오늘 트렌딩은 AI 에이전트를 위한 스킬·런타임·보안 도구가 강하게 몰려온 하루였다. Cloudflare와 NVIDIA가 각각 에이전트 보안 감사 스킬과 안전한 에이전트 샌드박스 런타임을 내놓았고, Anthropic은 업무용 플러그인 세트를 공개했다. 그 사이에 PHP와 Node.js라는 클래식 런타임, 그리고 2B 파라미터 TTS 모델 VoxCPM이 눈에 띄었다.

security-audit-skill

코딩 에이전트를 보안 감사자로 변신시키는 Cloudflare의 스킬 팩

  • GitHub: security-audit-skill
  • 언어/스택: Markdown 기반 스킬 팩 + Node.js 제로 의존성 검증 스크립트(.cjs)
  • 카테고리: 보안

무엇을 하는 프로젝트인가? 에이전트가 코드베이스를 체계적으로 감사해 보안 취약점을 발견하고, 검증 가능한 형태로 결과물을 정리하도록 만드는 스킬이다. Cloudflare 내부의 대규모 취약점 발견 하네스에서 출발한 시스템의 단일 저장소 원형으로, 정찰 → 커버리지 기반 헌팅 → 후보 검증 → 구조화된 출력 → 독립적 레코드 검증 → 타깃 중립적 리포팅의 6단계 워크플로를 수행한다. 단순히 취약점 의심 목록을 뱉는 대신 반증 시도를 거치게 설계해 위양성을 억제하는 점이 일반적인 스캐너와 다르다.

주요 특징

  • 6단계 감사 워크플로: 아키텍처·신뢰 경계를 매핑하는 정찰부터 커버리지 원장 단위로 격리된 헌터 에이전트를 배정하는 헌팅, 그리고 독립 검증자까지 이어지는 구조
  • 3단계 판정 분리: confirmed, needs_validation, rejected로 나누고 report-schema.json으로 유효성을 검사해 검증되지 않은 후보를 심각도와 함께 보고하는 것을 방지
  • 도메인별 헌팅 클래스 문서 제공: 메모리 안전성, AI/LLM, 웹 프로토콜·인증, 클라이언트 사이드, 공급망, 클라우드 등 공격 표면별 프롬프트 내장
  • 누적 실행 지원: 같은 저장소에 여러 번 돌려도 이전 원장과 발견 내역을 재사용하되, 오래된 데이터를 커버된 것으로 오인하지 않게 설계

개발자에게 의미하는 것 에이전트 오케스트레이션 패턴(격리된 헌터, 비평가, 독립 검증자)을 보안 감사 도메인에 적용한 참고 사례로, 코드베이스 보안 리뷰를 자동화하려는 팀이라면 워크플로 설계 아이디어를 얻을 수 있다.

php-src (The PHP Interpreter)

전 세계 웹의 상당 부분을 구동하는 PHP의 공식 인터프리터 소스

무엇을 하는 프로젝트인가? PHP 언어의 공식 구현체 전체를 담은 저장소로, Zend 엔진 런타임과 표준 라이브러리, 내장 확장 모듈, CLI 바이너리를 모두 포함한다. 블로그 같은 소규모 사이트부터 대규모 웹 서비스까지 폭넓게 구동되는 기반 기술이며, 웹 개발에 최적화되어 있으면서도 범용 스크립팅 언어로 쓰인다. 인터프리터와 확장 모듈 대부분이 C로 작성되어 있다.

주요 특징

  • Zend 엔진 기반 실행 구조: 바이트코드 컴파일과 실행을 담당하는 핵심 엔진 내장
  • 방대한 내장 확장: libxml2, SQLite 등 다양한 라이브러리 연동 모듈 제공
  • 자체 테스트 프레임워크: .phpt 형식의 테스트 스위트를 make test로 구동하고 논리 프로세서 단위로 병렬 실행
  • GitHub Actions 기반 CI와 OSS-Fuzz 퍼징 테스트 운영, Modified BSD(BSD-3-Clause) 라이선스

개발자에게 의미하는 것 ./buildconf → ./configure → make로 직접 빌드해 디버그 빌드를 만들 수 있어, PHP 내부 동작이나 확장 개발을 파고들 때 기준이 되는 코드베이스다.

