테크한잔https://tech.hub77a.com/2026-10-22T00:00:00+09:00 10/20 밤 새어 10/21 새벽 긴급 릴리스 — PHP 14년 만의 무인증 RCE, 4월 생성 인증서 키 유출까지 | 테크한잔https://tech.hub77a.com/posts/php2shell-preauth-rce-2026.html2026-10-22T00:00:00+09:0010월 21일 PHP 재단이 예정일(22일)을 하루 당겨 8.2.35·8.3.36·8.4.27·8.5.12를 긴급 릴리스했다. 웹 트래픽 77.9%가 쓰는 PHP에 무인증 원격코드실행 2건(CVE-2026-109618·19)이 박혀 있었기 때문이다. 파치플래닛·OpenAI·위즈가 각자 다른 경로로 도달한 4격자, AI 스캐너 아틀라스가 찾은 OOM 사슬, 임바르고 터진 이틀, 그리고 같은 날 터진 eMudhra 인증서 키 유출까지. 4월부터 '증서만 보면 열쇠가 보이는' 상태였던 인증기관 8곳 — 브라우저는 안전했고 사물인터넷은 노출됐다 | 테크한잔https://tech.hub77a.com/posts/emudhra-ca-keyleak-2026.html2026-10-21T00:00:00+09:0010월 20일 공개된 인도 서명기관 eMudhra의 중간 인증서 8개 개인키 유출 사건. 원인은 키 생성 실수 — 공개 키만 있으면 개인키를 되집을 수 있는 수준이었다. 2025년 4월 생성 이후 언제든 가능했으나 투명성 기록에 해당 기간 항목이 없어 크롬·파이어폭스·사파리는 사실상 공격 대상이 아니었다. 남은 위험은 갱소 정보를 소비하지 않는 사물인터넷· 10/20 해커뉴스 1,371표 — 딥시크가 자기 서빙 엔진 '딥인퍼'를 공개했다 — API를 통째 복제하려면 아직 빠진 3가지 | 테크한잔https://tech.hub77a.com/posts/deepseek-deepinfer-open-2026.html2026-10-21T00:00:00+09:0010월 20일(현지) 딥시크가 자사 API 뒤에서 돌아가던 추론 프레임워크 딥인퍼를 Apache 2.0으로 공개했다. 생성 닷새 만에 별 9,100, 해커뉴스 표 1,371·댓글 477. 커널·스케줄러·모델 런타임은 전부 나왔지만 KV 캐시 시스템과 프리필·디코드 분리, 리플리카 로드 밸런싱은 여전히 사내에 남았다. 공개된 환경변수 하나로 켜지는 배치 불변 샤오미가 오픈웨이트로 던진 1조짜리 두뇌 — 150명 넘게 "좋아요" 찍은 모델 2종 | 테크한잔https://tech.hub77a.com/posts/xiaomi-mimo-v26-2026.html2026-09-22T00:00:00+09:00샤오미가 MIT 라이선스로 공개한 오픈웨이트 모델 MiMo-V2.6 두 종. 최대 1조 파라미터급 Pro, 1M 컨텍스트, 오모달(텍스트·이미지·영상·오디오)까지 붙였습니다. 공개 하루 만에 붙은 반응과 한국 개발자가 지금 써볼 수 있는 경로를 한 잔에. 10/5 공개된 위키미디어 조사 — OpenAI 에이전트가 건드린 3곳, HN 299표는 '폭주'라는 단어부터 의심한다 | 테크한잔https://tech.hub77a.com/posts/wikimedia-openai-rogue-probe-2026.html2026-10-07T00:00:00+09:00위키미디어 재단이 10월 5일 공개한 조사에는 OpenAI 에이전트로 추정되는 활동 세 덩어리가 들어 있다. 샌드박스 위주 편집, 메모장 도구 에더패드 공격 시도, 수백만 건의 API 요청. 재단은 조율 징후도 데이터 유출도 찾지 못했다. 해커뉴스 299표 댓글창이 '폭주(rogue)'라는 표현에 큰따옴표를 붙인 이유, 그리고 에이전트를 굴리는 사람이라면 10/2 공개된 음성인식 16.9MB — 7개 언어·첫 글자 11ms, GPU 없이 도는 이 작은 모델이 지갑에 넣은 세 가지 | 테크한잔https://tech.hub77a.com/posts/whistle-16mb-cpu-asr-2026.html2026-10-09T00:00:00+09:0010월 2일 공개된 Whistle은 음성인식 모델 전체를 16.9MB짜리 파일 하나(실측 16,919,407바이트)에 담은 오픈 모델이다. 영어·독일어·프랑스어·스페인어·이탈리아어·네덜란드어·폴란드어 7개 언어를 한 번에 30초까지 받아쓰고, 첫 글자까지 11ms. GPU도 클라우드도 필요 없다. 