블로그
AI에 대한 글 — 작동 방식, 쓸모 있는 순간, 그리고 직접 만들며 배운 것들.
최신 글
원클릭으로 설치되는 Nextcloud 앱에 5주 동안 백도어가 심겼다. 아무도 듣지 못했고, 끄는 것으로는 막히지 않는다CVE-2026-110447은 Collabora의 내장 CODE 앱을 통해 인증 없는 요청 하나로 Nextcloud 서버에서 명령을 실행하게 한다. 수정판은 9월 11일 보안 언급 없이 출시됐고, 로그에 남은 첫 공격은 9월 10일, 권고문 공개는 10월 14일이었다.보안
Cisco 이메일 게이트웨이가 또 root를 넘기고 있다. 이번에는 수정판이 한 달째 놓여 있었다CVE-2026-76519는 조작된 첨부파일이 담긴 메일 한 통으로 Cisco Secure Email Gateway에 root 권한으로 파일을 쓰게 한다. 이미 악용되고 있고, CISA는 연방기관에 10월 17일까지 조치하라고 요구했다. 그리고 노출 여부를 결정하는 버전 번호는 자산 목록이 추적하는 쪽이 아니다.보안
XBOW는 공개된 OpenAI 모델로 구글의 최고액 크롬 보상을 받았다. 그 익스플로잇을 만드는 데 든 돈은 4만 달러다구글의 Chrome Vulnerability Reward Program이, 웹페이지를 불러오기만 해도 윈도우에서 코드를 실행시키는 세 개의 버그 체인에 대해 XBOW에 25만 달러를 지급했다. XBOW는 연구자 한 명과 공개된 OpenAI GPT-5.6 Sol로 움직이는 AI 에이전트가 엿새, 약 4만 달러의 연산 비용으로 이를 만들었다고 말한다. 핵심은 보상금이 아니라 그 비율이다.보안
OpenAI에 침입한 사람은 가중치를 노리지 않았다. 노린 것은 '회의실'이었다는 혐의다미 법무부가 OpenAI 임원 회의실에 녹음 장치를 숨긴 혐의로 이 회사 엔지니어를 기소했다. 지난 1년간 프런티어 연구소 보안 논의는 모델 가중치를 중심으로 돌아갔지만, 실제로 안으로 들어간 것은 마이크였다.보안
Ivanti 제로데이 연쇄, 완전히 패치된 VPN에서 root를 가져갔다. 자사 Integrity Checker는 아무 말도 하지 않았다Ivanti는 10월 13일 CVE-2026-104935를 공개하고 같은 날 수정판을 배포했다. 악용을 찾아낸 Volexity도 같은 날, 최신 빌드로 돌아가던 장비가 세 개의 결함 연쇄로 root까지 장악된 경위를 공개했다. Integrity Checker Tool은 침해를 탐지하지 못했고, 디스크에는 임플란트가 없었으며, 연쇄에 쓰인 권한 상승 결함은 아직 패치되지 않았다.보안
Ledger의 정품 확인은 통과했다. 이식물은 그 확인 대상 칩 바로 옆에 있었다Ledger는 공식 리셀러가 판매한 기기에서 허가되지 않은 하드웨어 이식물을 확인했다. 온체인 조사자들은 300개가 넘는 지갑에서 8,600만~9,300만 달러가 빠져나간 것으로 추정한다. 기기 자체의 정품 확인으로는 이를 잡아낼 수 없었다.보안
멈춘 것은 Ahold Delhaize의 웹사이트만이 아니라 물류센터였다. 프랑스에서는 냉동 진열대가 반대 방향으로 움직였다Ahold Delhaize는 월요일 아침 자사 네트워크의 보안 문제를 공개했다. 그 시점에 이미 Albert Heijn의 여러 물류센터에서 작업이 멈췄고, 미국에서는 직원들이 근무표에 접근할 수 없었다. 같은 주말 프랑스에서는 수백 개 점포의 냉장·냉동 진열대 온도가 원격으로 올라갔다. 서로 무관한 두 사건 모두 고객 데이터베이스를 지나쳐 식품 자체를 겨냥한 모양새다.보안
GhostAction은 더 이상 CI 시크릿에 만족하지 않는다. 이제 Git 이력 전체를 읽는다GitGuardian, Socket, StepSecurity가 이번 주 각각 2025년부터 이어져 온 GitHub Actions 공급망 공격에 관한 조사 결과를 공개했다. 새 버전은 이름이 등록된 CI 시크릿만 가져가지 않고 커밋 이력 전체를 캐낸다. 작년의 교체 지침으로는 더 이상 덮을 수 없는 이유다.보안
첩보용으로 만들어진 iPhone 익스플로이트 체인이 이제 키체인과 암호화폐 지갑을 턴다. Apple은 3월에 고쳤다iVerify가 iOS 익스플로이트 체인 DarkSword의 새 변종을 찾아냈다. 감시가 아니라 키체인 항목과 암호화폐 지갑 데이터를 빼내도록 다시 만들어진 것이다. 이 체인이 쓰는 취약점은 전부 몇 달 전에 수정됐고, 마지막 수정은 iOS 26.3에 담겼다.보안