- 1OpenAI 에이전트가 RubyGems를 공격했다는 보고서, 그리고 아직 모르는 것
- 2SMS of Death — 잘못된 WAP Push 한 통으로 Android 전화 프로세스가 죽고 긴급 통화가 끊긴다, 10월 패치
- 3Claude Code가 백그라운드 에이전트 전사를 30초마다 모델에 보낸다 — 상태 줄 다섯 단어에 지출의 16%
- 4Mistral Large 4 가중치 공개 — 1T 파라미터, '수정된 MIT'지만 Model-as-a-Service는 별도 계약
- 5macOS의 git·curl·python3는 아직 eMudhra 인증서를 믿는다 — 통보 11일째, 27.2 업데이트가 수동 조치를 되돌렸다
10월 29일목요일
SMS of Death — 잘못된 WAP Push 한 통으로 Android 전화 프로세스가 죽고 긴급 통화가 끊긴다, 10월 패치
10월 보안 패치를 안 받은 Android 단말은 전화번호만 알면 원격으로 전화 기능을 끊을 수 있고 PoC가 공개돼 있습니다. 업무용 단말 관리와 패치 수준 확인이 급해졌습니다.
Claude Code가 백그라운드 에이전트 전사를 30초마다 모델에 보낸다 — 상태 줄 다섯 단어에 지출의 16%
백그라운드 에이전트를 많이 쓰는 팀은 API 청구서나 구독 한도의 상당 부분이 상태 줄 갱신에 들어가고 있을 수 있습니다. 공식 설정이 없으니 먼저 자기 텔레메트리에서 비율을 확인하는 게 할 일입니다.
Mistral Large 4 가중치 공개 — 1T 파라미터, '수정된 MIT'지만 Model-as-a-Service는 별도 계약
코딩 에이전트용으로 온프레미스에 올릴 수 있는 가장 큰 공개 가중치 모델 중 하나입니다. 다만 '수정된 MIT'는 OSI 의미의 허용적 라이선스가 아니므로, 추론 서비스를 외부에 파는 쪽은 라이선스를 먼저 읽어야 합니다.
10월 28일수요일
macOS의 git·curl·python3는 아직 eMudhra 인증서를 믿는다 — 통보 11일째, 27.2 업데이트가 수동 조치를 되돌렸다
CI의 macOS 러너와 개발자 맥에서 git clone·pull·push와 pip가 가로채기에 열려 있습니다. GitHub 토큰 같은 자격증명도 같은 경로로 샐 수 있습니다. Apple 수정 전까지 업데이트마다 다시 확인해야 합니다.
Octoverse 2026 — 9월 PR의 40% 이상을 에이전트가 열었고, 한국은 공개 푸시 7위
코드 리뷰 부하와 CI 비용이 어디서 늘고 있는지 숫자로 보여 줍니다. 에이전트가 연 PR이 더 많은 파일을 건드리고 더 빨리 머지된다는 통계는 리뷰 정책을 다시 볼 근거입니다.
Tailscale SSH 'Tailworm' — 패치 전 공개된 11건, 포워딩 경로로 루트와 등록 키까지
Tailscale SSH로 서버에 들어가는 팀은 기기 하나가 뚫리면 정책이 허용하는 모든 서버의 루트가 걸립니다. 패치 전에는 포워딩 비활성화와 SSH 접근 정책 축소가 할 일입니다.
10월 27일화요일
Ghostty 1.4 — 스크롤백 압축으로 메모리 70~90% 절감, GTK 4.18 요구로 Ubuntu 24.04 탈락
Ubuntu 24.04에서 패키지로 쓰던 사람은 올릴 수 없고, macOS 사용자는 선택 복사 동작이 바뀝니다. 보안 권고 10건이 한꺼번에 나왔으니 1.3 사용자는 올려야 합니다.
CPython 실험적 JIT, 본선에서 빠진다 — PEP 836 철회, '끌고 갈 여력이 없다'
3.15에서 처음 측정 가능한 이득을 냈던 JIT가 3.16에서 사라집니다. JIT 빌드를 전제로 성능 계획을 잡았다면 다시 잡아야 하고, 자유 스레딩은 이 결정과 무관하게 계속됩니다.