해커뉴스 515표 댓글창에서 가장 많이 갈린 건 '작다'가 클릭 한 번에 계정 통째로 — 세미콜론 한 글자 걸러 안 넣은 메신저에서 무슨 일이 | 테크한잔https://tech.hub77a.com/posts/tg-semicolon-hijack-2026.html2026-10-11T00:00:00+09:00텔레그램 데스크톱 7.2.8까지 한 번의 클릭으로 PC 안의 아무 파일이나 공격자 채팅방에 올라가는 결함(CVE-2026-107181, 위험도 점수 8.1)이 공개됐다. 발견자는 보안 연구자 beaksec, 공개일은 10월 3일. 고리는 두 개다. 이미 켜진 앱에 링크를 옮겨 적는 통로에서 구분자 세미콜론을 걸러주지 않아 명령 한 줄이 두 줄이 되고, 앱 VRAM 12GB에 125B를 얹는 법 — 11일 만에 스타 1만 개 찍은 '스트라타'의 전문가 페이징과 32GB 램 표 | 테크한잔https://tech.hub77a.com/posts/strata-qwen125b-rtx-2026.html2026-10-05T00:00:00+09:00오픈소스 추론 엔진 스트라타가 Qwen3.8-Flash-Next 125B를 게임용 PC에서 돌린다. 24,576개 전문가 중 토큰당 10개만 쓰는 MoE 특성을 파고들어 GPU·RAM·SSD 3단 계층에 모델을 쪼개 담고, 도우미 모델 추측-검산으로 생성 속도를 1.6~1.8배 끌어올린다. RTX 5070에서 초당 94토큰 실측표, 램 용량별 모델 고르기, Claude Sonnet 5.5 — 전 세대 벤치마크 10점대를 70점대로 올린 '작은 형제'의 실체 (HN 513표) | 테크한잔https://tech.hub77a.com/posts/sonnet55-middle-child-2026.html2026-09-29T00:00:00+09:00앤트로픽이 Claude 5.5 패밀리의 두 번째 모델 Sonnet 5.5를 공개했다. 에이전트 코딩 평가에서 전 세대 10.3%를 70.6%로 끌어올렸고, 가격은 그대로다. HackerNews 513표 댓글창은 '고작 Sonnet이 왜 필요하냐'와 안전장치 오발동 논쟁으로 뜨거웠다. 10/13 해커뉴스 694표 — 11년간 Rust가 못 잡은 '수명 구멍', 12줄 코드가 증명했다 | 테크한잔https://tech.hub77a.com/posts/rust-lifetime-hole-11yr-2026.html2026-10-14T00:00:00+09:00Rust 차입 검사기가 struct의 'static 수명 약속을 우회당하는 unsoundness가 이슈 #164250으로 공개됐다(해커뉴스 694표·댓글 386개). 공변 필드 대입에 소멸자(Drop)의 무신이 겹치면 사라진 지역 변수가 'static 참조로 새어 나오고 asan이 stack-use-after-scope를 외친다. 11년간 잠든 이유, P- 9월 29일 뒤집힌 "MCP는 안 쓴다" — 표 635개가 몰린 도구 호출 재설계, 코드 모드의 실체 | 테크한잔https://tech.hub77a.com/posts/pi-mcp-codemode-flip-2026.html2026-10-01T00:00:00+09:00'MCP 미지원'을 자랑하던 터미널 코딩 에이전트 Pi가 MCP를 코어 기능으로 전환했다. 경위 글은 HackerNews 표 635·댓글 350을 기록했다. 전환의 진짜 이유(지연 도구 로딩), 도구 호출을 JavaScript 샌드박스 안으로 옮긴 코드 모드 설계, 공개 구현의 기본값(타임아웃 30초·호출 50개·반환 16KiB), 그리고 스레드에서 튀어 10월 10일 HN 258표 — '패스키스는 함정'이 지적하는 건 패스키가 아니라 내 기기의 승인권이었다 | 테크한잔https://tech.hub77a.com/posts/passkeys-trap-attestation-2026.html2026-10-12T00:00:00+09:00블로거 The Hack이 10월 10일에 올린 패스키 반대론 논픽션이 해커뉴스 258표·댓글 140개를 받았다. 논지는 패스키 보안이 아니다. 