오늘 GeekNews는 릴리스 엔지니어링과 보안 이슈가 눈에 띄게 많았습니다. PostgreSQL 19 출시가 AI 보조 코드 리뷰가 쏟아낸 버그 때문에 연기됐다는 소식과, OpenBSD의 37년 묵은 커널 버그가 실제 로컬 권한 상승으로 이어졌다는 분석이 가장 인상적입니다. 여기에 Claude가 ECDSA 표준 곡선의 시드 생성 방식을 역추적한 사례까지, “AI가 코드와 암호를 들여다보는 시대"라는 흐름이 뚜렷합니다.

Postgres 19 출시 지연, AI 리뷰가 사람이 고칠 수 있는 양보다 많은 버그를 발견

LLM 보조 코드 리뷰가 오히려 릴리스 일정을 밀어냈다는 커미터의 진단.

핵심 내용 PostgreSQL 19 정식 출시가 9월 말10월 초에서 11월 19일경으로 미뤄졌고, 주요 기능 810개가 이번 릴리스에서 제외됐습니다. 핵심 커미터 Peter Eisentraut는 기능 철회 원인 중 일부가 LLM 보조 코드 리뷰일 수 있다고 봤는데, 과거에는 출시 후에야 드러났을 문제들을 리뷰 단계에서 대량으로 발견하면서 사람이 처리할 수 있는 수정 속도를 넘어섰다는 것입니다. AI 코드 리뷰 도입이 무조건 “더 빠른 릴리스"로 이어지지 않으며, 리뷰 대역폭과 트리아지 프로세스가 함께 설계돼야 한다는 신호로 읽힙니다.

Big Fish: OpenBSD의 37년 된 커널 버그 악용하기

16비트 카운터 오버플로가 해제 후 사용으로 이어져 로컬 root 권한 상승까지.

핵심 내용 16비트 공유 메모리 연결 카운터의 오버플로가 경쟁 상태를 거쳐 use-after-free로 이어졌고, 별도의 커널 범위 밖 쓰기 취약점과 결합해 로컬 root 권한 상승이 가능했습니다. KARL, SMAP, SMEP가 모두 활성화된 OpenBSD에서 별도의 정보 유출 취약점 없이 커널 코드 실행에 도달한 점이 핵심입니다. 오래된 자료형 선택 하나가 수십 년 뒤 익스플로잇 체인의 한 고리가 될 수 있다는, 자료형·카운터 설계의 중요성을 보여주는 사례입니다.

Claude, ECDSA 곡선의 기원을 밝혀내다

NIST 표준 곡선 5개의 시드가 Unix 타임스탬프로 초기화된 lrand48 출력이었다는 분석.

핵심 내용 Anthropic의 내부 연구용 Claude가 30분도 안 돼 NIST 표준 곡선 5개의 시드 생성 방식을 찾아냈습니다. 시드는 문구의 해시가 아니라 Unix 타임스탬프로 초기화한 lrand48의 출력이었고, Claude는 공개된 시드의 비트 패턴에서 오래된 의사난수 생성기의 흔적을 식별했습니다. “아무도 설명하지 못한 상수(nothing up my sleeve)” 논쟁처럼 암호 스펙의 숨은 전제를 검증하는 데 LLM이 실제로 기여할 수 있다는 사례입니다.

C++26 Contracts: 사전조건과 사후조건 입문

pre/post/contract_assert로 함수 계약을 언어 차원에서 표현.

핵심 내용 C++26 Contracts는 함수 진입 시 요구사항을 pre, 정상 반환 시 보장을 post, 함수 내부 조건을 contract_assert로 표현합니다. 계약을 함수 선언에 명시할 수 있어 구현을 열어보지 않고도 API 요구사항을 확인할 수 있다는 점이 큰 변화입니다. 오랫동안 어서션 매크로와 문서에 의존해 온 C++ 진영에 표준화된 계약 표현 수단이 생긴다는 의미이며, 라이브러리 API 설계 관행에 영향을 줄 수 있습니다.

Apple ML Research: Mac Studio에서 MLX로 Muse Spark Open 실행하기

816B 파라미터 모델을 M5 Ultra Mac Studio 4대로 분산 실행.