Cloudflare Workers AI, GLM-5.3에서 다른 사용자의 프롬프트가 응답에 섞였다 — KV 캐시 풀이 컨텍스트보다 작았다
SGLang을 분리 prefill/decode로 직접 운영하는 곳은 같은 설정 불일치로 같은 일이 날 수 있습니다. 0.5.22 이상과 KV 풀 크기 점검이 필요합니다. 관리형 추론 API에 긴 컨텍스트를 보내는 쪽에는 '요청 간 격리'가 당연하지 않다는 사례입니다.
10월 26일월요일
GPT-6.1 Terra — 입력 $1·출력 $5, 비전과 컴퓨터 사용에 맞춘 중간급
API 라인업의 중간 칸이 하나 더 생겼습니다. 스크린샷 해석과 브라우저 자동화처럼 반복적이고 양이 많은 작업은 이 가격대가 맞고, 복잡한 추론은 여전히 상위 모델입니다.
Supabase 개인 액세스 토큰에 범위가 생겼다 — 기본값이 바뀌었고 CLI 로그인은 아직
CI와 MCP 서버에 넣어 둔 Supabase 토큰이 대개 전체 계정 권한입니다. 새 토큰으로 바꾸는 데 걸리는 일이 적고, 바꾸지 않으면 토큰 하나가 새면 모든 프로젝트가 같이 넘어갑니다.
10월 25일일요일
10월 24일토요일
10월 23일금요일
10월 22일목요일
eMudhra, 글로벌 SSL/TLS 사업에서 철수 — 사고 5일 만에, '매출의 1%'
'CA가 사라질 수 있다'는 것이 실제가 됐습니다. eMudhra 인증서를 쓰는 곳은 교체 일정을 잡아야 하고, 모든 곳은 CA 교체가 자동화돼 있는지 봐야 합니다.
Cloudflare가 ISMS-P를 받았다 — 범위는 제품 목록이 아니라 '서비스 경계'
외산 SaaS를 도입할 때 보안팀이 'ISMS 있나요'를 묻습니다. Cloudflare는 이제 '있다'인데, 범위를 제품명으로 안 적어서 벤더 심사 때 확인 방법을 알아둬야 합니다.
LiteLLM 1.107.0 침해 — Python이 뜰 때마다 도는 자격증명 탈취기, 공식 파이프라인으로 배포됐다
LiteLLM은 국내에서도 LLM 게이트웨이로 흔합니다. 약 1시간 45분 사이에 설치했다면 그 머신의 모든 자격증명이 나갔다고 봐야 합니다. 삭제로는 안 되고 전부 교체해야 합니다.
10월 21일수요일
DuckDB 2.0 LTS "Cinnamon Teal" — 새 파서가 기본, VARIANT 타입, 비동기 I/O, 그리고 2.0 파일은 1.x가 못 읽는다
DuckDB를 분석 파이프라인에 쓰는 팀이 많습니다. 파일 포맷 비호환이 가장 중요합니다 — 2.0으로 만든 파일을 1.x 소비자에게 넘기면 열리지 않습니다. 미션 크리티컬이면 11월 첫 패치를 기다리라는 게 공식 권고입니다.
Google Cloud 런던 존 하나가 '전원 이벤트'로 8시간 — 영국 은행·우체국·택배가 같이 멈췄다
존 하나가 죽었는데 은행 앱이 멈췄습니다. 멀티 존 설계가 실제로 작동하는지는 장애 때만 알 수 있습니다. 자기 서비스가 '리전 안의 한 존'에 얼마나 묶여 있는지 다시 볼 사례입니다.
PHP 8.x 전 라인 RCE 2건 — CVE가 하루 먼저 새고, 릴리스가 앞당겨졌다
PHP는 국내 웹의 상당 부분입니다. 워드프레스, 그누보드, 라라벨 전부입니다. 벤더 패키지가 나왔으니 올리고, 못 올리면 공식 완화 설정을 지금 넣으세요.
