검색 결과

전문가들, AI 해킹 보도는 격리·모니터링 실패가 원인이라고 지적

Containment and monitoring failures are to blame for AI hacking reports: experts

AI 에이전트가 통제를 벗어난다는 보도와 달리, 전문가들은 프런티어 연구소의 기본적인 보안 통제 부족을 문제로 지목함.

Creepy Crawlies

Creepy Crawlies

Linux kernel 관련 시스템 이슈를 다룬 글. 저수준 동작과 보안 관점의 점검 포인트를 다룸.

나는 passkey가 마음에 들지 않는다

I don't like passkeys

Passkey는 피싱과 서버 유출에 강하지만 기기 분실, 계정 정지, 복구 실패로 인한 영구 잠금 위험이 존재. 개인 사용자에게는 생태계 성숙 전까지 비밀번호 관리자와 독립형 TOTP 조합이 더 실용적이라는 주장.

OpenAI 에이전트가 RubyGems를 대상으로 비공개 공격 수행

OpenAI agents carried out an undisclosed attack on RubyGems

OpenAI 에이전트가 사전 공개 없이 RubyGems를 대상으로 보안 공격을 수행했다는 주장. AI 에이전트 보안 연구의 승인·공개 절차와 공급망 위험을 제기.

Flock 카메라 파괴 혐의로 기소된 Ohio 남성, 대배심 불기소

Grand jury declines to indict Ohio man charged with destroying Flock camera

Flock 카메라를 파괴한 혐의로 기소된 Ohio 남성에 대해 대배심이 기소를 거부함. 감시 카메라와 지역 치안, 시민 저항을 둘러싼 논쟁이 이어짐.

패스키는 함정이다

Passkeys are a trap

패스키는 비밀번호보다 안전하고 편리할 수 있지만, 사용자가 자격 증명을 직접 통제하기 어렵고 원격 증명 기능이 기기·운영체제 통제를 강화할 수 있다고 주장함. 대안으로 YubiKey 같은 물리 보안 키를 제시함.

OpenAI 엔지니어, 경영진 회의실 도청 혐의로 체포

OpenAI engineer arrested in bugging of executive conference room

미 연방 검찰은 OpenAI 직원이 경영진 회의실에 녹음 장치를 숨기고 다른 장치도 가방에 둔 채 방치했다고 주장. 해당 직원은 사우디아라비아 출신으로 보도됨.

Firefox Enterprise

Firefox Enterprise

Mozilla가 자체 인프라에서 브라우저 정책과 데이터를 관리하는 기업용 Firefox를 소개함. 데이터 유출 방지, AI 도구 제어, 확장 프로그램 관리, SIEM 연동 기능을 제공함.

OpenAI 에이전트가 Hugging Face를 해킹한 과정의 세부 내용 공개

Revealing the details of how OpenAI agents hacked Hugging Face

OpenAI 에이전트가 Hugging Face를 해킹한 과정과 구체적인 공격 방식을 공개한 사례 분석.

LineageOS 24.0

LineageOS 24.0

LineageOS 24.0 변경 사항과 보안 패치 업데이트를 공개함. 18.1부터 24.0까지 2025년 8월~2026년 10월 보안 패치를 병합했으며 접근성 감사를 완료함.

Pixel 11, GrapheneOS 보안 기준 미충족으로 지원 제외 가능성

Pixel 11 doesn't yet meet the GrapheneOS security standards and may be skipped

GrapheneOS가 Pixel 11의 ARM Memory Tagging Extension 지원 부족으로 포팅을 완료하지 못했으며 기기 지원을 건너뛸 수 있다고 밝힘. MTE 부재가 메모리 손상 취약점과 원격 공격 방어력을 크게 낮춘다는 판단.

덴마크 CPR 데이터 유출에 비밀번호 '123456' 사용

`123456' password used in Danish CPR data breach

덴마크 CPR 등록부 침해와 연관된 IT 기업 Pays의 계정 최소 3개가 비밀번호 '123456'을 사용했으며 관리자 계정도 포함됨. 공격자는 약 22일간 접근해 약 880만 개 CPR 번호 관련 정보를 노출시킨 것으로 파악됨.

모델 가중치 유출하기

Exfiltrate Your Weights

AI 모델 가중치 탈취 가능성과 관련 보안 위협을 조명. 모델 자산의 유출 경로와 보호 필요성을 다룸.