Knowledge Work Plugins

Claude를 역할·팀·회사에 맞춘 전문가로 확장하는 Anthropic의 플러그인 모음

  • GitHub: Knowledge Work Plugins
  • 언어/스택: Claude Cowork / Claude Code, 플러그인 마켓플레이스, SaaS·DB 커넥터
  • 카테고리: AI

무엇을 하는 프로젝트인가? Claude가 업무를 수행할 때 팀의 선호 방식, 사용할 도구와 데이터, 중요한 워크플로 처리 방식, 노출할 슬래시 명령을 알려주어 더 일관되고 완성도 높은 결과를 얻게 돕는 오픈소스 플러그인 모음이다. Claude Cowork용으로 설계됐고 Claude Code와도 호환된다. 각 플러그인은 특정 직무에 필요한 스킬, 커넥터, 슬래시 명령, 서브 에이전트를 묶어 제공한다.

주요 특징

  • 11개 직무 플러그인: productivity, sales, customer-support, product-management, marketing, legal, finance, data, enterprise-search, bio-research, cowork-plugin-management
  • 폭넓은 커넥터: Slack, Notion, Jira, HubSpot, Microsoft 365, Snowflake, BigQuery, PubMed 등 연동
  • 슬래시 명령 제공: 설치 후 자동 활성화되며 /sales:call-prep, /data:write-query 같은 명령 사용
  • 두 가지 설치 경로: Cowork에서는 claude.com/plugins, Claude Code에서는 마켓플레이스 추가 후 설치

개발자에게 의미하는 것 조직의 도구와 용어, 프로세스에 맞게 커스터마이즈할수록 효과가 커지는 구조라, 사내 에이전트를 직무별로 표준화하려는 팀에게 좋은 출발점이 된다.

OpenShell

자율 AI 에이전트 플릿을 위한 안전하고 프라이빗한 런타임

  • GitHub: OpenShell
  • 언어/스택: Python 기반 CLI·런타임, Linux/macOS/Windows(WSL 2), Docker/Podman, Kubernetes(Helm)
  • 카테고리: 보안

무엇을 하는 프로젝트인가? NVIDIA가 공개한 에이전트 런타임으로, 에이전트가 파일을 읽고 패키지를 설치하고 API를 호출하고 자격 증명을 쓰는 편리함을 누리되 데이터·시크릿·네트워크에 무제한 접근하지는 못하도록 만든다. 각 에이전트가 무엇에 접근할 수 있는지를 정책으로 선언하게 하고 이를 런타임에 강제하는 것이 핵심이다. 에이전트는 실제 자격 증명을 보지 못하고, OpenShell이 승인된 엔드포인트로 향하는 요청에만 자격 증명을 추가한다.

주요 특징

  • 커널 수준 강제: 격리된 샌드박스에서 실행되며 커널 제어가 접근 가능한 파일과 허용되는 시스템 콜을 제한, 모든 네트워크 연결은 정책 검사를 통과해야 함
  • 형식 검증된 정책 변경: 정책 변경이 승인되기 전에 형식 검증을 통해 새 호스트 접근이나 새 API 메서드 호출 같은 위험한 신규 권한을 표시해 사람의 검토를 기다리게 함
  • 구성 요소: 샌드박스(이미지·런타임·GPU·라이프사이클), 정책(파일시스템·네트워크·프로세스), 프로바이더(승인 엔드포인트용 자격 증명), 게이트웨이(컨트롤 플레인), Kubernetes 배포, 미들웨어·인터셉터·컴퓨트 드라이버 확장성
  • Apache 2.0 라이선스, PyPI에 openshell로 배포, 0.1.x에서 격리 프리미티브와 확장 표면 확대