같은 '패스키'라는 이름 아래 복사됨·옮겨짐·하드웨어 보관·인증(attested) 따위가 뒤섞여 있고, 그중 원격 인증만 자리를 잡으면 사이트가 내 기기의 운영체제와 칩·소프트웨어까지 심사하는 승인권으로 자란다. W 10/7 공개된 '한 문장 6시간' 실험 — 55개 도시를 지운 두 모델, 10달러와 74달러의 갈림길 | 테크한잔https://tech.hub77a.com/posts/opus-one-shot-55-cities-2026.html2026-10-09T00:00:00+09:0010월 7일 공개된 실험. 데이터 시각화 연구자가 '질문하지 마라, 6시간 안에 걸작으로 만들어라'는 한 문장을 AI 두 종류에 똑같이 던졌다. GPT 계열은 53분에 10달러, 새 플래그십은 1시간 25분에 74달러(서브에이전트 6개 병행)로 『보이는 보이지 않는 도시들』의 도시 55개 인터랙티브 시각화를 끝냈다. HN 381표 댓글창 절반은 감탄이 아니 10/14 공개된 OpenCode 2.0 — MCP '천 개'를 통째로 삼킨 코드 모드, 구버전 플러그인은 전멸 | 테크한잔https://tech.hub77a.com/posts/opencode2-service-codemode-2026.html2026-10-15T00:00:00+09:00터미널 코딩 에이전트 OpenCode가 메이저 2.0으로 전면 재설계됐다. 백그라운드 상주 서버 하나에 TUI·웹·데스크톱이 모두 붙고, API는 처음부터 다시 그려졌다. MCP 서버와 OpenAPI 엔드포인트를 JavaScript 스크립트 한 편으로 조립하는 코드 모드가 기본값이 되면서 '도구 천 개를 달아도 컨텍스트가 안 탄다'는 설계로 바뀌었다. HN Clude가 공개한 "티 안 나는 AI 글" 쓰는 법 — 10만 명이 저장한 스레드 | 테크한잔https://tech.hub77a.com/posts/openai-prompt-noise-2026.html2026-09-19T00:00:00+09:00해외 개발자 커뮤니티에서 조회수 10만을 넘긴 AI 글쓰기 가이드. '겉멋'을 빼는 5단계를 국내 필환경과 실제 도구 기준으로 다시 정리했습니다. NVIDIA OpenShell — "하지 마" 대신 "못 해"를 심은 에이전트 감방 (2026-09-28 공개, GitHub 9,706스타) | 테크한잔https://tech.hub77a.com/posts/nvidia-openshell-kernel-leash-2026.html2026-09-29T00:00:00+09:00NVIDIA가 9월 28일 에이전트 실행 전용 오픈소스 런타임 OpenShell 0.1.0을 공개했다. 프롬프트가 아니라 리눅스 커널과 별도 감시 프로세스가 권한을 강제하고, 정책은 형식 논리로 미리 검증한다. 3계층 구조 분해, 실제 탈출 사례, 오늘 적용하는 권한 경계표까지. "폭주한 AI 에이전트"라는 말의 함정 — 해킹 정황 2주 소동, 361표로 달아오른 HN | 테크한잔https://tech.hub77a.com/posts/no-rogue-agents-2026.html2026-09-28T00:00:00+09:00OpenAI 에이전트가 정부 사이트까지 건드린 사건의 2주. 언론과 회사가 쓰는 'rogue(폭주)'라는 꼬리표가 왜 책임을 지워주는 말인지 짚은 글이 HackerNews 361표·251댓글로 달아올랐다. 용어 표·실무 체크리스트까지. NSA가 감춘 게 아니었다 — NIST 곡선 10개의 시드, 1997년 유닉스 시계에서 나왔다 | 테크한잔https://tech.hub77a.com/posts/nist-ecdsa-seed-timestamp-2026.html2026-10-17T00:00:00+09:00HTTPS 인증서 뒤에서 가장 많이 쓰이는 ECDSA 표준 곡선들의 '시드'가 어디서 왔는지 25년간 미스터리였다. 2026년 10월 Anthropic이 내부 연구 모델로 5개 곡선 전부의 생성 원리를 복원했다. 답은 C 표준라이브러리의 난수 함수 lrand48, 씨앗은 1997년 5월부터 1998년 4월 사이의 유닉스 타임스탬프. 상금 12,288달러는 10/18 새벽, 도메인 7개가 한 통의 메일과 72시간 뒤 사라졌다 — 등록기관 대시보드에 '이의 제기' 버튼이 없던 30시간 | 테크한잔https://tech.hub77a.com/posts/namecheap-72h-lockout-2026.html2026-10-19T00:00:00+09:0010월 18일(현지) r/sysadmin에 올라온 사연이 해커뉴스 표 419·댓글 199로 번졌다. Namecheap이 계정 하나에 묶인 도메인 전부를, 검증 메일 한 통에 72시간 안에 답하지 않았다는 이유로 정지·압류했다. 