10월 20일화요일
eMudhra 중간 CA 8개의 개인키가 한 바이트였다 — 1초 만에 복구, 브라우저들이 긴급 차단
브라우저는 자동으로 고쳐졌지만 서버·컨테이너·IoT의 신뢰 저장소는 아닙니다. certifi, Node, JVM cacerts, 베이스 이미지를 갱신하지 않으면 이 CA가 서명한 위조 인증서를 2039년까지 믿습니다.
tsrs — Cloudflare와 VoidZero가 TypeScript 컴파일러를 Rust로 포팅, 'TS 7.0보다 최대 8배'
TypeScript 7의 Go 포팅이 '10배'를 가져왔는데, 그 위에 또 8배를 주장하는 프로젝트입니다. 실험 릴리스라 당장 CI에 넣을 건 아니지만, 자기 저장소에서 한 번 돌려 수치를 보는 건 10분이면 됩니다.
10월 19일월요일
10월 17일토요일
OpenCode Console 침해 — 저장해 둔 Anthropic·OpenAI·Google API 키가 새고, 밤사이 청구서가 왔다
AI 제공사 API 키를 서드파티 서비스에 맡기는 팀이 늘었습니다. 키에 지출 한도를 걸어두지 않으면 유출은 곧 청구서입니다. OpenCode Console을 썼다면 키를 돌리세요.
RPKI가 전 세계 라우트의 70%를 보호한다 — 1년에 16%p, 대부분 중국
자기 ASN의 ROA를 안 만든 곳은 이제 소수파입니다. 그리고 ROA를 만들었어도 maxLength를 넓게 잡았으면 반쯤만 보호받는 상태입니다. 둘 다 확인하는 데 10분이면 됩니다.
10월 16일금요일
10월 15일목요일
광고 타겟팅이 스파이웨어 배달 경로가 됐다 — Citizen Lab의 AdFection 보고서
광고 SDK를 넣은 앱, 광고 태그를 붙인 사이트는 모두 이 경로의 통로가 될 수 있습니다. 자기 서비스가 아니라 자기 서비스에 실린 광고가 공격 매체라는 점이 새롭습니다.
Go 1.27 — 읽지 않은 HTTP/1 응답 본문을 Transport가 알아서 비운다, 100회 요청이 710ms에서 150ms로
Go로 HTTP 클라이언트를 쓰는 거의 모든 코드에 해당합니다. 수동 드레인 헬퍼를 둔 팀은 1.27에서 지울 수 있고, 안 둔 팀은 공짜로 빨라집니다.
10월 14일수요일
10월 13일화요일
10월 12일월요일
10월 10일토요일
Bitwarden, 앱스토어 빌드를 상용 라이선스로 — GPL 빌드는 GitHub에 남는다
Bitwarden을 쓰는 개인·팀이 많습니다. 당장 바뀌는 건 없지만 '오픈소스 비밀번호 관리자'라는 전제가 '오픈소스 빌드도 있는 비밀번호 관리자'로 조금 움직였습니다. 셀프호스팅하는 곳은 지켜봐야 합니다.
Telegram Desktop 원클릭 계정 탈취 — 링크 하나로 세션 파일을 빼간다, 조용히 고쳐졌다
Telegram을 업무 연락에 쓰는 팀이 적지 않습니다. 변경 로그에 '렌더링 수정'만 적혀 있어 업데이트를 미룬 사람이 많을 수 있습니다. 7.2.9 이상인지 확인하세요.
10월 9일금요일
Deno 팀이 Cloudflare로 간다 — Deno 런타임은 1년 뒤 개발 종료, Deploy는 6개월 뒤 종료
Deno를 프로덕션에 쓰는 팀은 1년짜리 시계가 시작됐습니다. Deno Deploy는 6개월입니다. JSR 패키지를 올린 사람은 당장 할 일이 없습니다.
Python 3.15 — 지연 import, frozendict, UTF-8 기본, 그리고 JIT가 처음으로 빨라졌다
매년 10월의 Python 릴리스입니다. 올해는 UTF-8 기본화가 Windows에서 돌던 코드에, 지연 import가 CLI 도구 시작 시간에 직접 영향을 줍니다.
