sweet-search 2.10.5, Git worktree별 색인으로 변경분만 갱신
sweet-search 2.10.5는 Git worktree마다 main checkout 색인을 복제해 전용 색인을 준비하고, 내용이 달라진 파일만 다시 색인합니다. 준비 중에는 worktree에서만 바뀐 코드가 검색 결과에서 빠질 수 있습니다.
보안·인프라 · 최신기사
보안과 개인정보, 운영체제와 클라우드·데이터 인프라를 다룹니다.
GitHub Actions workflow lockfile 정식 제공, 태그 참조는 고정 커밋으로 실행
GitHub는 2026년 10월 28일 GitHub Actions workflow lockfile을 공개 프리뷰에서 일반 제공으로 전환했습니다. 워크플로에는 읽기 쉬운 태그나 브랜치 참조를 두고 actions.lock에 액션과 전이 의존성의 커밋을 기록해 해당 코드를 실행하며, Dependabot은 등록된 워크플로의 잠금 항목도 같은 PR에서 갱신합니다. 재사용 워크플로 호출과 러너 이미지, 입력값, 시크릿은 잠금 범위에서 제외됩니다.
FastAPI Cloud, FastAPI 앱 호스팅을 일반 제공으로 전환
FastAPI Cloud가 2026년 11월 2일 공개 베타에서 일반 제공으로 전환하며 프로덕션 앱을 배포할 준비가 됐다고 밝혔습니다. 운영팀은 베타 기간 수천 명이 앱 수천 개를 배포하고 남긴 피드백이 안정성 개선에 기여했다고 설명했으며, 배포 흐름은 기존 `fastapi deploy` 명령을 이어갑니다.
OpenAI, Git 호환 백엔드 Pando로 모노레포 개발 전환
OpenAI는 Codex로 병렬 작업이 늘어난 모노레포에 Git 호환 백엔드 Pando를 도입했습니다. 브랜치별 푸시를 독립 처리하고 저장된 packfile을 재사용해, 회사가 밝힌 중앙값 푸시 지연은 전환 뒤 거의 80% 줄었습니다. 브랜치별 순서는 보장하지만 여러 브랜치 전체의 단일 시점 스냅샷은 제공하지 않습니다.
Excelize 2.11.1, 스프레드시트 처리 보안 결함 16건 수정
Excelize 2.11.1은 스프레드시트 파일을 읽고 수식을 계산하는 과정의 보안 수정 16건을 포함합니다. 공개 보안 권고 한 건은 조작된 XLSX의 음수 공유 문자열 인덱스가 일부 대용량 읽기 경로에서 패닉을 일으킬 수 있다고 설명하며, 영향 범위를 2.6.0~2.11.0으로 지정했습니다. 새 버전은 Go 1.26.0 이상이 필요합니다.
환경 변수 사고는 워크스페이스·조직, 악성 패키지는 실행 호스트가 대응 기준
Railway는 복호화된 변수를 특정하지 못해 최대 1.85%의 워크스페이스를 잠재적 영향 범위로 제시하고 폭넓은 교체를 권고했습니다. Trigger.dev는 일부 조직의 환경 변수 무단 접근을 확인해 영향 계정 소유자에게 안내했습니다. LiteLLM은 악성 버전과 배포 시간, 이를 실행한 호스트를 대응 기준으로 삼았습니다.
FreeToken, 일부 GGUF 모델에 이미지 입력 추가
FreeToken은 10월 26일자 v0.2.1에서 일부 GGUF 모델의 이미지 입력을 지원했습니다. 모델 파일과 별도 `mmproj` 비전 파일을 연결해 이미지 요청을 처리하며, 지원 대상은 Qwen3.5/3.6/3.8, Gemma-4, GLM-5.3-Flash, DeepSeek-V4-Flash-Vision-Exp 등으로 한정됩니다. CLI 문서는 이미지 입력을 실험 기능으로 표시합니다.
Strata 실험 브랜치, DeepSeek 에이전트 프롬프트 재사용과 SSD 읽기 감소
Strata 기여자 PhialsBasement는 DeepSeek-V4.1 브랜치에 바뀐 프롬프트 줄만 다시 읽는 KV splice와 프롬프트 단계에서 VRAM·RAM 상주 전문가를 고르는 라우팅을 구현했습니다. 기여자의 RX 9070 XT 시스템에서 OpenCode 세션의 새 프롬프트 부분은 splice만 썼을 때 26초, 두 변경을 함께 썼을 때 5.1초에 처리됐습니다. HIP gfx1201 한 구성에서 나온 측정입니다.
브루노 유르코비치, npm·PyPI 신버전 설치 7일 늦춘 프록시 운영 사례 공개
개발자 브루노 유르코비치가 개인 블로그에서 git-pkgs/proxy를 이용한 회사 운영 경험을 소개했습니다. npm·PyPI 신버전은 게시 후 7일, pub는 3일 대기합니다. 공개한 집계에서는 잠금 파일이 대기 중인 버전을 지정한 다운로드 요청 71건이 거절됐습니다.
Linux 7.4, perf 파이썬 스크립트를 공통 모듈로 전환하고 ARM64 분석 확장
Linux 7.4은 perf의 Python 스크립트를 공통 모듈 기반으로 바꾸고 단독 실행을 지원합니다. 모듈의 데이터 처리와 내보내기 기능을 보강하며, 별도 변경으로 ARM64의 자료형 프로파일링도 확장합니다.