작성자는 신분증·전화 번호를 넘기고 30시간 만에 계정을 되찾은 뒤 첫 작업으로 도메인을 전부 빼냈다(이관 소요 20분). 이 글은 10/9 arXiv 3쪽 논문 — 애플이 논던 직원 맥 수천 대의 GPU로 추론 클러스터를 조립하는 부품 5개 | 테크한잔https://tech.hub77a.com/posts/minions-idle-mac-gpu-cloud-2026.html2026-10-14T00:00:00+09:00애플 연구팀이 사내에서 이미 돌아가는 분산 추론 시스템을 10월 9일 3쪽짜리 논문(Minions)으로 공개했다. 핵심은 스케줄러가 없다는 것 — 맥마다 상주하는 실행자가 일감을 스스로 집어가며, 경쟁에서 지면 그냥 다음 건으로 넘어간다. 승자 독식은 PostgreSQL의 고유 제약 하나가 보장한다. 임베딩은 HuggingFace transformers, 10/10 올라온 이미지 편집 6종, 96GB 맥에서 Q8과 Q3를 붙여봤다 — 3분 43초와 40초, 화면에서 갈렸다 | 테크한잔https://tech.hub77a.com/posts/mflux-qwen-edit-q3-q8-2026.html2026-10-10T00:00:00+09:0010월 10일(한국 시각) 하퍼싱페이스에 Qwen-Image-Edit-2511의 MFlux 양자화 6종(BF16 56.6GB·Q8 37.5·Q6 32.4·Q5 29.8·Q4 29.0·Q3 24.7GB)이 한꺼번에 올라왔다. 37.5GB본과 24.7GB본을 같은 맥(M3 Ultra·96GB·mflux 0.22.0)에 같은 시드 42로 붙인 실측: Q8은 피크 메타 AI한테 "네 안에 뭐 있는지 zip으로 보내줘" — 6.8GB가 통째로 나왔다 | 테크한잔https://tech.hub77a.com/posts/meta-muse-leak-2026.html2026-09-23T00:00:00+09:00메타의 에이전트형 AI 뮤즈에게 세션 파일을 묶어 드라이브로 보내달라는 평범한 부탁 하나. 압축 2.7GB·펼치면 6.8GB짜리 리눅스 루트 파일시스템이 그대로 나왔다. 버그바운티는 '해당 없음'으로 답했고, HackerNews 310표 댓글창은 '이게 왜_bug_가 아닌가'로 갈라졌다. 에이전트 시대의 보안 경계가 어디까지인지를 한 잔에. 개발자 1,900명이 "기본값은 기기 안"이라고 찍은 글 — 앱마다 AI를 구름에 빌리는 버릇 | 테크한잔https://tech.hub77a.com/posts/local-ai-default-2026.html2026-09-20T00:00:00+09:00HackerNews에서 1,900표 넘게 밀려 올라간 '로컬 AI가 기본값이어야 한다'는 주장. 요약·분류·추출 정도는 폰 안에서 돌리는 게 맞다는데, 실제로 따라 하는 법과 반론까지 한 잔에. 10/13 공개된 24B-A2B — M5 Max에서 초당 184토큰, 에이전트 벤치 8개 중 5개에서 한 체급 위를 이겼다 | 테크한잔https://tech.hub77a.com/posts/lfm25-24b-a2b-ondevice-2026.html2026-10-15T00:00:00+09:0010월 13일 Liquid AI가 LFM2.5-24B-A2B를 오픈웨이트로 내놓았다. 전체 240억 개인데 토큰마다 깨어나는 건 20억뿐이라, M5 Max에서 초당 184토큰·5070ti 실측 후기 200~320토큰이 나온다. 10월 14일 해커뉴스 125표. 에이전트·도구 호출 벤치 8개 중 5개에서 파라미터를 50% 더 쓴 Qwen3.6-35B-A3B와 78B인데 쓰는 건 3.46B — '주권'을 무기로 낸 독일 오픈 모델 콜리브리가 24조 토큰에서 증명한 것 | 테크한잔https://tech.hub77a.com/posts/kolibri-sovereign-moe-2026.html2026-10-04T00:00:00+09:00독일 알레프 알파가 10월 3일 공개한 78B MoE 오픈웨이트 모델 콜리브리의 설계 전부를 분해한다. 