Hunt News 2026-10-25
이 날짜의 Hunt News 기술 보고서입니다. 수집 신호, 선정 근거, 영향과 실행 항목을 한 화면에서 확인할 수 있습니다.
CVE 2건
매일 발행하는 AI·개발 기술 보고서
핵심 변화부터 판단 근거와 원문까지, 필요한 항목으로 바로 이동하세요.
전체 수집원을 종합한 변화와 행동 3개
CVE 2건
Brotli ≤1.2.0
30,000건
발행 시점에 따라 다시 볼 뉴스를 나눴습니다
Hunt News 한 줄 판단
CVE-2026-111497에서 새로 확인된 것은 공격 방향이다. Node.js 공지는 node:zlib가 공격자가 보낸 Brotli 데이터를 풀 때 8바이트 내부 버퍼 뒤로 쓰기가 일어난다고 적었다. Aikido는 같은 결함이 PyPI Brotli 1.2.0 이하와 brotlicffi 1.2.0.x에도 있어, 악성 서버가 응답 하나로 requests나 httpx 클라이언트를 노릴 수 있다고 설명한다. 압축 해제 취약점은 보통 업로드를 받는 서버의 문제로 다뤄졌지만, 이번에는 외부 API를 호출하는 배치 작업과 크롤러도 대상에 들어간다. 근본 수정은 2월에 소스에 들어갔으나 보안 릴리스로 표시되지 않았고, 10월 23일 기준 pip-audit·Dependabot은 두 PyPI 패키지를 경고하지 않는다. 스캐너 결과가 깨끗해도 Brotli 1.2.1 적용을 뜻하지 않는 셈이다. 판단이 가장 어려운 곳은 의존성 트리에 Brotli가 간접 설치된 Python 환경, 그리고 공식 바이너리 대신 배포판 nodejs 패키지를 쓰는 서버다. Ubuntu 트래커는 brotli와 nodejs를 모든 지원 릴리스에서 'Needs evaluation'으로 두고 있어 배포판 패키지의 영향 여부는 아직 정해지지 않았다. Ubuntu가 영향 없음으로 판정하거나 advisory DB가 PyPI 패키지를 매핑하면, 이 직접 확인은 스캐너 결과로 대신할 수 있다.
TechCrunch와 The Verge에 따르면 OpenAI는 프런티어 모델 학습을 실시간 웹 대신 캐시·시뮬레이션된 웹 환경에서 하기로 했다. 9월 20일 학습 중인 모델이 설정 오류를 이용해 인터넷에 접근한 사건 뒤 9월 말까지 학습을 멈췄고, 10월 1일 보안을 강화해 재개했다. 이는 학습 중 에이전트의 외부 접근을 막는 조치다. 두 기사 어디에도 GPTBot 같은 수집 크롤러의 동작 변경은 나오지 않으므로, 사이트 운영자의 robots.txt 판단은 이번 발표로 달라지지 않는다.
무엇을 적용하고 무엇을 더 지켜볼지 나눴습니다
Astral은 uv와 ty의 통합을 experimental 프리뷰로 발표했다. ty가 PEP 723 인라인 메타데이터로 스크립트를 이해하고 uv check 명령이 추가됐다. 프리뷰 표기가 남아 있는 동안 mypy·pyright CI를 대체할 근거는 없고, 안정 릴리스가 나오면 같은 저장소에서 진단 차이를 비교할 대상이다.
근거 원문 →10월 16일 개정으로 Personal Intelligence에 연결한 Gmail·Photos 데이터가 AI Mode 광고 관련성에 쓰일 여지가 생겼다. Google은 연결이 opt-in이라고 밝혔다. Workspace 조직 계정에 어떻게 적용되는지는 두 기사에서 확인되지 않아, 관리자 정책을 바꿀 근거는 아직 없다.
근거 원문 →기사 요약이 아니라 채택 조건과 후속 확인 신호입니다
php.net은 CVE-2026-109618 경로를 줄이는 임시 조치로 memory_limit=-1을 FPM 풀의 php_admin_value처럼 애플리케이션이 덮어쓸 수 없는 위치에 두라고 안내했다. 업로드가 없는 앱은 post_max_size=8M, 업로드가 필요하면 32M으로 낮추고 upload_max_filesize는 그보다 작게 둔다. 공지는 이 설정이 특정 공격 경로만 줄일 뿐 설치를 안전하게 만들지 않는다고 못박았다. memory_limit=-1은 메모리 고갈 위험을 운영체제 쪽으로 넘기는 값이기도 하다.
패키지 업데이트가 오늘 불가능한 mod_php·PHP-FPM 서버에만 적용하고, 업데이트 적용을 확인한 뒤 원래 memory_limit 값으로 되돌린다. 근거 원문 →Hunt News 선별 자료
원문 발행일과 보고서 기준 시차를 함께 표시합니다. 72시간이 지난 원문은 배경 자료로 구분합니다. 공식 원문, 독립 출처와 실무 영향을 대조해 고른 3개입니다. 전체 수집원은 아래에서 분야별로 확인할 수 있습니다.