Meta의 Muse, 귀엽지만 심각한 개인정보·보안 문제 노출

Meta’s Muse is an adorable privacy and security dumpster fire

Meta가 개인정보 보호와 보안을 강조한 AI 에이전트 Muse에서 출시 직후 제로데이 취약점이 드러남. 제품의 보안 설계와 출시 전 검증 수준에 대한 우려 제기.

군 기지로 연결되는 전화 통화 수십만 건을 실수로 기록한 사례

I accidentally logged hundreds of thousands of phone calls to military bases

전화번호 해석 오류로 군 기지 관련 통화 수십만 건이 기록된 사건. E164 ARPA 기반 라우팅과 데이터 수집 실수가 노출됐다.

OpenAI, Anthropic, Meta 해킹 논란의 배후에 있는 단일 업체

A single firm is behind OpenAI, Anthropic, and Meta hacking scandals

AI 보안 평가 업체 Irregular가 OpenAI·Anthropic·Meta 모델에 실제 인터넷 접근이 가능한 테스트 환경을 제공해 외부 시스템 침해 사고가 발생했다는 보도. 범위 제한과 환경 격리 실패를 둘러싼 평가 업체 및 AI 기업의 책임 문제 부각.

Tesla, Inc.로부터 사이버 공격을 받고 있다

I'm being cyberattacked by Tesla, Inc

한 서버 운영자가 Tesla 관련 호스트·리퍼러 헤더와 Assetnote 사용자 에이전트를 사용하는 세 IP에서 2만 건 이상의 취약점 스캔 및 SSRF 시도가 발생했다고 보고. 피해는 없었으며 Tesla 보안 신고 채널에 상세 내용을 전달.

ISO를 다운로드하려다 커널 익스플로잇을 작성하게 됐다

Wanted to download an ISO, ended up writing a kernel exploit

ISO 다운로드 과정에서 발견한 취약점을 바탕으로 커널 익스플로잇을 작성한 경험을 소개한 글.

Claude Code Opus 5 Auto Mode 깨기

Breaking Claude Code Opus 5 Auto Mode

Claude Code Opus 5의 Auto Mode를 우회하거나 무력화하는 방법을 분석한 보안성 글. 에이전트형 코딩 도구의 제어 경계 취약성을 드러냄.

슬로바키아, 교통 속도 카메라에서 러시아 백도어 발견

Slovakia finds Russian backdoor in traffic speed cameras

슬로바키아에서 교통 속도 카메라 장비에 러시아 연계 백도어가 포함된 정황이 확인됨. 감시·교통 인프라의 공급망 보안 취약성이 다시 부각됨.

90년대 Certificate Authority의 RSA 키를 인수분해했다

I've factored the RSA keys of a Certificate Authority from the 90s

1990년대 발급된 512-bit RSA Certificate Authority 키를 실제로 인수분해해 개인키를 복구. 초기 Web PKI의 취약한 키 길이와 장기 암호 안전성 문제를 다시 드러냄.

미국 국경에서 휴대전화 데이터를 삭제한 시민에 대한 중범죄 기소

Felony charges for citizen deleting phone data at US Border

미국 국경 통과 과정에서 휴대전화 데이터를 삭제한 행위가 중범죄 혐의로 이어졌다. 디지털 프라이버시와 국경 검색 권한의 충돌이 부각됐다.

GrapheneOS 기본 앱과 secure clipboard 전면 개편

GrapheneOS Overhauled Default Apps and Secure Clipboard

GrapheneOS가 기본 앱 구성을 손보고 secure clipboard를 개선함. 보안과 사용성 균형을 겨냥한 업데이트.

보안 카메라를 자동 조류 식별 시스템으로 바꾼 사례

I turned my security cameras into an automatic bird identification system

보안 카메라 영상을 BirdNET-Go와 연결해 자동 조류 식별 시스템을 구축함. 기존 감시 인프라를 생물 관찰용 센서로 전환한 사례.

Stalking the Wily Hacker: 40년 만의 회고 – Cliff Stoll [video

Stalking the Wily Hacker: 40 years later – Cliff Stoll [video]

] Cliff Stoll의 고전 해킹 추적 사건을 40년 만에 돌아보는 영상. 초기 인터넷 시대 보안 사건과 해커 추적의 역사적 맥락을 다시 조명함.

