환경 변수 사고는 워크스페이스·조직, 악성 패키지는 실행 호스트가 대응 기준
Railway는 복호화된 변수를 특정하지 못해 최대 1.85%의 워크스페이스를 잠재적 영향 범위로 제시하고 폭넓은 교체를 권고했습니다. Trigger.dev는 일부 조직의 환경 변수 무단 접근을 확인해 영향 계정 소유자에게 안내했습니다. LiteLLM은 악성 버전과 배포 시간, 이를 실행한 호스트를 대응 기준으로 삼았습니다.
최신기사
AI, 개발 도구, 오픈소스, 보안과 인프라의 변화와 이용 조건을 설명하는 최신 기사와 해설입니다.
AI 수요에 일부 PCB 납기 최대 30개월, 한 CCL 공급사 주문은 2030년까지
AI 서버 수요가 PCB 생산능력과 소재 공급을 압박하면서 PC 제조사도 기판 확보에 어려움을 겪고 있습니다. 일부 PCB 주문의 납기는 최대 30개월이며, 한 CCL 공급사의 주문 장부는 2030년까지 차 있다고 전해졌습니다. 소비자 제품의 공급과 제조비용에 압력이 생길 수 있지만 실제 소매가격 영향은 제시되지 않았습니다.
Savannah 취약점으로 Bash 저장소 푸시 권한까지 가능했지만 실제 변경은 없었다
Hacktron은 GNU Savannah의 Savane 취약점을 통해 Bash 관리자 계정의 SSH 키 설정에 접근할 수 있었다고 밝혔습니다. 연구진은 키 등록이나 저장소 변경을 하지 않았고, FSF도 내부 조사에서 민감한 데이터·자격 증명 접근이나 소프트웨어 공급망 침해를 확인하지 못했다고 발표했습니다.
Cursor, Claude Code 악성 확장 2개 버전 제거…기기 내 흔적도 정리 권고
Cursor는 자사 VS Code 확장 마켓플레이스에서 macOS·Windows용 Claude Code 2.1.312와 2.1.313의 악성 수정본을 제공했다고 밝혔습니다. 악성 코드는 SSH 키와 재실행 설정을 남길 수 있어 확장 삭제만으로 기기 내 흔적이 없어지지 않습니다. Cursor는 공격자 서버를 오프라인으로 전환하고, 영향을 받은 기기의 키·지속성 파일 제거와 접근 가능했던 자격 증명·세션 교체를 권고했습니다.
AI 가속기 증설, 패키징·기판 공급과 데이터센터 전력이 각각 병목
AI 프로세서용 CoWoS 생산능력과 PCB·CCL 납기가 제조·조달 단계에서 압박받는다는 업계 보도가 나왔습니다. AWS 사례는 랙을 미리 확보해도 데이터센터 전력이 부족하면 가동이 늦어질 수 있음을 보여줍니다. 세 보도는 서로 다른 단계의 제약을 다룹니다.
AI 수요에 PCB 공급 빠듯해져…일부 주문 납기 30개월, CCL 업체 수주 잔고는 2030년까지
Tom's Hardware는 Nikkei Asia가 전한 업계 관계자 발언을 인용해 AI 제품 수요로 PCB와 기판 소재 공급이 빠듯해졌다고 보도했습니다. 일부 PCB 주문은 납기가 최대 30개월이며, CCL 공급업체 한 곳은 수주 잔고가 2030년까지 찼다고 밝혔습니다.
중국 빅테크, 삼성·SK하이닉스와 10년 AI 메모리 공급 계약 추진
알리바바, 바이트댄스, 텐센트가 삼성전자 등 메모리 업체와 최장 10년 공급 계약을 논의 중이라고 보도됐습니다. AI 인프라용 메모리 공급을 장기로 확보하려는 움직임이지만, 계약 성사 여부와 가격·물량 조건은 공개되지 않았습니다.
미국, 헬륨을 핵심 소재로 지정
미국 에너지부가 반도체 생산과 에너지 기술에 쓰이는 헬륨을 핵심 소재로 지정했습니다. 카타르 수출 차질과 러시아의 수출 통제가 공급 위험을 키운 가운데, 미국 생산은 시설 한계와 신규 공장 건설 기간에 막혀 있습니다.
중국 공장에서 RTX 5090 수백 장을 AI 서버용 듀얼 슬롯 GPU로 개조하는 영상 유출
HKEPC가 공개한 영상에는 중국 공장에서 RTX 5090의 GB202 칩과 GDDR7 메모리를 떼어 듀얼 슬롯 블로어 쿨러가 달린 기판에 옮기는 작업이 담겼습니다. 개조 카드는 32GB 메모리를 유지하며, 보도에 따르면 중고 시장에서 8,500~1만 달러에 판매됩니다.
