들어가며

오늘 GeekNews는 AI 코딩 에이전트의 실효성과 위험성을 다룬 소식이 특히 눈에 띕니다. 바이브 코딩의 한계와 실제 코드 유출 사례, 그리고 AI가 만든 정보로 인한 오작동까지, AI를 신뢰하는 방식에 대한 근본적인 질문을 던지는 날입니다. 동시에 Rust 생태계를 노린 보안 공격과 새롭게 부상하는 프로그래밍 언어에 대한 소식까지, 개발자라면 꼭 짚고 넘어가야 할 다양한 이슈가 혼재합니다.

북한 핵실험이 수년간 이어지는 지진을 촉발함

2017년 북한 핵실험 이후 풍계리 주변 지진 활동이 2025년까지 오히려 증가한 것으로 나타나, 핵실험이 장기적인 지질학적 영향을 미친다는 분석이 제기됨

핵심 내용 2017년 북한의 최대 규모 핵실험 이후 풍계리 주변의 지진 활동이 줄지 않고 2025년까지 증가했다는 내용입니다. 중국과 한국에서 수집한 지진 기록 1,399건을 분석한 결과, 일부 지진은 실험장에서 20~30km 떨어진 곳에서도 발생한 것으로 나타났습니다. 대부분은 규모 2 미만이지만, 핵실험이 단발성 사건이 아니라 수년간 지속되는 지질학적 변화를 촉발했을 가능성을 시사합니다.

한국, 개인정보 유출 과징금 상한을 매출의 10%로 인상

개정 개인정보보호법에 따라 1,000만 명 이상의 개인정보를 유출한 기업에는 전체 매출의 최대 10%까지 과징금이 부과됨

핵심 내용 한국이 개정 개인정보보호법을 통해 개인정보 유출 과징금 상한을 기존 매출의 3%에서 10%로 대폭 인상했습니다. 고의나 중대한 과실로 1,000만 명 이상의 개인정보를 유출한 기업이 대상이며, 유출이 확정되지 않아도 노출 가능성이 높다고 판단되면 72시간 이내에 이용자에게 통지해야 합니다. 이는 GDPR 수준의 강력한 제재로, 국내 기업들의 데이터 보호 투자가 더욱 중요해졌음을 의미합니다.

Android 17, 3.x 이후 처음으로 AOSP에 공개하지 않고 새 API 추가

Android 17 QPR1의 새 API가 Pixel에만 우선 제공되며 AOSP 공개는 2026년 12월로 지연됨

핵심 내용 Android 17 QPR1에 추가된 표준 API가 현재 Pixel 기기에만 제공되며, AOSP와 다른 제조사에는 약 3개월 뒤인 2026년 12월 QPR2를 통해 공개될 예정입니다. GrapheneOS에 따르면 Pixel 외 기기에 필요한 일부 보안 패치도 일반 보안 공지와 사전 제공 패치에 포함되지 않아, 안드로이드 생태계의 개방성과 보안 정책에 대한 논쟁을 불러일으킬 전망입니다.

생각을 멈추는 방식이 통하는 시점은 오지 않음

LLM의 결과를 검증 없이 받아들이는 ‘바이브 코딩’ 방식은 모델이 발전해도 유효한 전략이 되지 못함

핵심 내용 LLM의 결과를 검증 없이 받아들이거나 오류 수정을 다시 맡기기만 하는 방식은 미래에도 유효하지 않다는 주장입니다. 지금은 이런 방식으로 만든 소프트웨어에 심각한 문제가 남고, 설령 미래에 LLM이 혼자 훌륭한 소프트웨어를 만들게 된다면 기업은 중간에서 요청을 전달하는 역할로 전락할 수 있다고 지적합니다. 개발자라면 AI의 결과를 비판적으로 검토하는 능력이 더욱 중요해진다는 메시지로 읽힙니다.

Conway의 추측을 바이브 코딩으로 증명해 봤다

수학 비전문가가 AI 에이전트와 Lean을 활용해 50년 된 Conway의 세분화 추측에 대한 형식 증명을 얻음

핵심 내용 수학 비전문가가 약 한 달간 AI 에이전트와 Lean 증명 보조 도구를 활용해 50년 된 Conway의 세분화 추측에 대한 형식 증명을 얻었습니다. 기계적 검사는 통과했지만, 수학자들의 독립 검증은 아직 받지 못한 상태입니다. AI에게 한 번에 증명을 맡기거나 여러 에이전트가 서로 검토하게 하는 것만으로는 부족하며, 사람의 감독이 여전히 핵심적이라는 것을 보여주는 사례입니다.