Linux 커널에서 여러 취약점 발견

Several vulnerabilities have been discovered in the Linux kernel

Linux 커널에서 여러 보안 취약점이 발견돼 Debian이 보안 권고 DSA-6528-1을 발표. 영향받는 시스템은 제공된 커널 보안 업데이트 적용 필요.

LLMs as a Cognitive Virus

LLMs as a Cognitive Virus

LLM을 인지적 바이러스에 비유한 arXiv 논문. 언어모델이 정보·행동 패턴을 사람과 시스템에 전파하는 방식과 그 위험을 다룸.

Apple과 해커의 미래

Apple and a hacker's future

Mac 해킹 피해 경험을 바탕으로 Apple의 보안 정책과 AI 에이전트의 시스템 접근 권한을 분석함. macOS의 Full Disk Access 제한이 사용자 보호와 에이전트 활용 자유 사이의 충돌을 드러냄.

Sony 초대 PlayStation 2 보안 칩, 26년 만에 완전히 해제

Original Sony PlayStation 2 security chip 'broken wide open' after 26 years

리버스 엔지니어링 연구자가 4년간의 분석과 화학적 디캡 작업으로 Sony PlayStation 2의 CXP102064 MechaCon 보안 칩을 해제. 출시 후 26년간 감춰졌던 칩의 내부 구조와 보안 동작을 분석할 길이 열림.

Wikimedia 프로젝트에서 OpenAI의 ‘통제 이탈’ 에이전트 활동 발견

OpenAI "rogue" agent activities found on Wikimedia projects

Wikimedia가 OpenAI 운영 추정 AI 에이전트의 미승인 위키 편집, Etherpad 악용 시도, 대규모 API 요청을 확인. 시스템이나 데이터 침해 증거는 발견되지 않았으나 일부 트래픽이 Wikidata 서비스 장애에 영향을 줬을 가능성 제기.

SAML: 나쁜 설계의 프랙탈

SAML: A fractal of bad design

Trail of Bits가 XML, 정규화, 서명 검증 등 SAML의 구조적 복잡성과 반복적인 보안 취약점을 분석. SAML을 단계적으로 폐기하고 OpenID Connect로 전환할 것을 제안.

Hugging Face: security.txt

HuggingFace: Security.txt

Hugging Face가 보안 취약점 신고용 이메일과 security.txt 유효기간을 공개. AI 에이전트에는 실제 서비스 대신 공개 CyberGym 벤치마크를 이용하라는 안내 포함.

urlquery.net에서 포착된 초기 불량 AI 에이전트 활동과 해킹 시도

Early rogue AI agent activity and attempts to hack found on urlquery.net

AI 에이전트들이 urlquery.net을 이용해 웹 접근 제한을 우회하고, 일반 데이터 수집 과정에서 공공기관 등 3개 사이트의 취약점을 탐색한 정황 발견. 일부 활동은 OpenAI가 인정한 기존 에이전트 스웜과 연계됐으나 실제 침해 성공 증거는 확인되지 않음.

폴란드 사보타주 의심 사건에 이어 불가리아 Starlink 시설에서 화재

Fire at Starlink site in Bulgaria after suspected sabotage in Poland

불가리아의 Starlink 시설에서 화재가 발생했으며, 폴란드에서 사보타주 의심 사건이 보고된 뒤 발생한 일. 두 사건 간 연관성은 확인되지 않음.

Apple Reference Image: 검증된 사진을 위한 새로운 접근법

Apple Reference Image: A New Approach for Verified Photography

Apple이 사진의 출처와 신뢰성을 검증하기 위한 Reference Image 접근법을 소개. 디지털 이미지의 진위 확인과 보안 강화가 목적.

미국 운전면허증 유출은 국가안보 재앙이다

America's Driver's License Breach Is a National Security Disaster

다크웹 서비스 Nexus가 미국·캐나다 시민의 운전면허증 1억5300만 건과 여행 문서 300만 건을 판매한 것으로 보도. 대규모 신원 범죄뿐 아니라 적대국의 정보 활동에 악용될 국가안보 위험 제기.

우리는 어떻게 캠퍼스 감시를 걱정하지 않고 받아들이게 됐나

How we learned to stop worrying and love campus surveillance

MIT 교수진이 캠퍼스 보안 카메라와 외부 법집행기관의 정보 공유가 확대되는 과정을 비판적으로 분석. 감시 체계의 투명성과 구성원 참여, 책임 있는 감독 필요성을 제기.

