Posts

한 줄 요약: GPT-Live는 ChatGPT Voice를 더 자연스럽게 만드는 음성 모델 출시가 아니다. 풀 듀플렉스 대화, 백그라운드 모델 위임, 실시간 안전 개입을 하나의 인터페이스에 묶은 변화다. 사람들이 반응한 지점도 성능보다 권한과 신뢰의 경계에 가깝다. 무슨 일이 있었나 2026년 7월 8일, OpenAI는 GPT-Live를 공개했다. 발표 범위는 ChatGPT Voice 경험이며, GPT-Live-1과 GPT-Live-1 mini 두 모델이 전 세계 ChatGPT 사용자에게 순차 제공된다고 설명했다. 확인된 내용은 다음과 같다. GPT-Live는 풀 듀플렉스(Full-duplex) 구조로, 듣기와 말하기를 동시에 처리한다. 검색, 추론, 에이전트 작업이 필요하면 GPT-Live가 GPT-5.5 같은 별도 모델에 작업을 넘긴다. ChatGPT Voice는 GPT-Live 기반으로 바뀐다. mini 모델은 기본 경험에 들어가고, 유료 사용자는 더 큰 GPT-Live-1을 쓸 수 있다. TechCrunch는 기존 Advanced Voice Mode가 GPT-Live-1 mini로 대체된다는 점을 짚었다. 새 음성 모드는 사용자의 말을 끊는 문제와 답변의 지능 부족 문제를 줄이는 방향으로 설계됐다고도 설명했다. OpenAI는 API 제공도 예고했지만, 발표 시점 기준 API는 아직 예정 단계다. ...

한 줄 요약: WebAssembly 런타임 선택은 성능 벤치마크보다 운영 경계의 문제에 가깝다. 코드를 미리 알고, 배포 대상을 통제하고, 런타임 서비스가 필요 없다면 wasm2c 같은 WebAssembly-to-C 경로는 여전히 강한 선택지다. 왜 지금 이슈인가 WebAssembly 런타임을 고를 때 보통 Wasmtime, Wasmer, JIT, AOT, WASI 지원 같은 항목부터 비교한다. 이번 논쟁은 조금 다른 방향에서 출발한다. 더 좋은 런타임을 고르는 문제가 아니라, 런타임을 아예 가져가지 않는 선택이 아직도 실무적으로 맞느냐다. 선정 글감의 저자는 libsodium 벤치마크에서 WABT의 wasm2c 경로를 다시 시험했다. WebAssembly 모듈을 C로 변환한 뒤 zig cc -O3 -march=native로 네이티브 실행 파일을 만드는 방식이다. 비교 대상은 Wasmer 7.1.0, Wasmtime 46.0.0, WABT wasm2c였고, 모든 빌드는 lime1+simd128+wide_arithmetic 기능 세트를 사용했다. ...

한 줄 요약: Base64로 감춘 Bash와 eval은 티셔츠 이스터에그여도 공급망 보안 문제처럼 보일 수 있다. 쟁점은 코드가 악성이냐보다, 사람이 확인하기 전에 실행되는 흐름을 어디까지 허용할지에 가깝다. 왜 지금 이슈인가 난독화된 Bash script, eval, Base64, 공급망 보안은 보안팀만 보는 단어가 아니다. 개발자는 문서, README, 설치 스크립트, CI 설정, SaaS 연동 가이드에서 이런 실행 경로를 자주 만난다. 이번 글감은 조금 엉뚱한 곳에서 시작됐다. Akamai가 UNIQLO Peace for All 캠페인 티셔츠 뒷면에 실제 코드를 넣었고, 그 코드는 Base64 문자열을 디코딩해 Bash 스크립트로 실행하는 형태였다. 디코딩하면 터미널에서 Peace for All 문구를 사인파처럼 출력하는 이스터에그가 나온다. ...

한 줄 요약: LLM 가드레일은 프롬프트 인젝션, PII 탐지, 콘텐츠 모더레이션을 막는 필터가 아니다. AI 에이전트 보안 사고가 사용자 피해로 번지기 전에 멈추는 운영 통제면에 가깝다. 왜 지금 이슈인가 LLM 애플리케이션은 더 이상 단순 챗봇이 아니다. 사용자의 요청을 받아 모델을 고르고, 도구를 호출하고, 문서를 검색한 뒤 결과를 외부 시스템에 기록한다. 이 흐름에서 프롬프트 인젝션(Prompt Injection)은 이상한 답변 하나로 끝나지 않는다. 권한, 데이터, 비용, 신뢰 문제로 이어진다. 선정 글감은 LLM 가드레일(Guardrails)을 사용자 요청과 모델 사이에 두는 보안 계층으로 설명한다. 요청이 모델에 닿기 전에 프롬프트 인젝션, 개인정보(PII), 시크릿, 정책 위반을 검사하고 상황에 따라 차단(Block), 마스킹(Redact), 경고(Warn)를 선택하는 방식이다. ...

