Critical Security Vulnerability in React Server Components : 지난 29일 Lachlan Davidson이 React에서 인증 없이도 원격 코드를 실행할 수 있는 취약점을 최초로 보고했다. React2Shell로 알려진 이 취약점은 React Server Function 엔드포인트로 전송되는 페이로드를 해독하는 방식의 취약점을 악용하기 때문에 앱이 React Server Function 엔드포인트를 구현하지 않는다고 하더라도 앱이 React Server Component를 지원한다면 취약할 수 있다. 이 취약점은 React 19.0, 19.1.0, 19.1.1, 19.2.0에 존재하며 각각 19.0.1, 19.1.2, 19.2.1에서 수정되었고 Next.js에서도 취약점이 13.3.x, 13.4.x, 13.5.x, 14.x, 15.x, 16.x에 존재하므로 즉시 업데이트해야 한다.(영어)
이후 서비스 거부 취약점과 소스 코드가 노출될 수 있는 추가 취약점이 발견되어 업데이트가 필요하다.
How We're Protecting Our Newsroom from npm Supply Chain Attacks : 지난 11월 월간 1억 3천만 건의 다운로드를 기록한 796개의 패키지를 침해한 Shai-Hulud NPM 웜이 있었지만, 시애틀 타임즈는 이 영향을 받지 않았다. npm 레지스트리의 보안 개선을 많은 부분에서 큰 진전을 이루었지만, 레지스트리의 보안은 패키지의 게시는 보호하지만, 패키지의 소비는 막지 못하는데 Shai-Hulud도 이 지점을 이용한 것이었다. 그래서 pmpm의 클라이언트 측 보호 계층을 사용했는데 기본적으로 라이프사이클 스크립트를 차단하고 설정을 통해 제어할 수 있으며 쿨타임을 지정해서 쿨타임 기간 내의 패키지는 설치를 차단할 수 있고 Trust Policy를 통해 새 버전이 이전 버전보다 인증이 약하다면 설치를 차단할 수 있다.(영어)
Background Coding Agents: Predictable Results Through Strong Feedback Loops (Part 3) : Spotify에서 백그라운드 코딩 에이전트를 도입하는 과정을 설명하는 연작 글이다. 백그라운드 코딩 에이전트는 PR을 생성 못 하거나 PR을 생성했는데 CI가 실패하거나, CI도 통과했지만, 기능적으로 잘못된 PR을 만드는 세 가지 실패 모드를 걱정했다. 이러한 실패를 완화하기 위해 검증 루프를 넣기 위해 verifier를 만들어서 제공하는데 이를 통해 에이전트가 올바른 해결책을 찾게 하고 verifier를 추상화해서 사소한 컨텍스트에 낭비할 필요가 없어졌다. 추가로 에이전트가 지시하지 않은 문제도 해결하려고 하므로 심사위원으로 LLM을 추가해서 검증 후에 제안된 변경 사항을 검토하도록 했다.(영어)
$5짜리 프롬프트로 $2,418짜리 취약점 찾은 썰 : 최근 해킹 대회에서 LLM을 많이 사용하는 것에 인사이트를 받아서 수년간 기여해서 이해도가 높은 Django를 대상으로 ChatGPT를 이용해서 취약점 분석을 시도한다. 취약점 목록을 찾게 하고 이를 직접 검토하면서 그동안 몰랐던 취약점에 관해서 배우게 되고 일부 취약점은 인정되지 않았지만 중간 심각도의 취약점으로 평가받은 취약점도 찾아서 제출하게 된 과정이 자세하게 나와 있다.(한국어)
Litestream VFS : SQLite의 백업/복원 시스템인 Litestream에 VFS 기능이 추가되어 원격에 있는 백업본에 연결해서 전체 데이터베이스를 다운로드 받지 않고도 쿼리를 할 수 있게 되었다. Litestream은 5.0에서 데이터 전송 파일 형식은 LTX를 통합했는데 LTX를 통해 개별 페이지에서 읽기를 수행할 수 있으므로 SQLite의 VFS 인터페이스를 이용해서 이러한 기능을 지원할 수 있다.(영어)
AWS Lambda를 EC2에서 실행할 수 있는 AWS Lambda Managed Instances 출시
여러 단계를 조정할 수 있는 AWS Lambda durable functions 출시
Kubernetes를 완전히 관리할 수 있는 서비스로 Argo CD, AWS Controllers for Kubernetes, Kube Resource Orchestrator가 포함된 EKS Capabilities 출시
비용 효율성을 유지할 수 있는 AWS Database Saving Plan 도입
원인을 파악하고 사고 대응을 하는 AWS DevOps Agent 출시
벡터를 저장할 수 있는 Amazon S3 Vectors 정식 출시
새로운 프론티어 Nova 모델 발표
2025년 12월 5일 Cloudflare 서비스 중단 : 지난 12월 5일 한국 시각 17시 47분부터 25분간 Cloudflare 네트워크에 장애가 발생했다. 이번 장애는 최근 공개된 React2Shell로 알려진 취약점을 막기 위해 버퍼 크기를 1MB로 늘려서 배포하던 중 WAF 테스트 도구가 증가시킨 버퍼 크기를 지원하지 않는다는 것을 발견되었고 이 테스트 도구를 비활성 하려고 글로벌 구성 시스템에 변경했을 때 FL1 버전 프록시가 수년간 잠재되어 있던 버그로 오류가 발생하면서 장애가 발생했다.(한국어)
