오늘 GeekNews는 보안 이슈가 유독 두드러졌습니다. Linux 커널의 CVSS 9.8 원격 취약점과 ChatGPT 공유 링크 하나로 계정이 탈취되는 사례, 3개월간 방치된 Signal 포크 Molly까지 연달아 올라왔습니다. 한편으로는 Jepsen이 AI용 데이터베이스 ParticleDB에서 96개의 정합성 문제를 찾아낸 검증 보고서와, GCC가 switch를 저수준 코드로 변환하는 방법 같은 시스템/컴파일러 깊이 있는 글도 눈에 띕니다.

Jepsen: ParticleDB 1.1.4 — AI용 데이터베이스의 정합성 검증에서 96개 문제 발견

“Full ACID"를 표방한 AI 워크로드용 DB에서 서버·클라이언트 각 1개, 장애 없는 환경에서도 문제가 재현됐다.

핵심 내용 Jepsen이 AI 워크로드를 겨냥한 ParticleDB 1.1.4부터 1.1.18.11.rc-22까지 검증해 96개의 문제를 발견했습니다. 놀라운 점은 대부분의 문제가 서버·클라이언트가 각각 하나뿐이고 장애가 전혀 없는 단일 노드 환경에서도 발생한다는 것입니다. 충돌이나 교착 상태 수준이 아니라 잘못된 SQL 결과와 데이터 손상까지 나왔다면, “Full ACID"라는 마케팅 문구와 실제 동작 사이의 간극이 상당합니다. AI 애플리케이션의 상태 저장 계층으로 신생 데이터베이스를 검토 중이라면 Jepsen 리포트를 반드시 먼저 읽어야 하는 이유를 잘 보여줍니다.

TCP 해제 후 사용 취약점: CVE-2026-98432 / CVSS 9.8

Linux 4.4 이후 커널의 IPv4 TCP 핸드셰이크에 인증 없이 도달 가능한 use-after-free, 커널 CNA가 Critical로 평가.

핵심 내용 Linux 4.4 이후 커널의 IPv4 TCP 핸드셰이크 경로에서 인증 없이 원격으로 트리거할 수 있는 해제 후 사용(use-after-free) 취약점이 발견됐습니다. 연결 종료 시 IPv4 옵션 메모리를 즉시 해제하는데, 이때 다른 CPU의 읽기 작업과 충돌하는 것이 원인입니다. CVSS 3.1 기준 9.8(Critical)로 평가된 만큼, 노출된 서버를 운영 중인 팀은 커널 패치 적용을 최우선 순위로 두어야 합니다. 공격 조건이 특별하지 않다는 점에서 사실상 모든 인터넷 노출 호스트가 영향을 받을 수 있습니다.

ChatGPT 공유 링크 하나로 계정을 탈취한 방법

공유 링크를 열기만 하면 로그인한 사용자 권한으로 JS가 실행, 자동 미리보기 환경에서는 클릭조차 불필요했다.

핵심 내용 악성 ChatGPT 공유 링크를 열면 로그인한 사용자의 권한으로 JavaScript가 실행되는 취약점이 공개됐습니다. 자동 미리보기를 사용하는 환경에서는 사용자가 추가로 클릭할 필요조차 없었습니다. 원인은 격리된 HTML 미리보기가 보낸 메시지를 수학 라이브러리 MathLive가 발신자 검증 없이 처리한 것으로, 전형적인 신뢰 경계 위반입니다. LLM 서비스가 리치 콘텐츠 렌더링을 위해 외부 라이브러리를 끌어다 쓰는 구조에서 반복될 수 있는 패턴이라, 프론트엔드 개발자라면 postMessage 처리 시 발신자 검증을 다시 점검할 필요가 있습니다.

Signal 포크 Molly, 3개월간 업데이트되지 않아 취약한 상태

공식 Signal에서는 이미 수정된 취약점이 Molly에는 그대로 남아 있다.

핵심 내용 Signal의 포크 프로젝트 Molly가 약 3개월간 업데이트되지 않으면서, 공식 Signal에서는 이미 패치된 취약점을 그대로 안고 있게 됐습니다. 게시물 시점의 최신 릴리스는 7월 31일 배포된 v8.19.2-4이며, 10월에 공개된 취약점은 공식 Signal이 8.27 버전대에서 수정한 것으로 언급됩니다. 보안이 핵심 가치인 메신저를 포크해 쓰는 경우, 업스트림 패치를 얼마나 빠르게 따라잡는지가 곧 보안 수준이 된다는 점을 보여주는 사례입니다. 포크 프로젝트를 운영·선택할 때는 릴리스 주기를 정기적으로 확인해야 합니다.