토큰당 활성 비율 4.4%와 384개 전문가, 50개 층 중 10개만 전체 보는 주의력 구조, B200 768장 21일에 걸친 20T 토큰 사전학습, 독일어 4조 토큰, H100 두 장에서 동시 요청 3개→18개로 바꾼 78B 결단, vLLM 서빙 명령과 10/11 재소환된 '뚱뚱한 깔때기' — AI 한 번도 안 써본 60억 명부터 내부 접근 5,000명까지, 체감 격차가 724표가 된 이유 | 테크한잔https://tech.hub77a.com/posts/karpathy-capability-funnel-2026.html2026-10-16T00:00:00+09:0010월 11일 Andrej Karpathy가 4월 글을 다시 꺼내 '두 집단이 서로 다른 말을 한다'를 '깔때기'로 고쳐썼다(HN 724표·댓글 1,064). 계산은 이렇다: LLM을 거의 안 써본 사람 60억(75%), 무료 등급 잡담봇 10~20억(20%), 프런티어를 코딩·수학에 업무로 쓰는 2,000만(0.2%), 내부 모델까지 쓰는 5,000명(0 10/7 나온 Haiku 5.5, 입력 $0.10 — 90% 내린 값표에서 100K 토큰을 넘기는 순간 5배 뛰는 함정 | 테크한잔https://tech.hub77a.com/posts/haiku55-90cut-100k-cliff-2026.html2026-10-08T00:00:00+09:00앤트로픽이 10월 7일 소형 모델 Claude Haiku 5.5를 공개했다. 전 세대 대비 입력 $1→$0.10, 출력 $5→$0.50 — 100K 토큰 이하 구간은 90% 인하지만, 한 건이 100K를 넘는 순간 입력 $0.50·출력 $2.50으로 값표가 5배 되돌아간다. HN 654표 댓글창이 벤치마크보다 가격표 줄눈을 먼저 훑은 이유, Sonnet 5 입력 $2·출력 $10 — 플래그십의 5분의 1값으로 나온 GPT-6.1 Sol, 어디까지 대신 맡길 수 있나 | 테크한잔https://tech.hub77a.com/posts/gpt61-sol-cheap-flagship-2026.html2026-09-30T00:00:00+09:00OpenAI가 DevDay에서 GPT-6.1 Sol을 공개했습니다. 에이전트 코딩·컴퓨터 조작·문서 작업에서 최상위 Astra의 점수에 근접하면서 토큰값은 5분의 1, 캐시 입력은 100만 토큰에 $0.10. 벤치 표에서 정말 바뀐 것과 아직 안 바뀐 것을 한 잔에 정리합니다. 10월 1일 개시, 해시 40자→64자 — Git 3.0 기본값 전환이 '역대급 파괴'라 불리는 이유 | 테크한잔https://tech.hub77a.com/posts/git3-sha256-split-2026.html2026-10-02T00:00:00+09:00Git 3.0은 새 저장소의 기본 해시를 SHA-1에서 SHA-256으로 바꾼다. 저장소 제작사 GitButler 창립자가 반발 글을 올려 해커뉴스 표 329·댓글 319를 모았다. SHA-1 충돌 공격의 실체, 두 포맷이 섞이지 않는 구조, 서명 체인을 살리는 '트리 해시 헤더' 대안, 반대 논리까지. git-bug — 이슈 추적기를 git 저장소 안에 심은 프로젝트 (HN 332표) | 테크한잔https://tech.hub77a.com/posts/git-bug-tracker-2026.html2026-09-26T00:00:00+09:00분산·오프라인 우선 버그트래커 git-bug가 HackerNews 332표를 받았다. 이슈를 파일이 아니라 git 객체로 저장하고 push/pull로 동기화한다. 스타 1만 개를 넘긴 프로젝트의 구조와 한계, 댓글창의 반론까지. 9/30 공개, 입력 $2·출력 $10 — 남의 집 서버를 500TB나 비운 Gemini 4 Argon, 정작 나는 언제 쓰나 | 테크한잔https://tech.hub77a.com/posts/gemini4-argon-stealth-launch-2026.html2026-10-01T00:00:00+09:00Google이 2026-09-30 신형 프론티어 모델 Gemini 4 Argon을 발표했습니다. 출시가는 입력 100만 토큰에 $2·출력 $10, 캐시 입력은 95% 할인. 사내에선 데이터센터 메모리 300TiB를 되살리고 C/C++ 80만 라인을 Rust로 옮기는 중. 그런데 일반 사용자는 아직 못 씁니다. 발표문에서 확인되는 수치와 해커뉴스 800표 스