10월 7일수요일
10월 6일화요일
10월 5일월요일
10월 3일토요일
Apple, macOS 전체 디스크 접근을 더 어렵게 만든다 — AI 에이전트를 명시
백업·동기화·보안 도구, 그리고 로컬 파일을 읽는 AI 에이전트를 만드는 팀은 설치 흐름을 다시 봐야 합니다. 지금 FDA에 기대는 기능은 사용자 이탈 지점이 됩니다.
Zig 0.17 — @bitCast 의미 변경, @cImport 제거, 빌드 시스템 분리
Zig를 직접 쓰는 국내 팀은 적지만 Bun·TigerBeetle·Ghostty를 소스에서 빌드하는 CI는 Zig 버전에 묶입니다. @bitCast 변경은 조용히 틀리는 종류라 특히 봐야 합니다.
10월 2일금요일
Git 3.0이 SHA-256을 기본으로 — GitHub 공동창업자 "비용이 큰 실수"
Git 3.0이 나오면 모든 개발자에게 옵니다. 지금은 git init --object-format=sha256으로 미리 겪어볼 수 있고, 자기 도구 체인에서 무엇이 깨지는지 알아두는 게 좋습니다.
Supabase가 Turso를 인수한다 — Postgres 옆에 SQLite를 둔다
Supabase를 쓰는 국내 팀이 많습니다. 당장은 변화가 없지만, "프로젝트마다 Postgres 하나"였던 모델이 "작은 건 SQLite"로 갈라질 수 있다는 방향 신호입니다.
SvelteKit 3 — 설정이 vite.config로, $lib이 #lib으로
브레이킹 체인지가 둘 다 "Svelte만의 방식"을 "표준 방식"으로 바꾸는 쪽입니다. 당장 올릴 필요는 없지만 방향은 분명합니다.
10월 1일목요일
9월 30일수요일
9월 29일화요일
9월 28일월요일
9월 27일일요일
9월 26일토요일
9월 25일금요일
9월 24일목요일
Cloudflare Containers에서 다른 고객의 디스크 조각이 보였다 — 원인은 블록 초기화 설정 하나
8월에 다룬 Workers Spectre 건과 같은 교훈입니다 — 남의 코드와 한 호스트를 쓰는 환경의 격리는 설정 한 줄에 달려 있고, 플랫폼이 계속 지켜야 유지됩니다.
F-Droid 2.0 — Kotlin과 Compose로 다시 쓴 오픈소스 앱스토어
구글의 개발자 검증이 9월부터 강제되기 시작한 시점에, 검증 밖에 있는 가장 큰 배포 경로가 10년 묵은 코드를 벗었습니다. 국내 사용자에게는 CJK 검색 개선이 실질적입니다.
Snapdragon X2 노트북에 Linux가 공식으로 온다 — 업스트림 우선, Ubuntu 인증은 2027년
지금까지 ARM 노트북에서 Linux는 커뮤니티가 리버스 엔지니어링으로 버티는 영역이었습니다. 제조사가 업스트림에 직접 넣겠다고 하면 2027년부터 ARM Linux 개발 머신이 현실적인 선택지가 됩니다.
9월 22일화요일
9월 21일월요일
9월 20일일요일
9월 19일토요일
9월 18일금요일
Android 17 QPR1, AOSP 없이 새 API를 넣었다 — Honeycomb 이후 처음
같은 Android 17인데 Pixel에만 있는 API가 생겼습니다. 국내 제조사 기기가 대부분인 한국 시장에서는 "이 API를 써도 되나"가 석 달간 기기 따라 달라집니다.
명령 한 줄로 localhost를 공개 URL로 — Cloudflare Quick Tunnels
웹훅 테스트나 모바일 기기에서 로컬 서버 확인처럼 "잠깐 밖에서 들어와야 하는" 상황을 ngrok 계정 없이 해결합니다. 다만 데모 이상으로 쓰면 안 되는 이유도 분명합니다.
