTTP Gateway 비공개 베타를 시작합니다. 별도 운영자가 맡는 릴레이와 게이트웨이가 사용자 식별 정보와 요청 내용을 나눠 처리하며, Cloudflare는 게이트웨이를 글로벌 엣지에 배치해 지연과 운영 부담을 줄이는 방식입니다.
C2PA로 시간을 해킹하는 법
C2PA 메타데이터의 서명 제외 범위를 악용하면 파일 전체를 서명 대상에서 빼고도 유효한 서명과 타임스탬프를 만들 수 있습니다. 작성자는 이 허점을 이용해 당첨 번호가 발표되기 전에 찍은 사진처럼 보이는 이미지를 만들었으며, 파일 형식별 허용 제외 범위를 검증기가 강제해야 한다고 제안합니다.
Cloudflare OS — 회사 맥락을 담아 앱과 문서를 만들고 에이전트를 실행하는 Workers 기반 작업 공간
Cloudflare OS는 Cloudflare Workers 위에서 에이전트와 개인별 앱을 실행하는 오픈소스 작업 공간입니다. 사용자가 AI로 만든 앱을 각자 격리된 샌드박스에서 운영하고, Gatekeepers로 외부 서비스 접근과 승인 절차를 관리합니다. 현재 초기 공개 단계이며 Cloudflare는 회사별로 복제·수정해 쓰도록 공개했습니다.