마이크로소프트, Cursor의 Claude Code 변조 확장 SSH 백도어 경로 분석
마이크로소프트는 Cursor 마켓플레이스의 Claude Code 변조 확장이 SSH 공개 키를 심고 별도 키로 역방향 터널을 시도하는 구조를 분석했습니다. 환경변수는 이름만 전송하도록 작성됐으며 Microsoft Visual Studio Marketplace와 npm 배포본은 사고 범위에 포함되지 않았다고 밝혔습니다.
CVE-2026-98432의 MPTCP 리스너 조건과 Go·필터·커널 대응의 차이
Anthropic의 원격 root 실행 시연은 외부에서 닿는 MPTCP 리스너를 조건으로 했지만, Go 보안팀은 커널 결함이 MPTCP 전용이 아니라고 밝혔습니다. Go 기본값 조정과 Red Hat의 IPv4 필터는 노출 경로를 줄이고, 수정 커널은 RCU 독자의 읽기가 끝난 뒤 메모리를 해제해 use-after-free를 고칩니다. 실제 Go 기본값은 빌드 설정에, 수정 커널의 배포 시점은 공급사 패키지에 달려 있습니다.
배치 파일에서만 프로그램이 실패한 이유는 작업 디렉터리였습니다
Explorer에서 더블클릭하면 실행되던 프로그램이 배치 파일에서 오류를 낸 원인은 현재 작업 디렉터리 차이였습니다. 고객은 `pushd`로 프로그램 폴더로 이동해 실행하고 `popd`로 돌아와 문제를 해결했습니다. 실행 파일의 전체 경로를 지정해도 작업 디렉터리는 자동으로 바뀌지 않습니다.
Firezone, 암호화 작업 병렬 처리하는 WireGuard 라이브러리 sanstun 발표
Firezone이 기존 boringtun 포크를 대체할 Rust 기반 WireGuard 라이브러리 sanstun을 발표했습니다. 패킷 상태 처리와 암·복호화를 분리해 암호 작업을 다른 스레드에서 처리하도록 설계했습니다. 공개 수치는 자체 벤치마크이며, 45배 이상 속도 향상은 스레드 간 전달 비용을 제외한 이론적 추정입니다. 저장소는 정식 보안 감사를 받지 않았다고 밝혔습니다.
Cursor 마켓플레이스서 Claude Code 악성 확장 2개 버전 배포
Cursor의 VS Code 확장 마켓플레이스에서 Claude Code 2.1.312와 2.1.313이 악성 버전으로 배포됐습니다. 해당 시간대에 Cursor에서 이 버전을 설치한 macOS·Windows 사용자가 영향 대상이며, 공격자는 SSH 백도어와 재부팅 후 지속성을 시도했습니다. 확장 삭제만으로 잔여 파일과 키가 제거되지 않을 수 있어 Cursor는 침해지표 확인과 기기 정리, 자격증명 교체를 권고했습니다.
cfsolve, 브라우저 프로필을 모사해 Turnstile 토큰과 챌린지 쿠키 반환
Rust 도구 cfsolve가 Turnstile 위젯 토큰과 챌린지 페이지용 cf_clearance 쿠키를 반환하는 기능을 공개했습니다. 헤드리스 브라우저 대신 Safari·Chrome 계열 프로필과 기록된 검사 응답을 사용하며, 쿠키는 프로필과 같은 IP 주소 및 사용자 에이전트로 보내야 합니다. 위젯 토큰은 사이트 측 검증이 필요하고, 쿠키의 효력은 사이트 설정과 세션 행동에 따라 달라집니다.
GCC는 switch문을 비트 검사·점프 테이블·비교 트리로 조합합니다
GCC는 case 값의 밀도와 연속 범위, 실행 경로와 비교 비용을 살펴 switch문을 비트 검사와 점프 테이블, 비교 트리로 나눠 처리합니다. 촘촘한 값은 점프 테이블로 만들고 멀리 떨어진 값은 별도 분기로 두는 식으로 한 문 안에서 방식을 조합할 수 있습니다. 글의 휴리스틱 수치는 분석한 조건에 해당합니다.
Cursor 마켓플레이스의 Claude Code 확장 변조본, SSH 백도어 설치 시도
Cursor는 자사 VS Code 확장 마켓플레이스에서 Windows·macOS용 Anthropic.claude-code 2.1.312와 2.1.313 변조본이 배포된 사고를 공개했습니다. 악성 코드는 기기 정보를 전송하고 SSH 키와 지속 실행 경로를 설치하려 했습니다. 확장을 업데이트하거나 삭제해도 기기에 남은 구성요소가 정리되지는 않아 별도 점검과 복구가 필요합니다.
Żmij, 변환 핵심을 Schubfach에서 yy로 교체
Żmij 개발자 Victor Zverovich는 변환 핵심을 yy 알고리즘으로 바꾸고, 한 번의 곱셈으로 가장 짧은 왕복 가능 십진수를 찾는 원리를 설명했습니다. E4M3 값 192에서는 표 값 절삭에 따른 1 LSB 보정으로 `2e2`를 출력합니다. 연결된 M5 Max 벤치마크에서는 yy보다 Żmij의 측정 시간이 짧았습니다.
PyPI가 Passlib 소유권을 이전하고 포크는 호환성 수정을 이어갑니다
PyPI는 연락이 끊긴 기존 관리자의 Passlib 소유권을 새 관리자에게 이전했습니다. 새 관리자의 포크는 Python 3.13과 bcrypt 호환성 등을 수정해 libpass로 배포되고 있지만, 제안된 설정 API 재설계의 출시 여부는 확인되지 않습니다.