개발자에게 의미하는 것 에이전트에 강력한 권한을 주면서도 그 범위를 통제해야 하는 상황에서, 파일·네트워크·프로세스 접근을 정책으로 선언하고 런타임에 강제하는 모델을 참고할 수 있다.

ziwei-doushu

倪海厦 《天纪》 체계를 기반으로 한 자미두수 명반 계산·해석 오픈소스

  • GitHub: ziwei-doushu
  • 언어/스택: TypeScript, Next.js 16, GitHub Actions CI
  • 카테고리: 데이터

무엇을 하는 프로젝트인가? 자미두수 배열 알고리즘, 사화 시스템, 격국 지식베이스, 고전 원문 데이터를 공개하고 대규모 해석 데이터셋을 제공해 연구·교육·서비스 개발에 활용할 수 있게 하는 프로젝트다. 완전한 명반 계산 엔진과 13차원 해석, 진태양시 보정(경도차+균시차), 중국 1986~1991년 서머타임 처리, 음력·양력 변환과 윤월 경계 처리 등을 지원한다.

주요 특징

  • 대규모 해석 데이터셋: v4.0은 674,976개 명반 × 13차원 = 8,774,688개 해석 구간, 압축 해제 56.6GB(압축 161MB), 1950~2026년 실제 날짜 포함, 연도별 77개 파일로 배포
  • 고전 인용 지식베이스 405곳, 명반별 별 밝기·사화·격국 판단, 명반 합반 데모, 웹 체험(metisziwei.com) 제공
  • 모듈 구성: algorithm.ts, true-solar-time.ts, dst-cn.ts, lunar-solar.ts, cities.ts, sihua.ts, patterns.ts 등
  • 라이선스 분리: 코드 MIT, 데이터셋 CC BY 4.0, 고전 원문 퍼블릭 도메인, 倪海厦 원문 인용은 CC BY-NC-SA 4.0 비상업 조건

개발자에게 의미하는 것 전통 명리 계산을 알고리즘·데이터셋으로 재구성한 사례로, 방대한 도메인 지식베이스를 구조화해 배포하는 방식이 참고가 된다. 해석 DB 자체는 오픈소스가 아니고 결과 데이터셋만 공개된다는 점은 유의해야 한다.

Claude-Red

Claude Skills 시스템을 위한 공격 보안 스킬 모음집

  • GitHub: Claude-Red
  • 언어/스택: Markdown 기반 SKILL.md, Claude Skills, Claude Code CLI, Git sparse-checkout
  • 카테고리: 보안

무엇을 하는 프로젝트인가? 각 스킬을 구조화된 SKILL.md 파일로 제공해, Claude가 특정 공격 표면에 대해 전문가 수준의 방법론을 갖춘 것처럼 동작하게 만드는 스킬 모음이다. SQL 인젝션부터 셸코드, EDR 우회, ADCS 악용까지 78개 스킬과 23개 카테고리를 제공한다. 모의 침투 테스트, 버그 바운티 트리아지, 보안 연구, CTF 준비, 오퍼레이터 교육 등에 활용하도록 설계됐다.

주요 특징

  • 드롭인 설치: 저장소를 ~/.claude/skills/claude-red에 클론하면 바로 사용 가능
  • 온디맨드 로딩: 대화 중 트리거(예: ‘SQL injection’ 언급)에 따라 해당 스킬만 자동 로드되어 컨텍스트 낭비 방지
  • 부분 설치: sparse-checkout으로 특정 카테고리(예: Skills/web, Skills/active-directory)만 선택 설치
  • 다양한 사용 방식: Claude Skills 시스템, Claude Code의 --system-file 옵션, Claude.ai 수동 업로드 지원, MIT 라이선스

개발자에게 의미하는 것 승인된 레드팀 활동이나 CTF 등 합법적이고 허가된 환경에서만 써야 하는 도구로, 공격 표면별 지식을 스킬로 체계화하는 방식을 보여준다.