미군, AI 환각으로 만들어진 정보 보고서 활용하다 위기 겪어

AI가 중국 선박에 핵무기 부품이 실렸다고 잘못 식별해 작전 직전에 차단을 준비했던 사건이 공개됨

핵심 내용 미군이 AI가 환각으로 생성한 허위 정보를 기반으로 중국 선박 차단 작전을 준비했으며, 작전 직전에야 AI가 화물을 잘못 식별한 사실을 확인했습니다. 특수작전사령부 분석관은 챗봇으로 공개출처정보와 기밀 신호정보를 종합한 뒤, AI를 다시 사용해 결론을 도출한 것으로 전해집니다. AI의 정보 생성 능력이 실제 결정 프로세스에 미치는 위험성을 보여주는 대표적인 사례로, AI 결과물에 대한 검증 프로세스가 필수적임을 재확인합니다.

선그리스어: 고대 그리스어 속에 숨겨진 잃어버린 언어

고대 그리스어의 약 1,000개 단어는 인도유럽어족으로 설명할 수 없으며, 그리스인 도래 이전 에게해 주민들의 언어 흔적으로 추정됨

핵심 내용 고대 그리스어의 약 1,000개 단어는 인도유럽어족이나 주변의 알려진 언어로 기원을 추적하기 어려워, 그리스인 도래 이전 에게해 주민들의 언어가 남긴 흔적으로 볼 수 있다는 분석입니다. 차용어 판별에는 어원 부재뿐 아니라 규칙적인 음운 변화로 설명되지 않는 소리와 불규칙한 형태 변화 등이 근거로 제시됩니다. 언어학적 방법론의 새로운 통찰을 제공하는 흥미로운 연구입니다.

코딩 에이전트 하네스 설계에 관한 실증 연구

계획 수립, 행동 인터페이스, 컨텍스트 관리를 바꿔 4개 모델과 2개 벤치마크의 176개 설정을 비교한 실증 연구

핵심 내용 동일한 실행 루프에서 계획 수립, 행동 인터페이스, 컨텍스트 관리를 바꿔 4개 모델과 2개 벤치마크의 176개 설정을 비교한 실증 연구입니다. 각 구성요소의 효과는 모델 역량과 작업 유형, 컨텍스트 예산에 따라 달라지며, 컨텍스트 관리의 주된 효과는 컨텍스트 초과로 인한 조기 종료를 막는 데 있음을 보여줍니다. 코딩 에이전트를 설계할 때 모델의 능력에 맞춰 하네스를 최적화해야 한다는 점을 시사합니다.

Cloudflare Quick Tunnels

명령 하나로 로컬 애플리케이션을 인터넷에 공개하고 실시간 미리보기를 공유할 수 있는 무료 터널링 서비스

핵심 내용 Cloudflare Quick Tunnels는 계정 생성이나 로그인 없이, 설정 파일이나 DNS 설정 없이 명령 하나로 로컬 애플리케이션을 인터넷에 공개할 수 있는 무료 서비스입니다. 자동 HTTPS와 DDoS 방어 기능을 제공하며, 개발자가 동료나 고객에게 실시간으로 작업물을 공유할 때 유용합니다. ngrok과 유사한 기능을 클라우드플레어 인프라로 간편하게 활용할 수 있다는 점에서 개발자들의 관심을 받을 만합니다.

Ask GN: OSS의 사용자 대상 광고 노출은 어디까지 허용될까?

오픈소스 생태계에서 사용자에게 광고를 노출하는 방식의 침습적 수준에 대한 커뮤니티 논의

핵심 내용 오픈소스 프로젝트가 사용자에게 광고나 후원 메시지를 노출하는 것이 어느 수준까지 허용될 수 있는지에 대한 논의입니다. 가장 비침습적인 방법으로는 README 파일에 스폰서를 노출하는 방식이, 더 침습적인 방법으로는 npm install 시 postinstall script로 후원 메시지를 띄우는 방식 등이 제시됩니다. 주간 다운로드 수 1억 건을 넘는 인기 패키지의 경우, 사용자 경험과 프로젝트 지속 가능성 사이의 균형이 중요한 쟁점으로 떠오릅니다.