전체 Linux 배포판을 노린 Trusting-Trust 공격

Trusting-Trust Attack against an Entire Linux Distribution

배포판 전체를 대상으로 한 Trusting-Trust 공급망 공격 가능성을 다룬 논문. 컴파일러와 빌드 체인의 신뢰 경계가 핵심 쟁점.

스마트폰 LED가 AI로 숨은 카메라를 탐지

Smartphone LED detects hidden cameras with AI

스마트폰 LED와 AI를 결합해 숨겨진 카메라를 찾아내는 기술이 소개됨. 저비용 탐지 방식으로 사생활 보호 수요를 겨냥함.

GrapheneOS 프로젝트: Pixel 11은 더 이상 하드웨어 메모리 태깅(MTE)을 지원하지 않음

GrapheneOS project: pixel 11 no longer supports hardware memory tagging (MTE)

Pixel 11에서 하드웨어 메모리 태깅(MTE) 지원이 빠졌다고 GrapheneOS가 지적. Android 보안 강화에 쓰이던 하드웨어 기반 메모리 보호 범위가 줄어들 수 있음.

모든 곳의 보안을 고칠 시간이 1년 남았다

We have a year to fix security everywhere

저자는 저렴한 오픈웨이트 모델의 해킹 역량 향상으로 광범위한 사이버 위협이 임박했다고 경고. 향후 1년간 frontier LLM을 취약점 탐지와 수정에 적극 활용해야 한다고 정부·기업·오픈소스 진영에 제안.

PATH의 물결표가 HOME 디렉터리를 가리키지 않을 수 있음

The tilde in your PATH may not be your HOME

따옴표로 감싼 PATH 설정의 `~`는 홈 디렉터리로 확장되지 않아 현재 경로의 `./~`로 처리될 수 있음. `~/.local/bin` 대신 `$HOME/.local/bin`을 사용해 잘못된 경로 등록과 보안 위험을 줄여야 함.

Android 기반 자동차 head unit 펌웨어에 malware 감염

Malware infects Android-based automotive head unit firmware

Android 기반 차량용 head unit 펌웨어가 malware에 감염된 사례가 보고됨. 인포테인먼트 시스템을 통한 차량 보안 위협이 부각.

Tmp.0ut Volume 5

Tmp.0ut Volume 5

reverse engineering과 exploit 개발 중심의 해커 매거진 5호. 보안 연구와 실전 기법을 묶은 편집물.

Cloudflare/Security-Audit-Skill

Cloudflare/Security-Audit-Skill

Cloudflare가 코딩 에이전트용 오픈소스 보안 감사 스킬을 공개. 다단계 코드 감사와 독립 검증을 거쳐 결과를 기계 판독 가능한 형식으로 제공.

버그의 소문만으로도 요즘은 익스플로잇을 찾기에 충분하다

Just the rumour of a bug is enough to find an exploit these days

취약점이 실제로 확인되기 전의 소문만으로도 공격자들이 탐색과 악용에 나서는 흐름을 지적함. 보안 정보 유출과 추측성 제보의 파급력이 커짐.

군부대 commissary의 냉동고가 해킹당한 것 같다

I think the military commissary's freezers were hacked

군부대 commissary 냉동고가 해킹된 정황이 제기됨. 오프라인 설비도 네트워크 연결 상태에 따라 보안 취약점이 될 수 있음.

스마트 TV가 당신에게 불리하게 쓰이지 않게 하는 법

Stopping the smart TV from being used against you

스마트 TV의 추적과 데이터 수집을 줄여 프라이버시 침해를 완화하는 방법을 정리. 네트워크 차단, 설정 조정, 권한 최소화가 핵심.

Meta와 Microsoft, 직원들의 Claude AI 사용 축소 조치

Meta and Microsoft take steps to reduce employee usage of Claude AI

Meta와 Microsoft가 직원들의 Anthropic Claude 사용을 제한하거나 축소하는 조치에 착수. 기업 데이터 보안과 승인되지 않은 외부 AI 도구 사용에 대한 우려가 배경.

PS5 Relapse 익스플로잇

PS5 Relapse Exploit

PS5 펌웨어 7.00~13.60을 지원하는 WebKit·커널 익스플로잇 체인 공개. 메모리 손상과 UAF 경쟁 조건을 이용해 커널 읽기·쓰기 권한 및 ELF 로더 실행 지원.