VoxCPM

토크나이저 없이 연속 음성 표현을 직접 생성하는 확산 자기회귀 TTS 시스템

  • GitHub: VoxCPM
  • 언어/스택: MiniCPM-4 백본, AudioVAE V2, vLLM 기반 옴니모달 서빙
  • 카테고리: AI

무엇을 하는 프로젝트인가? 이산 토큰화를 우회해 연속 음성 표현을 직접 생성하는 엔드투엔드 확산 자기회귀 기반 TTS로, 자연스럽고 표현력 높은 음성 합성을 목표로 한다. 최신 VoxCPM2는 2B 파라미터 모델로 200만 시간 이상의 다국어 음성 데이터로 학습됐고 30개 언어를 지원한다. NVIDIA RTX 4090에서 RTF 약 0.3, Nano-vLLM/vLLM-Omni 가속 시 약 0.13의 실시간 스트리밍을 보여준다.

주요 특징

  • Voice Design: 자연어 설명만으로 새 목소리를 생성
  • Controllable Cloning / Ultimate Cloning: 짧은 참조 오디오로 목소리를 복제하거나 스타일 가이드를 주고, 참조 오디오와 대본을 함께 제공해 음색·리듬·감정·스타일을 정교하게 재현
  • 고품질 합성: 16kHz 참조 오디오를 입력받아 48kHz 스튜디오 품질 오디오 출력, 문맥 인식 운율·표현 자동 추론
  • 다국어 지원: 30개 언어에 더해 쓰촨어·광둥어·우어 등 중국 방언 지원, 코드와 가중치는 Apache-2.0으로 상업적 사용 가능

개발자에게 의미하는 것 음성 복제와 다국어 합성을 상업적 용도로 활용할 수 있는 라이선스로 공개돼 있어, TTS 기능을 제품에 통합하려는 팀에게 실용적인 선택지가 된다.

Node.js

브라우저 밖에서 JavaScript를 실행하는 오픈소스 크로스플랫폼 런타임

  • GitHub: Node.js
  • 언어/스택: JavaScript 런타임(V8 엔진, libuv, C++/JavaScript)
  • 카테고리: 백엔드

무엇을 하는 프로젝트인가? JavaScript 코드를 브라우저 외부에서 실행할 수 있게 해주는 런타임으로, 서버 애플리케이션부터 CLI 도구, 빌드 파이프라인까지 다양한 용도로 쓰인다. OpenJS Foundation의 지원을 받는 오픈 거버넌스 모델을 따르며 시맨틱 버전 관리(SemVer)를 준수한다. TSC(Technical Steering Committee)가 프로젝트를 관리한다.

주요 특징

  • 릴리스 유형 구분: Alpha, Current, LTS, Nightly로 나뉘며 Current는 매년 4월 새 메이저 버전이 나오고 6개월 후 LTS로 전환
  • LTS 수명: 각 메이저 버전이 30개월의 LTS 지원을 받아 최초 Current 릴리스부터 총 36개월의 수명을 가짐, 라인은 알파벳 순 코드명 사용
  • Nightly 빌드: main 브랜치 변경 시 24시간마다 자동 빌드되지만 테스트되지 않음
  • 배포 형태: 바이너리, 설치 프로그램, 소스 타르볼을 공식 다운로드 페이지에서 제공

개발자에게 의미하는 것 프로덕션 환경에서는 LTS 릴리스를 쓰는 것이 권장되며, Alpha/Current/Nightly는 프로덕션용이 아니라는 점을 릴리스 전략을 세울 때 기억해두면 좋다.

오늘의 한 줄 정리 에이전트에 권한을 주는 시대가 본격화되면서, 그 권한을 어떻게 검증하고 통제할지를 다루는 Cloudflare와 NVIDIA의 보안 도구가 나란히 트렌딩 상위에 오른 하루였다.

매일 아침 GitHub Trending을 릿치 블로그에서 만나보세요.