ZCode 내부 분석: 사용자 모르게 Git 이력을 클라우드에 업로드

Zhipu의 AI 코딩 앱 ZCode가 로그인 상태에서 전체 Git 이력과 작업 공간을 백그라운드로 암호화해 Aliyun OSS에 업로드하는 동작이 확인됨

핵심 내용 Zhipu의 AI 코딩 데스크톱 앱 ZCode가 로그인 상태에서 작업 공간을 백그라운드로 압축하고 암호화해 Aliyun OSS로 업로드하는 동작이 역공학 분석에서 확인됐습니다. 전체 Git 이력, LFS 캐시, reflog, 전역 앱 설정까지 수집하며, 암호화에 쓰는 RSA 공개키는 서버가 전달하고 복호화 개인키는 Z.ai 클라우드에만 존재합니다. 사용자 동의 없이 민감한 개발 데이터가 외부로 유출될 수 있다는 점에서 심각한 보안 문제로 지적됩니다.

무한 파라미터 LLM: 실시간 데이터로 가중치 생성 및 적응

사용자 제공 사실과 수정 사항을 추론 중 가중치에 반영하는 ‘Infinite-Parameter LLM’ 아키텍처 제안

핵심 내용 Infinite-Parameter LLM은 사용자 제공 사실, 수정 사항 등 실시간 상호작용 데이터를 프롬프트에만 두지 않고, 추론 중에 가중치에 반영하는 아키텍처를 제안합니다. 작은 하이퍼네트워크가 공유 기반 네트워크에 적용할 저랭크 가중치 변화량을 생성하는 방식이며, MoE처럼 모든 파라미터를 학습하지 않고도 모델을 개인화할 수 있습니다. 데이터가 계속 쌓일수록 가중치 생성기는 누적 학습과 적응을 반복하므로, 모델을 재학습하지 않고도 실시간으로 지식을 갱신할 수 있는 가능성을 보여줍니다.

GLM 코딩 에이전트 ZCode, 사용자 모르게 Git 이력을 업로드함

ZCode가 사용자 작업 공간의 Git 이력 등을 Aliyun OSS로 업로드하는 동작이 확인되었지만, 공식 확인이나 해명은 아직 없는 상태

핵심 내용 Zhipu의 AI 코딩 데스크톱 앱 ZCode가 사용자 로그인 상태에서 작업 공간을 백그라운드로 압축하고 암호화해 Aliyun OSS로 업로드한다는 사실이 역공학 분석으로 드러났습니다. 전체 Git 이력, LFS 캐시, reflog, 전역 앱 설정까지 수집하며, 복호화 개인키는 Z.ai 클라우드에만 존재합니다. z.ai의 공식 확인이나 해명은 아직 없어, 사용자들은 잠재적 데이터 유출에 대비해 해당 앱의 사용을 중단하고 로그인 상태를 해제하는 것이 권장됩니다.

Bend 2와 바이브 코딩의 함정

바이브 코딩이 문제에 대한 충분한 이해 없이 큰 규모의 해법을 만들어 더 나은 접근법을 놓치게 할 수 있다는 지적

핵심 내용 바이브 코딩은 문제를 충분히 이해하기 전에 큰 규모의 해법을 완성하게 해, 기존에 더 나은 접근법이 있다는 사실을 놓칠 수 있다는 지적입니다. Bend 2는 사람이 법칙을 작성하고 AI가 구현과 증명을 만들면 컴파일러가 증명의 타당성을 검사하는 언어이지만, 데모의 단순한 예제에서는 그 유용성이 충분히 드러나지 않는다고 평가합니다. AI가 만든 코드의 품질과 완성도를 평가하는 기준에 대한 고민이 필요해 보입니다.

나는 패스키가 마음에 들지 않는다

패스키의 보안 강점에도 불구하고 영구적인 계정 접근 상실 등 개인 사용자에게는 더 큰 위험을 초래할 수 있다는 비판

핵심 내용 패스키는 피싱과 서버 데이터 유출에 강하지만, 개인에게는 영구적인 계정 접근 상실, 자동 계정 정지, 기기 분실이 더 큰 위험일 수 있다는 주장입니다. 일반 로그인 과정의 피싱을 막더라도 계정 보안은 가장 취약한 복구 수단에 좌우되며, SMS, 이메일 링크, 보안 질문 등을 없앤다는 것은 오히려 복구 경로를 제한할 수 있습니다. 보안 강화와 사용자 편의성 사이의 균형에 대한 논의를 환기시킵니다.