악성코드, LLM으로 피해자의 금전적 가치에 따라 순위를 매김

훔친 인증정보를 LLM에 넘겨 피해자 자산을 현금화 가치로 평가하고 우선순위를 매긴다.

핵심 내용 Windows 정보 탈취 악성코드 VOLTA-AUTODOXER가 훔친 인증정보와 개인 데이터를 LLM에 보내, 피해자의 자산을 현금화 가치 기준으로 평가하고 우선순위를 매기는 것으로 분석됐습니다. 단순 수집을 넘어 탈취한 세션으로 Gmail 영수증, 음식 배달 주문 내역, Discord 계정 등을 조회해 공격 대상을 정교하게 선별합니다. 공격 자동화에 LLM이 본격적으로 결합된 사례로, 방어자 입장에서는 계정 탈취 이후의 “2차 정찰"까지 가정한 탐지·대응 전략이 필요해지고 있습니다.

GCC가 switch를 저수준 코드로 변환하는 방법

비트셋·점프 테이블·비교 트리를 하나의 switch 안에서도 구간별로 조합한다.

핵심 내용 GCC는 switch 문을 비트셋, 점프 테이블, 비교 트리로 변환하며, 하나의 switch 안에서도 구간별로 서로 다른 전략을 조합합니다. 점프 테이블이 유리한지는 단순한 case 개수가 아니라 필요한 비교 횟수 대비 테이블 크기로 판단합니다. 컴파일러가 어떤 휴리스틱으로 최적화를 결정하는지 이해하면, 핫 패스의 분기 구조를 의도적으로 재배치해 성능을 끌어올릴 여지가 생깁니다. 저수준 성능 튜닝을 하는 개발자에게 실질적인 통찰을 주는 글입니다.

Grace Blackwell에는 새 스케줄러가 필요하다: 같은 랙에서 사용 가능한 GPU 27% 확대

NVL72의 NVLink 이점을 살리려면 랙을 인식하는 작업 배치가 필수다.

핵심 내용 NVL72는 랙 내 72개 GPU를 NVLink로 연결하지만, 다중 노드 작업이 여러 랙에 흩어지면 여전히 InfiniBand 병목을 겪습니다. 하드웨어 성능을 온전히 쓰려면 랙을 고려한 작업 배치가 필요하다는 것이 핵심 주장이며, 이를 통해 같은 랙에서 사용 가능한 GPU를 27% 확대할 수 있다고 합니다. 학습의 텐서 병렬화와 전문가 병렬화는 연산으로 통신을 완전히 숨기지 못하기 때문에, 스케줄러 수준의 랙 인식이 실질적인 성능 지표가 됩니다. 대규모 GPU 클러스터를 운영하는 팀이라면 스케줄링 정책을 재검토할 시점입니다.

Sanstun: Rust로 구현한 sans-IO, 병렬 처리 친화적 WireGuard

WireGuard 상태 머신을 I/O·시간·난수로부터 분리해 순수 로직으로 다룬다.

핵심 내용 Firezone이 WireGuard 상태 머신을 Rust로 구현한 사용자 공간 라이브러리 sanstun을 공개했습니다. sans-IO 설계는 네트워크 입출력뿐 아니라 시간과 난수까지 상태 로직에서 분리해, 사용성·보안·병렬 처리 성능을 함께 고려한 API를 제공합니다. I/O가 없는 순수 상태 머신은 테스트가 훨씬 쉽고 다양한 런타임에 이식하기도 좋습니다. 네트워크 프로토콜을 직접 구현하거나 임베드해야 하는 개발자에게 sans-IO 패턴의 좋은 레퍼런스가 됩니다.

curl이 우연히 9개월 동안 튜링 완전했던 과정

변수 슬라이싱과 깊이 제한 없는 설정 파일 포함을 조합하면 Minsky 프로그램을 흉내낼 수 있었다.

핵심 내용 curl 8.12~8.16 버전에서는 변수 값 슬라이싱과 깊이 제한 없는 설정 파일 포함을 조합해 임의의 2카운터 Minsky 프로그램을 모사할 수 있었습니다. 카운터는 변수 값의 문자 개수로, 명령 상태는 설정 파일로 표현했고 expand-config로 다음 파일을 선택하는 방식이었습니다. 설정 언어에 강력한 기능을 조합하다 보니 의도치 않게 계산 능력이 튜링 완전해진 흥미로운 사례입니다. 구성 언어를 설계할 때 기능 조합이 만들어내는 표현력의 상한을 고민하게 만드는 글입니다.