핵심 내용 816B 파라미터의 Muse Spark Open을 M5 Ultra Mac Studio 4대에서 실행해, 8,192토큰 문맥 기준 초당 36.73토큰을 생성했습니다. MLX와 Thunderbolt RDMA를 결합해 여러 Mac에 모델을 분산하고, 레이어를 나누는 파이프라인 병렬화와 각 레이어 계산을 나누는 텐서 병렬화를 함께 사용한 구성입니다. 고가의 데이터센터 GPU 없이도 클러스터링된 소비자급 하드웨어로 대형 모델을 돌릴 수 있다는 가능성을 보여줍니다.

RPKI, 이제 인터넷 경로의 70%를 보호

라우팅 하이재킹 방어가 1년 만에 54.0% → 70.3%로 확대.

핵심 내용 인터넷 라우팅 프리픽스 중 RPKI 검증을 통과하는 비율이 2025년 9월 54.0%에서 2026년 9월 70.3%로 증가했습니다. 무효 경로의 전파 차단도 관측됐는데, 유효 경로와 RPKI 기록이 없는 경로는 관측 지점 수 중앙값이 각각 596개와 595개인 반면 검증에 실패한 경로는 2개에 그쳤습니다. BGP 하이재킹 대응이 문서상 권고를 넘어 실제 전파 차단 효과를 내기 시작했다는 뜻이며, 네트워크 운영자에게 RPKI 서명은 사실상 기본 항목이 되어가고 있습니다.

Epic의 EAC2 v2는 꽤 쉽게 우회할 수 있어 보임

eBPF 감시 + 보안 부팅 + TPM 원격 증명 조합의 한계 지적.

핵심 내용 Epic이 발표한 Linux용 Easy Anti-Cheat v2는 eBPF 기반 감시에 보안 부팅과 TPM 원격 증명을 결합해 우회를 막으려 합니다. 핵심 쟁점은 진짜 TPM이 서명한 측정값이라는 사실만으로 해당 PC의 실제 부팅 상태까지 보장할 수 있느냐는 점입니다. 커널 수준 무결성 검증과 사용자 공간의 실제 실행 환경 사이의 간극이 여전히 남아 있다는 논의로, 안티치트와 플랫폼 신뢰 모델 설계에 시사점이 있습니다.

Anthropic, 6월에 투기등급 중 가장 높은 신용등급 받아

AI 기업의 자금 조달 구조가 신용시장 평가 대상으로 들어왔다는 신호.

핵심 내용 Anthropic이 6월에 투기등급 중 가장 높은 신용등급을 받았다는 소식입니다. 모델 개발·학습 비용이 대규모로 고정화되면서, AI 기업이 벤처 자금뿐 아니라 신용시장의 평가 대상으로 편입되고 있다는 점이 눈에 띕니다. 개발자 입장에서는 앞으로 AI 기업의 지속가능성을 기술력만이 아니라 자금 조달 구조와 등급으로도 가늠하게 될 수 있다는 의미입니다.

미국 근로시간의 90%는 AI 벤치마크가 충분히 다루지 못하는 업무에 쓰임

923개 직업 중 208개만 벤치마크 프롬프트 5개 이상과 연결.

핵심 내용 Mercor가 경제적 관련성이 높은 29개 AI 벤치마크를 분석한 결과, 미국 근로시간의 약 90%가 벤치마크에서 거의 또는 전혀 다루지 않는 업무에 쓰이는 것으로 추정됐습니다. 미국의 923개 직업 중 208개만 벤치마크 프롬프트 5개 이상과 연결되는 업무를 가진다는 점도 함께 지적됐습니다. 벤치마크 점수가 실제 업무 자동화 가능성을 대표하지 못할 수 있다는 뜻으로, 모델 평가 설계와 도입 판단에 주의가 필요합니다.

Show HN: Gemini 4 Argon이 StarCraft를 플레이하다

LLM에 1시간 동안 C++ 봇을 만들게 하는 장기 추론 벤치마크.