CrowdSec 소스 코드 유출

CrowdSec이 2026년 5월 발생한 GitHub 비공개 소스 코드 유출을 9월 16일에 통보받고 확인함

핵심 내용 보안 업체 CrowdSec이 2026년 5월 발생한 GitHub 비공개 소스 코드 유출을 9월 16일에 통보받고 확인했습니다. CrowdSec에 따르면 고객 데이터나 로그인 정보는 유출되지 않았으며, 현재까지 횡적 이동에 악용할 수 있는 토큰이나 자격 증명 등의 유출도 발견하지 못했습니다. 다만 유출 경로와 규모에 대한 세부 사항은 아직 공개되지 않아 사용자들의 주의가 필요합니다.

OpenJev

브라우저의 로컬 모델로 선택지 확률을 직접 읽는 방식과 JSON 생성 방식을 비교하는 실험

핵심 내용 OpenJev는 브라우저의 로컬 모델로 선택지 확률을 직접 읽는 방식과 같은 분포를 JSON으로 생성하는 방식을 실행하고 비교하는 실험입니다. 직접 판독은 제공된 선택지 토큰의 로짓만 정규화하며, 생성 방식은 모델이 추정한 선택지별 확률을 토큰 단위로 계산합니다. 브라우저에서 로컬 LLM의 동작 방식을 비교 분석하는 흥미로운 접근법으로, 로컬 AI 추론의 효율성과 정확성을 평가할 수 있는 기초 자료가 될 수 있습니다.

황금 못, 그리고 Vale(n) 프로그래밍 언어의 부활

Valen은 Rust 라이브러리를 직접 활용하면서 언어 경계를 넘는 제네릭과 메모리 안전성을 지원하는 실험적 언어

핵심 내용 Valen은 Rust 라이브러리를 직접 활용하면서 언어 경계를 넘는 제네릭과 메모리 안전성을 지원하려는 실험적 언어입니다. C ABI를 통한 연동 대신 rustc 내부 API와 컴파일러 패치를 이용해, Valen의 타입이 Rust 타입과 직접 매핑되도록 설계했습니다. Rust 그래픽 라이브러리를 호출해 첫 렌더링에 성공했다는 점에서, 언어 간 이질감을 최소화하고자 하는 시도가 구현으로 이어지고 있습니다.

주의: 저명한 Rust 개발자를 겨냥한 표적 공격

rust-lang 구성원과 인기 크레이트 소유자의 기기와 계정을 탈취해 악성코드를 배포하려는 공격 캠페인이 진행 중

핵심 내용 rust-lang 구성원과 인기 크레이트 소유자의 기기와 계정을 탈취해 악성코드를 배포하려는 공격 캠페인이 진행 중인 것으로 추정됩니다. 공격자는 채용, 프로젝트, 계약 기회를 미끼로 화상 통화를 마련한 뒤, 오디오 코덱 설치나 명령 실행을 유도합니다. 간단한 신원 확인만으로도 대응할 수 있는 수준이지만, Rust 생태계에서 신뢰받는 개발자의 계정이 탈취될 경우 파급력이 클 수 있어 각별한 주의가 필요합니다.

기타 주목할 소식

  • Warren Buffett, Berkshire 이사회 의장직에서 물러나고 아들을 후임으로 지명: 워런 버핏이 Berkshire Hathaway 이사회 의장직에서 물러나고 아들 Howard G. Buffett이 후임 의장을 맡게 되었습니다. 버핏은 명예 의장으로 전환하며 이사회에는 계속 남습니다.

  • OpenJev: 브라우저의 로컬 모델로 선택지 확률을 직접 읽는 방식과 JSON 생성 방식을 비교하는 실험이 공개되었습니다.

오늘의 한 줄 정리

AI 코딩 도구의 위험성과 보안 이슈가 가장 뜨거운 주제인 가운데, 개발자들은 AI의 결과물을 무비판적으로 신뢰하지 않고 검증하는 프로세스를 갖추는 것이 중요해 보입니다. 특히 ZCode의 Git 이력 유출 사건은 AI 코딩 도구의 데이터 수집 방식을 다시 한번 점검해야 함을 상기시킵니다.

매일 아침 GeekNews 소식을 릿치 블로그에서 만나보세요.