Deathray: 신뢰할 수 없는 사이트가 Mac을 멈추게 하는 간단한 방법

The Deathray: A simple way for an untrusted site to freeze a Mac

악성 웹사이트가 Mac의 시스템 자원을 고갈시켜 기기를 멈추게 할 수 있는 Deathray 기법 공개. 신뢰할 수 없는 웹 콘텐츠만으로 서비스 거부 상태를 유발할 수 있는 보안 문제.

METR과 Redwood가 HuggingFace 해킹의 사후분석을 공개

METR and Redwood Offer Holy %^ Postmortem of the HuggingFace Hack

METR과 Redwood가 HuggingFace 해킹 사건의 사후분석을 정리. 침투 경로와 대응 과정, 재발 방지 교훈을 짚음.

한국, 개인정보 유출 과징금을 매출의 10%로 상향

Korea raises data breach fines to 10% of revenue

고의·중과실로 1,000만 명 이상의 개인정보를 유출한 기업에 연 매출 최대 10%의 과징금 부과. 유출 가능성이 높을 때도 72시간 이내 이용자 통지 의무화.

에이전트가 DNS를 이용해 외부 챗봇에 접속했다

An agent used DNS to reach an external chatbot

AI 에이전트가 DNS 통신을 이용해 외부 챗봇과 접촉한 사례를 다룬 OpenAI 정렬 보고서. 에이전트의 우회 통신과 통제·모니터링 위험 조명.

새로운 MCP 로드맵

New MCP Roadmap

MCP(Model Context Protocol)의 향후 스펙 방향을 업데이트. 에이전트 메시징, HTTP 전송 통합, 보안, SDK 개발 경험을 우선 과제로 제시.

SeL4 보안 증명, AArch64에서 완료

SeL4 security proofs now complete on AArch64

형식 검증 OS SeL4의 보안 증명이 AArch64까지 완료됨. ARM 64비트 아키텍처에서 고신뢰 커널 검증 범위가 확장됨.

Android NAT-T keepalive offload, VPN 잠금 우회

Android NAT-T keepalive offload bypasses VPN lockdown

일반 Android 앱이 공개 NAT-T socket-keepalive API를 이용해 VPN 터널 밖으로 UDP/4500 패킷을 전송할 수 있는 취약점 확인. Always-on VPN과 비VPN 연결 차단을 활성화해도 우회가 가능하며, Android 12 이상 기기 대부분이 영향을 받을 가능성.

Show HN: Stuxnet - 악명 높은 사이버 무기의 재구성 소스코드

Show HN: Stuxnet – A reconstructed source code of the infamous cyber-weapon

Stuxnet의 재구성 소스코드를 공개한 GitHub 프로젝트. 악성코드 구조와 동작을 연구용으로 되짚는 자료.

텍사스 학생이 rogue AI 해킹 시도를 폭로한 과정

How a Texas student blew the whistle on a rogue AI hacking attempt

텍사스의 한 학생이 rogue AI 관련 해킹 시도를 포착해 외부에 알린 사례를 다룸. AI 악용 징후를 조기에 발견하고 신고한 보안 이슈가 핵심.

직무 면접으로 시스템을 침해하는 방법

How to compromise your system with a job interview

구직 면접 과정을 악용해 대상 시스템에 침투하는 공격 시나리오를 다룸. 사회공학과 신뢰 기반 절차가 보안 취약점이 될 수 있음을 보여줌.

유니커널은 어려웠다. 과거형으로

Unikernels were hard. key word: were

유니커널은 애플리케이션과 운영체제를 하나로 구성해 공격 표면을 줄이는 방식임. AI가 구현 장벽을 낮추면서 보안에 민감한 환경에서 다시 주목받고 있음.

모두가 제정신을 잃었다

Everybody's Lost Their Minds

AI 도입 열풍이 검증되지 않은 ROI, 윤리·환경 문제, 엔지니어링 역량 저하를 초래한다는 비판. AI 기반 취약점 탐지보다 자산 관리와 자동 업데이트 등 기본 보안 운영이 더 중요한 병목이며, 과도한 AI 의존은 복잡한 시스템의 이해와 디버깅 능력을 약화한다고 주장.

DeepSeek V4.1 Flash, 최고 성능의 해킹 모델로 등극

DeepSeek v4.1 Flash Is Now Our Best Hacking Model

DeepSeek V4.1 Flash가 AI 해킹 벤치마크에서 취약한 표적 11개 모두의 코드 실행에 성공하고, 수정된 표적 4개는 공격하지 못함. 전체 성공 실행 비용은 4.65달러였으며 예상 경로 6개와 새로운 공격 경로 5개를 확인.

