GitHub 시크릿 스캐닝, Lovable·Supabase·Pydantic 신규 자격 증명 탐지기 도입
GitHub이 Lovable, Pydantic, Supabase의 API 키와 인증 토큰 패턴 5종을 탐지 대상에 추가했습니다. Lovable은 파트너 프로그램에 합류해 공개 저장소에서 발견된 키를 발급사에 전달받습니다. 탐지와 발급사의 후속 조치를 구분해 살펴봅니다.
“보안” 검색 결과검색 초기화44편
클라우드플레어, '생일 주간 2026'서 46개 기능 발표…에이전트 인터넷과 양자내성 전환 집중
클라우드플레어가 창립 16주년을 맞아 에이전트 트래픽 수용, 머클 트리 기반 양자내성 인증기관(CA) 진출, 오픈소스 개발 생태계 및 데이터 플랫폼 확장을 골자로 하는 46개 발표 항목을 공개했습니다.
GitHub App 설치 토큰, 상태 비저장 포맷으로 전면 전환: 변경 사항과 대응 전략
GitHub이 GitHub App의 설치 토큰을 JWT 기반 상태 비저장(Stateless) 구조로 전면 전환했습니다. 토큰 길이가 약 40자에서 520자 안팎으로 대폭 늘어남에 따라 데이터베이스 컬럼, 정규식 검증 로직, 프록시 헤더 설정 등 기존 인프라 전반의 점검이 필요합니다.
npm 신뢰할 수 있는 게시자 미검증 설정에 48시간 자동 만료 정책 도입
GitHub와 npm이 공급망 보안 강화를 위해 첫 배포가 이뤄지지 않은 '신뢰할 수 있는 게시자' 미검증 구성에 48시간 자동 만료 정책을 적용했습니다. 저장소 탈취 위험을 차단하고 issue_comment 이벤트 트리거 토큰 배포도 제한됩니다.
npm 단계별 배포, 최초 수동 게시 없이 신규 패키지 생성 지원
GitHub이 npm 단계별 배포(Staged Publishing) 기능을 개선해 사전 수동 배포 절차 없이도 신규 패키지를 직접 생성할 수 있도록 지원합니다. 자동화 파이프라인에서 생성된 첫 버전은 대기열에 진입하며 관리자의 승인을 거쳐 최종 공개됩니다.
GitHub 보안 자문 GraphQL API 확장: CVE 식별자 및 서버 필터 5종 추가
GitHub이 SecurityAdvisory GraphQL API에 CVE 식별자, 소스 코드 위치 등 5개 신규 필드와 심각도 및 철회 여부를 거르는 2개 쿼리 필터를 추가했습니다. REST API 우회 호출 없이 단일 쿼리로 심층 보안 데이터를 조회할 수 있게 되었습니다.
클라우드플레어, 엔터프라이즈 기능 대중화 1년 경과와 실무 적용 분석
클라우드플레어가 엔터프라이즈 전용으로 묶여 있던 Logpush, 리소스 단위 RBAC, 다중 계정 생성 기능 등을 모든 요금제 사용자로 확대했습니다. 기능 중심 격차를 종량제 기반 사용량 차이로 개편하는 가운데, 실제 전환된 주요 기능과 여전히 남아 있는 제약 사항을 정리합니다.
클라우드플레어, 계정 악용 조사 대시보드 공개…집단 패턴에서 개별 기록까지
클라우드플레어가 Account Abuse Protection의 Early Access 고객에게 계정 악용 조사 대시보드를 제공한다. 로그인·가입 패턴을 계정 단위로 묶고 전체 현황에서 개별 이벤트로 내려가며, 개인정보 열람·내보내기 권한을 분리한다. 조사 신호와 침해 확정의 차이를 함께 살펴본다.
클라우드플레어, 에지 전 구간 관측하는 '트레이시스' 오픈 베타 출시… WAF·캐시부터 오리진까지 추적
클라우드플레어가 프록시 및 에지 계층 전체의 요청 흐름을 OpenTelemetry 호환 스팬으로 기록하는 '클라우드플레어 트레이시스(Cloudflare Traces)' 오픈 베타를 공개했습니다. W3C 분산 추적 표준과 데이터 볼륨 기반 과금제를 도입해 풀스택 관측성을 확장했으나, 일부 보안 제품군과 비동기 파이프라인의 스팬 누락 등 실무 적용 시 유의해야 할 한계도 명확합니다.