한 줄 요약: 유니클로 매장에서 팔린 아카마이 티셔츠의 난독화된 Bash 스크립트는 위험한 코드가 아니라 평화 캠페인용 이스터에그였다. 사람들이 반응한 이유는 코드 내용보다, 소비자 상품에 실행 가능한 코드처럼 보이는 문자열이 들어갔을 때 신뢰와 호기심, 보안 감각이 한꺼번에 작동했기 때문이다. 무슨 일이 있었나 유니클로와 아카마이가 함께 만든 Peace for All 캠페인 티셔츠 뒷면에 Base64로 인코딩된 Bash 스크립트가 인쇄됐다. 겉으로 보면 긴 알파벳과 숫자 문자열이고, 자세히 보면 #!/bin/bash로 시작하는 셸 스크립트 구조와 base64 --decode, eval을 떠올리게 하는 구성이 보인다. ...

한 줄 요약: Tenda 라우터 펌웨어에서 문서화되지 않은 인증 우회 경로가 공개됐다. 집과 소규모 사무실의 라우터, TV, 셋톱박스가 공격자의 프록시 인프라로 쓰이는 상황에서, 관리 인터페이스를 어디까지 믿을 수 있는지 다시 묻게 하는 사례다. 무슨 일이 있었나 2026년 7월 6일, CERT/CC는 Tenda의 여러 펌웨어 버전에 문서화되지 않은 인증 백도어가 들어 있다고 공개했다. 취약점 번호는 CVE-2026-11405다. 영향을 받는 범위는 일부 Tenda 라우터·네트워크 장비 펌웨어다. CERT/CC가 공개한 목록에는 FH1201, W15E, AC10, AC5, AC6 계열의 특정 펌웨어 버전이 포함돼 있다. ...

한 줄 요약: GitHub Agentic Workflows의 GitLost 이슈는 프롬프트 인젝션(Prompt Injection)이 코드 실행 이전에 권한 경계와 공개 출력 채널을 흔들 수 있음을 보여준다. AI 에이전트 보안은 모델 성능보다 입력의 신뢰도, 권한 범위, 결과가 쓰이는 위치부터 봐야 한다. 무슨 일이 있었나 2026년 7월 6일, Noma Labs는 GitHub의 Agentic Workflows를 대상으로 한 GitLost 취약점 분석을 공개했다. 요지는 단순하다. 공격자가 조직의 공개 저장소에 GitHub Issue를 만들고, 본문에 에이전트가 지시로 받아들일 문장을 숨기면, 에이전트가 같은 조직의 비공개 저장소 내용을 읽어 공개 이슈 댓글에 남길 수 있었다는 내용이다. ...

RuView가 던진 불편함은 “카메라가 없다”는 말의 빈칸에 있다. GitHub Trending #4에 오른 이 Rust 프로젝트는 WiFi sensing으로 사람의 존재, 움직임, 호흡, 심박, 낙상 위험을 읽겠다고 말한다. 화면도 렌즈도 없다. 대신 집 안의 전파가 센서가 된다. 그 설명은 눈길을 끈다. 동시에 불편하다. 카메라는 보이면 피할 수 있다. WiFi는 보이지 않고, 꺼져 있는지도 알기 어렵다. WiFi sensing이 사생활 보호라는 말은 반만 맞다 RuView의 주장은 선명하다. 일반 WiFi 신호를 공간 지능(spatial intelligence) 센서로 바꾸고, ESP32 기반 노드가 채널 상태 정보(Channel State Information, CSI)를 읽어 방 안의 사람과 활동을 추론한다. 프로젝트 설명에는 벽 너머 감지, 어두운 공간 감지, 웨어러블 없는 호흡·심박 측정, 카메라 없는 낙상 감지가 함께 들어 있다. ...

디스코드 AI 모더레이션 오탐은 단순한 버그로 끝낼 일이 아니다. 사용자는 스프레드시트, 체스판, 게임 텍스처, 투명 배경 이미지를 올렸고, 플랫폼은 일부 계정을 유해 이미지 업로드 계정처럼 취급했다. 탐지 모델의 실수보다 더 큰 문제는 그 뒤에 있었다. 오탐이 인간 검토를 거치지 않고 계정 정지로 이어졌다는 점이다. 디스코드 계정 정지는 왜 더 크게 터졌나 확인된 사실부터 보자. TechCrunch 보도에 따르면 디스코드는 2026년 7월 7일, AI 모더레이션 시스템 버그로 8,000명 넘는 사용자가 잘못 정지됐다고 인정했다. 영향은 2026년 5월부터 이어졌고, 문제를 찾아 고치기 직전 주말에만 200명이 추가로 정지됐다. 디스코드는 영향을 받은 계정 복구가 진행 중이라고 밝혔다. ...

VEX(OpenVEX)는 취약점 스캔 결과를 줄이는 도구가 아니다. 운영 조직이 이 CVE를 왜 무시해도 되는지 기계가 읽을 수 있게 서명하고, 나중에 감사할 수 있게 남기는 방식이다. Trivy로 컨테이너 이미지를 스캔하면 CVE 목록이 쏟아진다. 문제는 숫자 자체가 아니다. 실행 경로에 닿지 않는 취약점, 번들된 JAR 안에 있지만 배포 환경에서는 호출되지 않는 코드, 베이스 이미지 교체만으로 처리하기 어려운 라이브러리가 한 화면에 섞인다. 이 판단은 보통 스프레드시트, Jira 댓글, 보안 예외 문서에 남는다. 스캐너는 그 맥락을 읽지 못한다. CI는 계속 실패하고, 개발자는 같은 취약점을 반복해서 예외 처리한다. ...