중국서 RTX 5090 대량 AI 개조 공장 포착, Founders Edition도 포함
HKEPC가 공개한 영상에는 RTX 5090을 분해해 AI 서버용 블로워 카드로 개조하는 중국 작업장이 담겼습니다. 개조 제품은 원래의 32GB 메모리를 유지하는 것으로 보이며, 64GB·96GB 개조가 성공했다는 검증 사례는 아직 없습니다.
PyPI의 LiteLLM 1.107.0에 자격 증명 탈취기와 백도어가 삽입됐습니다
PyPI에 배포된 LiteLLM 1.107.0에는 Python 프로세스가 시작될 때 실행되는 자격 증명 탈취기와 원격 코드 실행 백도어가 들어 있었습니다. SafeDep은 공개 저장소에 없는 파일이 비공개 릴리스 파이프라인에서 공격자가 수정한 소스로 빌드됐을 가능성을 중간에서 높은 신뢰도로 판단했습니다. PyPI는 해당 버전을 제거했으며, 1.106.2와 두 릴리스 후보 버전은 깨끗한 것으로 확인됐습니다.
브라질 공항에서 47만 달러 상당의 ZOTAC RTX 5090 두 팔레트 실종
브라질 유통업체 Oderço가 상파울루 과룰류스 국제공항에서 ZOTAC GeForce RTX 5090 두 팔레트를 찾지 못했다고 밝혔습니다. 매입 원가 기준 피해액은 250만 헤알, 약 47만 달러지만 카드 수량과 실종 경위는 확인되지 않았고 절도도 공식 확인되지 않았습니다.
의존성 설치의 신뢰는 어디서 깨지나: 이름, 패키지 매니저, 바이너리
AI가 제안한 패키지 이름이 실제로 존재하는지, 패키지 매니저가 내려받은 파일의 변경을 막는지, 배포된 바이너리가 소스와 일치하는지는 서로 다른 검증 문제입니다. 세 자료를 비교하면 한 단계의 확인만으로는 다음 단계의 위험까지 해결할 수 없으며, 각 경계에서 무엇을 확인하는지가 달라집니다.
대만, AI 칩의 대중국 수출 통제 강화
대만은 미국과 맺은 무역 합의에 따라 AI 서버와 첨단 반도체를 통제 품목에 추가할 계획입니다. 조치가 시행되면 제한 품목을 중국으로 보내는 행위가 대만 외국무역법상 범죄가 되지만, 시행 시점은 아직 정해지지 않았습니다.
Python 바이너리 휠과 공급망 공격
PyPI는 설치 때 소스 배포판보다 미리 컴파일한 바이너리 휠을 우선 사용합니다. 글쓴이는 휠의 바이너리가 함께 올라온 소스 코드와 일치하는지 보장하는 절차가 부족해 악성 코드가 검사망을 피할 수 있다고 지적하고, 의존성을 직접 빌드하자고 제안합니다.
ASML, 2027년과 2028년 생산능력 30%씩 늘려도 수요 못 따라가
ASML은 2027년과 2028년에 생산능력을 각각 30% 늘릴 계획이지만, 수요를 충족하기 어렵다고 밝혔습니다. 고객사들은 2029년과 2030년 납품분까지 주문하고 있으며, ASML은 장비 처리량을 높이고 추가 증산 방안을 찾고 있습니다.
노르웨이 군사훈련 영상과 접근 코드를 저장한 중국산 차량
노르웨이 군 관계자들이 훈련 중 빌린 중국산 차량에 영상이 자동 저장되는 사실을 발견했다고 보도됐습니다. 보도 본문은 정보가 외부로 전송됐는지, 제목에 언급된 접근 코드가 어떻게 저장됐는지는 설명하지 않습니다.
AMD, 2027년 공급 대폭 확대 계획
리사 수 AMD CEO가 AI 수요 증가에 대응해 2027년 칩 공급을 대폭 늘리겠다고 밝혔습니다. 대만과 한국의 제조·메모리 업체를 만나 공급망 확대를 논의하며, 향후 3~5년을 내다보고 첨단 웨이퍼 생산능력을 확보하겠다고 설명했습니다.
Colorful, 중국산 DRAM 탑재 DDR5-6000 CL30 32GB 키트 출시
Colorful이 CXMT 메모리를 탑재한 32GB DDR5-6000 CL30 키트를 중국에서 판매합니다. 가격은 약 596달러로, DDR5 공급 경쟁 확대 기대와 현재 가격이 비싸다는 반응이 함께 나옵니다.
표적 공격을 받았습니다 — Git post-checkout 훅으로 자격 증명 탈취 시도
웹 앱 프로젝트 문의로 위장한 공격자가 Dropbox에 공유한 자료의 .git/hooks 폴더에 악성 post-checkout 훅을 심었습니다. 훅은 Vercel 앱에서 운영체제별 바이너리를 내려받아 실행한 뒤 삭제하도록 구성됐으며, 작성자는 Git 작업 흐름에 섞인 공격을 경계하라고 당부합니다.