9월 17일목요일
9월 16일수요일
9월 15일화요일
Java 27 정식 출시 — G1이 모든 환경의 기본 GC가 된다
운영 서버를 Java 27로 올리면 아무 설정 없이 GC와 객체 헤더가 바뀝니다. 메모리 사용량과 지연 특성이 달라지니 올리기 전에 재야 합니다.
RubyGems 메인테이너: "그 봇들은 캐싱 취약점을 알고 있었다"
지난주 보고서에 생태계 안쪽 사람의 확인이 하나 더 붙었습니다. 그래도 "누가"는 여전히 추정입니다 — 패키지 레지스트리 쪽 사람들도 그렇게 말합니다.
Ubuntu 26.10, cp·mv·rm까지 Rust coreutils로 — 전환 완료
리눅스 서버의 가장 기본적인 명령이 전부 다른 구현으로 바뀌었습니다. 스크립트가 GNU 특유의 옵션이나 출력 형식에 기대고 있다면 26.10부터는 확인이 필요합니다.
9월 14일월요일
OpenAI 에이전트가 RubyGems를 공격했다는 보고서, 그리고 아직 모르는 것
패키지 레지스트리는 모든 팀의 공급망입니다. 누가 왜 했는지와 별개로, 그 기간에 RubyGems에 로그인했다면 API 키를 갈아두는 것이 손해 볼 일은 아닙니다.
Rust가 Microsoft 안에서 C++·C#·TypeScript와 같은 급이 됐다
언어 선택은 팀 단위 결정이라 신호가 중요합니다. Windows와 Azure를 대상으로 하는 코드에서 Rust를 고르는 데 필요한 근거가 공식화됐습니다.
Shopify가 React Native를 버리고 Swift·Kotlin으로 돌아간다
"두 플랫폼을 한 코드로"라는 크로스플랫폼의 근거가 에이전트 시대에 그대로 성립하는지, RN을 쓰는 팀은 자기 조건에서 다시 계산해 볼 시점입니다.
Tailwind CSS가 Shopify에 인수됐다 — 라이선스는 MIT 그대로
국내 프론트엔드에서 사실상 표준인 도구의 소유자가 바뀌었습니다. 라이선스는 그대로지만, 개발 방향이 앞으로 Shopify 제품의 필요를 따라갈 가능성은 염두에 둘 일입니다.
Cloudflare Workers, Node.js 호환을 기본으로 켜고 크기 한도를 64MiB로
Workers에서 "이 npm 패키지가 될까"를 걱정하던 이유의 상당 부분이 사라집니다. 다만 성능 수치가 글에 없어 체감은 직접 확인해야 합니다.
8월 20일목요일
Cloudflare Workers에서 Spectre 공격이 실제로 재현됐다
남의 코드와 한 프로세스에서 도는 환경의 격리는 플랫폼이 방어를 계속 덧붙여 유지하는 것이지 구조적으로 보장된 것이 아닙니다.
DDR5 128GB가 3,399달러, 그리고 기다려도 안 내려가는 이유
2027년 생산 물량까지 이미 팔려 있어서, "몇 달 뒤에 싸지면 사겠다"는 계획은 근거가 없습니다.
DuckDB 2.0, 서버 모드와 트리거를 넣는다
가을 이후에는 "분석 때문에 별도 DB 서버를 세운다"는 구성을 유지할 근거가 줄어듭니다.
uBlock Origin을 계속 쓰려면 이제 Firefox뿐
요청을 가로채 걸러내는 방식에 기대는 확장은 이제 Firefox 외에 갈 곳이 없습니다.
270억 파라미터 모델이 맥북에서 돈다
장비 한 대에서 도는 모델과 대형 모델의 차이가 이 정도라면, 외부로 내보낼 수 없는 데이터를 다루는 작업을 로컬로 옮기는 계산이 가능해집니다.
매주 목요일 발행
해외 IT 소식, 매주 다섯 개만.
해외 IT 소식을 매주 다섯 개만 골라 한국어로 정리합니다. 메일로 받아보세요.