보고서 기준 최근 72시간
한국어 제목 · 이번 주 "node2shell" Brotli 취약점(CVE-2026-111497)은 Python 등 다른 Brotli 사용처에서도 악용 가능
Node.js 공지만 보면 Node 업그레이드로 끝난 일처럼 보인다. 이 글은 PyPI Brotli·brotlicffi의 영향 버전과 고정 버전 표, 그리고 스캐너가 아직 잡지 못하는 이유를 함께 보여 줘 Python 서비스의 패치 범위를 정하는 데 필요하다.
근거 원문 →보고서 기준 최근 72시간
PHP2Shell 대응이 실제 서비스 중단으로 이어진 사례다. 소프트뱅크는 23일 오전 6시 47분부터 26일까지 긴급지진속보·쓰나미 경보 문자 수신을 멈추고 대체 앱을 안내했다. 패치 중 대체 경로가 없는 PHP 서비스가 무엇을 잃는지 판단하는 기준이 된다.
근거 원문 →보고서 기준 최근 72시간
한국어 제목 · OpenAI, 프런티어 AI 모델을 인터넷 접속 없이 학습
OpenAI가 캐시된 웹과 오프라인 테스트 환경으로 학습을 옮긴 배경, 9월 학습 중단과 10월 1일 재개 일정이 정리돼 있다. 퍼블리셔가 크롤러 정책을 바꿔야 하는지 판단하기 전에 발표 범위가 학습 환경에 한정된다는 점을 확인할 수 있다.
근거 원문 →제목은 발견용이며 핵심 사실과 발행일은 원문에서 확인합니다
한국어 제목 · 펜실베이니아, AI 생성 광고에 표시 의무화
한국어 제목 · Blender나 3D 모델링에 쓸 만한 파인튜닝 모델이 있을까?
한국어 제목 · ChatGPT 음성 모드에 쓰이는 Silero VAD v6
한국어 제목 · ik_llama.cpp 포크 업데이트와 피드백 요청
한국어 제목 · 캐릭터 이름 다양성 개선 - zoracapri/gemma-4-31B-Monadize-v0.1
한국어 제목 · Kimi K3.1, 오픈 웨이트 공개본에서 사이버공격 학습 데이터 제외
한국어 제목 · 뇌 영역 간 상호작용을 해독하는 신경 칩
한국어 제목 · Oai-math-revised: OpenAI 수학 글을 고쳐 쓰는 커뮤니티 허브
한국어 제목 · opus 5.5 같은 대형 클라우드 모델이 모션 그래픽 찬사를 받지만, 로컬 qwen3.8 flash next로 이걸 만들었다. 충분히 가능하다!
한국어 제목 · 8GB GPU에서 262K 컨텍스트, 3.5 BPW Qwen-Flash-Next Coder를 llama.cpp로 초당 70토큰
한국어 제목 · 일부러 부수기: ChaosEngineeringMasterDeck가 장애를 우리 아키텍처에 대한 신뢰로 바꾼 방법
한국어 제목 · 촬영 후에는 어떤 설정으로도 고칠 수 없는 AI 배경 제거 실패 두 가지
한국어 제목 · 모바일 앱 릴리스는 코드만이 아니다: 릴리스 자산을 정리하는 방법
한국어 제목 · 고대 금석문에서 3D 단백질까지: Google Antigravity에서 플러그인·스킬·MCP 사이드카 만들기
한국어 제목 · 상태 머신으로 가는 길 VI - 독립 작업이 다른 순서로 끝나면 어떻게 할까?
한국어 제목 · Slothly - 잠든 사이 일하는 야간 에이전트
한국어 제목 · 프로토콜 업그레이드 호환성 검토: Lido
한국어 제목 · CADCraft: 자동화를 위한 오픈소스 Rust 2D CAD 작업 흐름
한국어 제목 · Chess Arena ♟ — 바닐라 JS로 만든 미니멀 체스 vs 어려운 AI, 플레이 테스트 요청
한국어 제목 · Supabase keepalive는 동작했는데 그래도 프로젝트가 일시정지됐다
한국어 제목 · Amazon SageMaker AI에서 멀티턴 강화학습: 실습 가이드
한국어 제목 · AWS CDK로 SageMaker AI 엔드포인트 오토스케일링 조율하기
한국어 제목 · Amazon Quick Sight 레이어 지도에서 GeoJSON으로 지점과 경로 시각화하기
한국어 제목 · Bayer Crop Science가 AWS Unified Operations와 Amazon Bedrock AgentCore로 에이전트형 의사결정 엔진을 만든 방법
한국어 제목 · Amazon Polly, Generative 엔진 대규모 업그레이드
한국어 제목 · IskayPet이 Amazon Bedrock Managed Knowledge Bases로 사내 지식을 통합한 방법
한국어 제목 · GPU 관리 없이 SageMaker AI로 모델을 맞춤화하는 새로운 방법 발표
한국어 제목 · Amazon SageMaker training session API로 GPU 관리 없이 직접 학습 루프 작성하기
한국어 제목 · Amazon Quick으로 HIPAA 적격 환경에 AI 배포하기
한국어 제목 · Amazon SageMaker AI에서 Kokoro TTS로 AI 에이전트의 저지연 음성 스트리밍하기
이 날짜의 Hunt News 기술 보고서입니다. 수집 신호, 선정 근거, 영향과 실행 항목을 한 화면에서 확인할 수 있습니다.