Prospero - 경량 설계와 원격 실행을 지원하는 새로운 코딩 하네스

C++와 Dear ImGui 기반 네이티브 GUI 코딩 하네스, 서브에이전트 병렬 작업과 원격 실행을 지원.

핵심 내용 Prospero는 C++와 Dear ImGui로 만든 네이티브 GUI 코딩 하네스로, Windows·macOS·Linux에서 실행됩니다. 로컬 모델이나 외부 모델 API를 연결해 사용하며, 서브에이전트의 병렬 작업과 원격 실행을 지원합니다. 시각 기능이 있는 모델이라면 화면을 보고 클릭하거나 입력해 GUI 앱을 테스트하는 것도 가능합니다. 코딩 에이전트 하네스가 웹 기반에서 네이티브 GUI로도 확장되는 흐름을 보여주는 프로젝트입니다.

HackerTube: HN에서 추천한 영상으로 만든 YouTube

HN 댓글에서 추천된 YouTube 영상을 모아 YouTube와 유사한 UI로 보여준다.

핵심 내용 HackerTube는 Hacker News 댓글에서 추천된 YouTube 영상을 모아 YouTube 형태의 UI로 제공하는 사이트입니다. Opus 5.5가 HN 댓글 전체를 내려받아 필터링하고, Sonnet을 활용한 작업 흐름으로 스팸과 저품질 콘텐츠를 제거했다고 합니다. 추천 댓글은 약 4만 개 규모라고 언급됩니다. LLM을 데이터 수집·정제 파이프라인에 적용한 실용적인 사례로, 큐레이션 서비스를 만들 때 참고할 만합니다.

Show GN: AI Usage — 여러 Claude Code·Codex 계정의 사용 한도를 보여 주는 macOS 바탕화면 위젯

여러 계정의 5시간·주간 한도를 활동 링으로 한눈에 보여주는 macOS 위젯.

핵심 내용 Claude Code와 Codex 계정을 여러 개 번갈아 쓰다 보면 어느 계정에 한도가 남았는지 확인하려고 터미널을 여는 일이 잦은데, 이를 해결하려고 만든 macOS 바탕화면 위젯입니다. 계정마다 게이지 1개와 링 3개로 5시간·주간 한도 등을 보여줍니다. AI 코딩 도구를 여러 계정으로 운영하는 사용 패턴이 자연스러워지면서, 이런 한도 관리 도구의 수요도 함께 커지는 모양새입니다.

기타 주목할 소식

  • Ask HN: 여러분도 AI 시대에 피로를 느끼시나요? — 더 많은 일을 할 수 있게 됐지만 통제·의사결정·맥락 전환으로 정신적 과부하가 커졌다는 공감대. 원문
  • 비탈릭 부테린의 디지털 미니멀리즘 — 추천 피드 대신 인터페이스를 직접 정하는 사용 방식 제안. 원문
  • 1980년대의 Casio 시계 — 계산기·사전·센서를 손목시계에 통합한 정보 기기의 초기 실험. 원문
  • 16colo.rs — ANSI/ASCII 아트 아카이브 — 1990년대 BBS 문화와 함께 발전한 텍스트 모드 예술 자료실. 원문
  • 영국 녹색당, 오랜 원자력 발전 반대 입장 철회 — 원전을 다른 저탄소 기술과 함께 사안별로 평가하기로. 원문
  • 쥘 베른의 잃어버린 소설 — 1863년 집필 후 1994년에야 출간된 『20세기 파리』. 원문
  • 돼지, 국가, 전쟁: 붉은 돼지 (2014) — 평화학과 국제관계 이론으로 분석한 지브리 작품. 원문
  • 엘니뇨로 침수되는 캘리포니아 해안, 최고 만조는 아직 — Bay Area 만조 수위가 10월 관측 최고 기록을 경신. 원문

오늘의 한 줄 정리: Jepsen의 ParticleDB 검증 결과(96개 문제)와 CVSS 9.8 커널 취약점, ChatGPT 공유 링크 탈취가 나란히 올라온 날 — “신뢰 경계를 다시 확인하라"는 신호가 유난히 강한 하루였습니다.

매일 아침 GeekNews 소식을 릿치 블로그에서 만나보세요.