핵심 내용 StarSkirmish Bench v0.2는 LLM에 1시간 동안 C++로 StarCraft: Brood War의 Protoss 봇을 만들게 하고, 연습 경기에서 얻은 정보를 반영하는 장기 추론과 에이전트 코딩 능력을 평가합니다. 결과에서 GPT-6 Astra가 평균 승률 57%로 1위, GPT-6.1 Sol이 46%로 2위를 기록했습니다. 단발성 코드 생성이 아니라 피드백 루프를 도는 에이전트 역량을 게임 환경에서 측정한다는 점에서, 에이전트 벤치마크 설계의 한 방향을 보여줍니다.

Show HN: Flipflop - Iroh 기반 파일 공유용 지속형 터널

기기 간 터널을 한 번 열어두면 언제든 파일을 주고받는 구조.

핵심 내용 Flipflop은 두 대 이상의 기기 사이에 신뢰할 수 있는 터널을 설정해, 이후 언제든 서로 파일을 보낼 수 있게 합니다. Iroh를 기반으로 하며 Bluetooth와 LAN뿐 아니라 인터넷을 통한 연결도 지원합니다. 자신의 여러 기기나 가까이 또는 멀리 있는 가족의 기기 사이에서 파일을 주고받는 시나리오를 노린 것으로, P2P 연결 계층을 라이브러리에 위임하는 패턴을 잘 보여주는 사례입니다.

Mac의 모든 창을 iPhone과 iPad에서 사용하기

ScreenCaptureKit + VideoToolbox로 Mac 창을 HEVC 스트리밍.

핵심 내용 Sill은 Mac의 개별 창이나 전체 데스크톱을 iPhone과 iPad로 전송하고, 터치·키보드·트랙패드·Apple Pencil로 조작할 수 있게 하는 무료 앱입니다. ScreenCaptureKit과 VideoToolbox로 화면을 HEVC 영상으로 전송하며, 인코딩이나 연결이 밀리면 프레임을 쌓지 않고 지연을 우선하는 설계를 택했습니다. 원격 데스크톱류 도구에서 체감 품질을 좌우하는 것은 결국 지연 처리 정책이라는 점을 잘 드러내는 구현입니다.

기타 주목할 소식

  • 사과문: Elevation Lab, AirTag 무음화 도구 판매 중단 — 자전거용으로 만든 AirTag 무음화 도구의 악용 가능성을 인정하고 제품을 철회. 링크
  • Waymo, 토론토에 자율주행 차량 호출 서비스 진출 준비 — 2028년 첫 승객 탑승 목표, 초기에는 수동 운전으로 고정밀 지도 제작. 링크
  • 미국 하원의원, 비디오게임 소유권 보호 법안 발의 계획 발표 — FTC가 구매 게임의 소유권·플레이 권리 규정을 마련하도록 하는 Power To The Players Act. 링크
  • 미국 영구 이주 선호도, 역대 최저 기록 — 미국을 최우선 목적지로 꼽은 비율 15%로 Gallup 약 20년 조사 역사상 최저. 링크
  • Folders - 폴더의 포함 관계와 순서로 코드를 표현하는 프로그래밍 언어 — 텍스트 대신 폴더 구조로 코드를 표현하는 비텍스트 언어, Whitespace에서 영감. 링크
  • 나는 소프트웨어 렌더링을 좋아한다 — 소프트웨어 렌더러로 DOS 게임을 고해상도로 즐길 때의 선명한 텍스처와 거친 질감에 대한 이야기. 링크
  • Ask GN: AI 브라우저의 필수적인 기능 — AI 브라우저를 만들며 빠뜨린 필수 기능이 있는지 커뮤니티에 묻는 글. 링크
  • 소프트웨어 공학에서의 종교학 — 종교학의 내부자/외부자 관점으로 소프트웨어와 개발자의 역할을 이해하려는 시도. 링크

오늘의 한 줄 정리: AI가 코드 리뷰와 암호 분석에 본격적으로 투입되면서, 그 결과를 어떻게 소화하고 검증할지가 릴리스 일정과 신뢰 모델을 좌우하는 단계에 들어섰습니다.

매일 아침 GeekNews 소식을 릿치 블로그에서 만나보세요.