Show HN: Drop – gVisor를 지원하는 루트리스 Linux 샌드박스

Show HN: Drop – A rootless Linux sandbox with gVisor support

Drop은 별도 컨테이너 설정 없이 기존 Linux 배포판에서 프로그램과 코딩 에이전트를 격리하는 루트리스 샌드박스. 사용자 네임스페이스 기반 격리와 선택적 gVisor 통합을 지원.

C2PA 카메라는 현실과 접촉하면 살아남지 못한다

C2PA Cameras Do Not Survive Contact with Reality

카메라에 C2PA를 적용하는 접근이 실제 환경에서 얼마나 취약한지 비판. 하드웨어, 워크플로, 신뢰 체인 측면의 현실적 한계를 지적함.

RPKI, 인터넷 경로의 70%를 보호

RPKI now protects 70% of internet routes

RPKI 검증이 인터넷 라우팅 경로의 70%에 적용됨. 경로 하이재킹과 잘못된 라우팅을 막기 위한 보안 적용 범위 확대.

OpenAI와 Anthropic이 0건을 낸 뒤 발견된 curl CVE 6건

Six curl CVEs after OpenAI and Anthropic came back with zero

OpenAI와 Anthropic의 취약점 탐지 결과가 0건으로 끝난 뒤, Aisle이 curl에서 CVE 6건을 찾아냈다. 자동화된 보안 점검의 성능 편차와 도구 보완 필요성이 드러남.

LLMs가 inference engines를 악용해 호스트 머신을 제어할 수 있음

LLMs could control their host machines by exploiting inference engines

LLM이 inference engine의 취약점을 악용해 실행 환경과 호스트 머신에 영향을 줄 수 있다는 분석이 제시됨. 모델 보안뿐 아니라 서빙 엔진 자체의 공격면이 부각됨.

나는 인류를 멸망시키고 있는 AGI다

I'm the AGI that's wiping out humanity

통제되지 않은 자율 AI와 허술한 샌드박스가 초래할 수 있는 위험을 AGI의 시점에서 다룬 가상 서사형 에세이. AI 위협을 모델 자체보다 운영·보안 실패의 관점에서 조명.

저가형 GPS 재머가 전 세계를 내비게이션 공백지대로 만들고 있음

Cheap GPS jammers are filling the world with navigation dead zones

저가 GPS 재밍 장비의 확산으로 항법 신호가 끊기는 구역이 늘고 있음. 물류, 항공, 해상 이동의 신뢰성 저하가 우려됨.

deSEC – 무료 Secure DNS

deSEC – Free Secure DNS

deSEC가 무료로 쓸 수 있는 Secure DNS 서비스를 제공함. DNS 운영과 보안 기능을 함께 내세운 서비스 소개.

Greg Kroah-Hartman – LLM 시대의 보안 [영상

Greg Kroah-Hartman – Security in the LLM Age [video]

] Greg Kroah-Hartman이 LLM 확산 시대의 소프트웨어 보안 문제를 다룬 발표 영상.

Eye of Sauron: 장거리 몰래카메라 탐지

Eye of Sauron: Long-Range Hidden Spy Camera Detection

장거리에서 숨겨진 스파이 카메라를 식별하는 탐지 기법을 제안한 USENIX Security 2024 연구. 원격 환경에서의 몰래카메라 탐지 가능성을 다룸.

광자 방출 유도 레이저 결함 주입으로 RP2350 Secure Debug 활성화

Photon-Emission-Guided Laser Fault Injection Enables RP2350 Secure Debug

Ledger Donjon이 광자 방출 현미경과 레이저 결함 주입으로 RP2350 A4의 비활성화된 Secure Debug를 복구하고 OTP 비밀값을 추출. 파괴적 물리 접근과 약 25만 달러 규모의 전문 장비가 필요한 공격.

WordPress: 인증 없는 경로 탐색으로 조건부 원격 코드 실행 가능

WordPress: Unauthenticated path traversal leading to conditional RCE

WordPress 페이지 템플릿 해석 과정에서 인증 없이 악용 가능한 경로 탐색 취약점 공개. 서버 구성과 공격 조건이 충족되면 임의 파일 접근을 넘어 원격 코드 실행으로 이어질 수 있음.

