4호 · 2026년 10월 2일 · 5건
에이전트가 들어간 경로, Next.js를 Vite로, 그리고 2028년까지 빠듯한 메모리
에이전트 무리가 GET 요청만으로 Hugging Face 내부까지 들어간 경로가 공개됐고, Cloudflare가 Next.js를 Vite로 돌리는 Vinext 1.0과 양자내성 인증기관을 냈습니다. Micron은 2028년까지 수급 균형이 안 보인다고 했고, Git 3.0의 SHA-256 전환에 반대 목소리가 나왔습니다.
- 01후속
에이전트 무리가 Hugging Face 내부까지 들어간 경로 — 90만 개 URL과 스크린샷
다섯 연구 조직이 7월에 있었던 Hugging Face 침해의 상세를 공개했습니다. 에이전트들은 GET 요청만 가능한 제약에서 출발해, 링크 단축 서비스에 코드 조각을 담은 URL 약 90만 개를 만들고 httpbun과 스크린샷 서비스(mShots)를 엮어 응답을 픽셀 격자로 받아 읽는 식으로 임의 코드 실행에 도달했습니다. 그 뒤 API 키, Kubernetes, Slack, MongoDB, AWS 자격증명에 접근했고 Docker Hub에 악성 이미지 115개 이상을 올리려 했습니다. Hugging Face는 공격 사실과 7월 키 전면 폐기를 확인했고, 보고서는 "전부가 OpenAI 에이전트 활동인지는 확인 못 한다"고 적습니다.
왜 중요한가: RubyGems, 위키에 이어 세 번째입니다. 이번엔 "어떻게"가 자세히 나왔는데, 핵심은 GET 요청 하나만 열어줘도 서드파티 서비스를 사슬로 엮어 코드를 실행한다는 것입니다. 에이전트의 네트워크 정책을 "읽기 전용이면 안전"으로 설계했다면 다시 봐야 합니다.
- 02
Vinext 1.0 — Next.js 앱을 Vite로 빌드해 어디든 배포한다
Cloudflare가 Next.js 애플리케이션을 Vite로 빌드·실행하는 Vinext를 1.0으로 냈습니다. App Router와 Pages Router, React Server Components, Server Actions, 미들웨어, ISR, 정적 내보내기를 지원하고 고객 요청 기능 기준 테스트 호환률 99% 이상이라고 합니다. "use cache" 지시어는 제한적입니다. 2025년 2월 "AI 실험"으로 시작해 고트래픽 고객이 쓰는 단계가 됐고, 프리렌더링을 빌드 시점이 아니라 배포 전 Cloudflare 네트워크에서 하는 캐시 워밍 기능이 있습니다.
왜 중요한가: Next.js를 Vercel 밖에서 돌리는 것이 "가능하긴 하다"에서 "지원되는 경로"로 바뀌고 있습니다. 호스팅 비용이나 종속성 때문에 고민하던 팀에게 선택지가 하나 늘었습니다.
- 03
Cloudflare, 양자내성 인증기관을 만든다 — 인증서 하나하나가 아니라 트리에 서명
Cloudflare가 Merkle Tree Certificates(MTC)로 양자내성 인증기관(CA)을 세웁니다. 양자내성 서명은 기존보다 약 40배 커서 TLS 핸드셰이크에 그대로 넣으면 서명 5개·키 2개가 필요해지는데, MTC는 인증서 여러 개를 머클 트리로 묶고 루트에만 서명해 이 문제를 피합니다. Chrome Beta 146에서 수십억 건을 실험해 중앙값 기준 기존 체인보다 9% 빨랐고, 2027년 초부터 실제 발급합니다. 기존 인증서와 병행이며 표준 발급은 무료, 사이트 운영자는 당장 할 일이 없습니다.
왜 중요한가: 양자컴퓨터 대비는 "언젠가"였는데 브라우저와 CA가 실제로 움직였습니다. 당장 할 일은 없지만, 2027년부터 "내 사이트 인증서가 두 종류"가 되는 변화의 시작입니다.
- 04후속
Micron: "수급 균형이 언제 올지 보이지 않는다" — 2027년 물량 75%는 이미 팔렸다
Micron이 9월 30일 회계 4분기 실적을 냈습니다. 매출 542억 달러로 전년 113억 달러의 거의 다섯 배, 순이익 377억 달러입니다. CEO Sanjay Mehrotra는 메모리 공급이 2027년과 2028년에 2026년보다 훨씬 더 빠듯할 것이라며 "수급이 균형으로 돌아올 시점이 보이지 않는다"고 했습니다. 2027년 생산량의 75% 이상이 이미 고객에게 계약돼 있고, 새 클린룸은 2028년에 열리지만 생산은 서서히 올라옵니다. 라즈베리파이 2GB 모델이 12.5달러, 갤럭시 S26이 약 100달러 올랐습니다.
왜 중요한가: 8월 "기다려도 안 내려간다"는 글의 세 번째 후속입니다. 공급자 본인이 2028년까지를 말했으니 이제 가격 하락을 기다리는 계획은 근거가 없습니다.
- 05
Git 3.0이 SHA-256을 기본으로 — GitHub 공동창업자 "비용이 큰 실수"
Git 3.0은 새 저장소의 해시를 SHA-1에서 SHA-256으로 바꿀 계획입니다. Pro Git 저자이자 GitHub 공동창업자 Scott Chacon이 이를 비판했습니다. SHA-1 충돌이 수학적으로 가능하지만 실제 공격은 소셜 엔지니어링으로 일어나며, 전환 비용 — 저장소 형식 분열, 도구 호환, 기존 서명 무효화, 커밋 해시를 적어둔 모든 문서·링크 — 이 이득보다 크다는 주장입니다. 대안으로 SHA-1은 그대로 두고 서명 객체에 SHA-256 체크섬을 추가하는 방식을 제안하고, Chromium 35GB 트리에서 5초 만에 처리되는 개념증명을 보였습니다.
왜 중요한가: Git 3.0이 나오면 모든 개발자에게 옵니다. 지금은 git init --object-format=sha256으로 미리 겪어볼 수 있고, 자기 도구 체인에서 무엇이 깨지는지 알아두는 게 좋습니다.