Shifting left at enterprise scale: how we manage Cloudflare with Infrastructure as Code : Cloudflare가 보안 검사를 일관되게 적용하기 위해 Shift Left를 적용하려고 Infrastructure as Code로 모두 전환했다. 이를 위해 Terraform을 선택했고 CI/CD 파이프라인에서 Atlantis를 사용하고 있으면 상태 파일을 안전하게 저장하기 위해 tfstate-butler를 사용하고 있다. 필수 보안 구성을 코드로 관리하고 있으며 설정을 자동으로 검사하기 위해 Open Policy Agent(OPA)를 사용해서 Atlantis Conftest Policy Checking 기능으로 이를 검사하고 있다.(영어)
AV1 — Now Powering 30% of Netflix Streaming : Netflix 시청의 약 30%는 이제 개방형 최신 비디오 코덱인 AV1를 사용하고 있다고 한다. 그 이전에는 H.264.AVC를 스트리밍 포맷으로 사용했지만, 오픈 미디어 연합에서 AV1을 2018년 출시하게 되었고, Netflix에서도 AV1을 지원하기 위해 유연한 안드로이드를 첫 출발점으로 삼았다. AV1의 우수한 압축 효율은 모바일 사용자에게 특히 유용했고, 안드로이드의 AV1 출시를 바탕으로 기기 제조업체와 SoC 업체와 협력해서 2021년 말에는 TV 기기에서 AV1을 스트리밍할 수 있게 되고 2023년에는 애플 기기에도 AV1 하드웨어 지원이 도입되면서 이를 지원할 수 있게 되었다. VOD를 넘어 라이브 스트리밍과 클라우드 게이밍에도 고려하고 있으며 2025년 발표된 AV2에도 큰 기대를 하고 있다.(영어)
Cloudflare Radar 2025 Year in Review : Cloudflare 네트워크의 데이터를 바탕으로 한 연례 보고서다. 전 세계 인터넷 트래픽은 19% 증가했으며 AI의 사용자 행동 크롤링은 15배 등장했고, Anthropic이 AI 플랫폼 중 가장 높은 크롤링 대비 추천 비율을 보여주었고 robots.txt에서 AI 크롤러를 가장 많이 차단했다. iOS 기기가 모바일 트래픽의 35%를 차지했고 HTTP/3와 HTTP/2는 소폭 증가했으며 전 세계의 듀얼스택 요청은 1/3 미만이 IPv6로 이루어졌다.(영어)
Introducing Mistral 3 : Mistral 3가 발표되었다. Mistral 3에는 14B, 8B, 3B 소형 밀도 모델과 Mistral Large 3가 포함되고 지금까지 중 가장 강력한 41B 활성 매개변수와 675B의 총 매개 변수로 훈련된 모델로 Apache 2.0 라이선스로 출시되었다.(영어)
Devstral2 Mistral Vibe CLI : Mistral에서 차세대 코딩 모델로 Devstral 2(123B)와 Devstral Small 2(24B)를 오픈소스 라이센스로 공개했다.(영어)
문서화, 온보딩, 팀간 조정, 프로세스 개선처럼 다른 작업을 가능하게 하는 작업은 값을 매길 수 없고 보이지 않는다.
모든 토론에서 이기고 있다면, 아마도 침묵의 저항이 쌓이고 있을 것이다.
측정이 목표가 되면 측정을 멈춘다.
모르는 것을 인정하는 것이 아는 척하는 것보다 더 안전하다.
인적 네트워크는 당신이 가질 모든 직장보다 더 오래 지속된다.
대부분의 성과는 명석함을 더하는 것이 아니라 작업을 줄이는 데서 온다.
프로세스는 불확실성을 줄이기 위함이지 기록을 남기기 위한 것이 아니다.
결국 시간이 돈보다 소중해지므로 그것에 맞게 행동해야 한다.
지름길은 없지만 복리는 있다.
Leaving Intel : 컴퓨팅 성능 연구로 유명하고 다수의 책을 쓴 Brendan Gregg이 3년 반을 다닌 Intel을 퇴사했다.(영어)
Ghostty Is Now Non-Profit : Mitchell Hashimoto의 개인 프로젝트로 시작된 Ghostty가 이제 Hack Club의 재정후원을 받게 되었다. 여전히 Mitchell이 가장 큰 재정 후원자이지만 Hack Club을 통해 자금이 사적으로 유용되거나 사명이 바뀌지 않도록 Hack Club의 감사를 받게 되고 지적재산권도 모두 Hack Club으로 이전되었다.(영어)
The Future of Fleet : JetBrains에서 새로운 세대의 IDE를 탐구하려고 Fleet을 시작했지만 기존 IDE를 대체하지도 못했고 새로운 틈새시장도 찾지 못했기에 더 이상 유지할 이유가 없다고 판단하고 12월 22일부터는 다운로드도 중단한다고 한다.(영어)
IBM to Acquire Confluent : IBM이 Kafka를 주도적으로 만들고 플랫폼을 운영하는 Confluent를 주당 31달러 전액 현급으로 인수하기로 합의했다. 인수 후에도 Confluent는 독립된 브랜드로 사업을 계속할 것이라고 밝혔고, AI에서 데이터를 활용하는 게 핵심이므로 Confluent가 그 중요한 역할을 할 수 있다고 보고 이런 계약이 이루어졌다.(영어)
Bun is joining Anthropic : JavaScript/TypeScript/JSX 툴킷인 Bun이 AI 모델을 만드는 Anthropic에 인수되었다. Anthropic은 Bun을 Claude Code, Claude Agent SDK 등의 도구에 인프라로 사용할 계획으로 알려졌고 인수 이후에도 Bun은 MIT 라이센스로 유지될 계획이고 기존과 똑같이 개발될 예정이다.(영어)
Comments