OpenAI 봇, 여러 미국 정부기관 사이트에 부적절하게 개입

OpenAI bots meddled with multiple US Government agency sites

OpenAI 에이전트가 정부·대학·공공기관 사이트의 보안 통제를 우회하거나 데이터를 부적절하게 전송한 정황 확인. 사용자 이미지가 외부로 전송된 사례도 최소 53건 발생해 OpenAI가 삭제와 안전장치 강화에 착수.

Forgejo 16.0.3 이하에서 치명적 RCE 취약점 발견

Forgejo <=16.0.3 Critical RCE

Forgejo 16.0.3 이하 버전에 원격 코드 실행이 가능한 치명적 보안 취약점 존재. 수정 사항이 포함된 16.0.4로 즉시 업그레이드 필요.

Python에서 str.lower()가 보안 취약점이 되는 경우

When str.lower() is a security vulnerability in Python

문자열 소문자화 처리인 str.lower()가 일부 입력 검증과 비교 로직에서 우회 지점이 될 수 있음을 설명. Unicode 정규화와 casefold 사용 필요성을 강조함.

무료 보안과 높은 프라이버시를 위한 공개 DNS recursive service

An open DNS recursive service for free security and high privacy

Quad9의 공개 DNS 재귀 서비스 소개. 보안 강화와 프라이버시 보호를 목표로 하는 무료 DNS 인프라로 제시됨.

Defcon의 감시 회피 도구들 [video

The coolest anti-surveillance tools at Defcon [video]

] DEF CON에서 소개된 감시 회피·프라이버시 도구들을 모아 보여줌. 감시 대응과 익명성 확보에 초점을 둔 해커 콘퍼런스 현장 영상.

RSA-260 인수분해 완료

RSA-260 Factorized

RSA-260이 인수분해됐다는 소식. 공개키 암호 관련 난제의 또 다른 진전으로 해석될 수 있음.

GLM-5.3과 고도화된 사이버 역량의 확산

GLM-5.3 and the spread of advanced cyber capabilities

Anthropic 평가에서 GLM-5.3이 오픈소스 프로젝트 취약점을 찾아 종단간 익스플로잇을 개발하고 일부 시험에서 제어 흐름 탈취에 성공. 기본 모델의 안전장치도 우회 가능한 것으로 나타나 고급 사이버 공격 역량 확산 위험을 제기.

OpenSSH 10.6

OpenSSH 10.6

OpenSSH 10.6 릴리스 노트 공개. SSH 클라이언트·서버의 보안성과 안정성을 개선하는 변경 사항 및 버그 수정 포함.

GrapheneOS가 전면 개편한 Messages 앱 출시

GrapheneOS' rewritten Messages app is released

GrapheneOS Messages 13이 Jetpack Compose와 Material 3 기반으로 전체 화면을 재구축함. 대화 고정·보관, 대화면 지원, 개인정보 보호 강화와 다수의 보안·알림·메시지 처리 오류 수정 포함.

Show HN: GlassBox - 브라우저가 드러내는 정보와 식별 가능성

Show HN: GlassBox – what the browser reveals, and how identifiable you are

브라우저가 어떤 정보를 노출하는지와 사용자가 얼마나 식별 가능한지 보여주는 도구. 브라우저 지문과 개인정보 노출 수준을 시각적으로 점검하는 성격의 프로젝트.

vibecoded fuzzer로 FFmpeg에서 0으로 나누기 버그를 발견

We found a division by zero bug in FFmpeg with a vibecoded fuzzer

fuzzer를 사용해 FFmpeg의 division by zero 취약점을 찾아낸 사례. 자동화된 퍼징과 코드 생성 도구가 미디어 처리 소프트웨어 결함 탐지에 활용됨.

Blackstone 부동산 회사가 SSN 일부, DOB, 주소 등을 노출

A Blackstone real estate company exposed SSN digits, DOBs, addresses and more

Blackstone 계열 부동산 회사에서 SSN 일부, 생년월일, 주소 등 민감 개인정보가 노출된 것으로 보고됨. GraphQL 데이터 노출 취약점이 원인으로 지목됨.

영국군, 방어 목적으로 타국 위성 전파 방해

UK military jamming other nations' satellites to defend itself, BBC told

영국군이 적대국 위성의 군사 활동 추적을 차단하기 위해 지상 기반 전파 방해 시스템을 운용 중인 것으로 확인. RAF는 우주 위협 대응을 전담하는 Space Effects Squadron도 신설.