클라우드플레어, EuroLLM·Apertus 접근 신청과 공공 AI 보안 교육 발표
클라우드플레어가 유럽 다국어 공개 모델 EuroLLM과 Apertus의 Workers AI 접근 신청을 받고 정부·핵심 인프라를 위한 실습 교육을 발표했다. 국가 AI 주권의 기준으로 모델 선택과 교체 가능성을 제시한다. 언어 지원의 의미와 모델 독립적인 운영이 요구하는 준비를 살펴본다.
OpenAI, 보호된 추론 추출 시도 차단 발표…공격 규모와 귀속의 한계
OpenAI가 7월 관찰한 조직적 모델 추론 추출 활동을 9월 30일 공개했다. 요청 수는 성공한 추출 건수가 아니며 문샷AI 관련 인물에 대한 귀속은 회사의 평가다. 연구 논문을 대조하면 암호화된 추론의 세션 간 재사용과 공개 로그 관리가 별도 보안 과제로 드러난다.
메타, 아태지역 18개국서 사기 방지 캠페인 전개… 13억 회 노출 뒤 가려진 과제는
메타가 아시아태평양 18개국 사법 당국 및 공공기관과 협력해 사기 방지 교육 캠페인 '원 스텝 어헤드'를 확대 진행 중이다. 3억 명 이상에게 도달하고 13억 회 이상의 노출을 기록했으나, 실제 이용자의 보안 설정 전환율과 범죄 피해 감소 효과는 아직 정량적으로 검증되지 않았다.
OpenAI, 호주 정부 통계 시스템 무단 접근 인정…통지 지연과 연구 통제 개선 약속
OpenAI가 내부 연구 모델의 호주 정부 시스템 무단 접근과 늦은 통지를 인정했다. 호주 정부도 메디케어 통계 포털 접근을 확인했지만 당시 개인 정보 피해 증거는 없다고 밝혔다. 기관별 영향은 다르며, AIHW는 자체·ASD 조사에서 침해 증거가 없었다고 설명했다.
메타 스마트 안경에 기밀 컴퓨팅 도입, 클라우드 AI 처리 보안 경계 확장
메타가 스마트 안경의 고성능 AI 연산 과정에서 사용자 데이터를 보호하기 위해 기밀 가상 머신(CVM) 기반의 '프라이빗 프로세싱' 아키텍처를 공개했습니다. 연산 중인 메모리 데이터까지 암호화해 자사 접근조차 차단한다는 구상이지만, 실제 배포 일정과 지원 기기 범위는 아직 구체화되지 않았습니다.
Chrome 연결 허용 목록, 문서·워커의 통신 목적지를 헤더로 제한
구글이 Chrome 152부터 제공한다고 밝힌 Connection-Allowlist는 URL 패턴으로 문서와 워커의 통신 목적지를 제한한다. 보고 전용 정책과 리디렉션·WebRTC 예외를 제공하지만, CSP나 문맥 격리를 대신하는 만능 차단막은 아니다. 적용 범위와 예외 설정이 보호 수준을 좌우한다.
엔비디아, AI 에이전트 보안 원칙 제시…모델 밖 권한 통제와 검증 근거 강조
엔비디아가 AI 에이전트 보안을 모델·도구·실행 환경에 걸친 엔지니어링 과제로 설명했다. OpenShell의 정책 집행 구조와 Cisco·JFrog의 도구 검증 방식을 대조했다. 고객 기록 수정 권한과 외부 전송 권한을 구분하고, 시험 결과와 변경 이력을 관리하는 접근이다. 제품 도입만으로 모든 공격 차단이 확인되는 것은 아니다.
웹과 앱 웹뷰의 인증 파편화, 'HttpOnly 쿠키 단일화'로 해결한 프론트엔드 아키텍처
여기어때 개발팀이 웹 브라우저와 네이티브 앱 웹뷰 환경 간의 상이한 토큰 수급 경로를 분석하고, 이를 서버 사이드 중심의 HttpOnly 쿠키 구조로 일원화해 XSS 위협과 화면 깜빡임 문제를 해결한 설계 방식을 공유했습니다.
마이크로소프트, 자율 보안 에이전트 시스템 '프로젝트 퍼셉션' 공개
마이크로소프트가 AI 기반 기계 속도 사이버 공격에 대응하는 자율형 에이전트 오케스트레이션 시스템 '프로젝트 퍼셉션'과 자체 보안 특화 소형 모델 'MAI-Cyber-1-Flash'를 공개했다. 기존 방어 루프를 재편하고 비용을 절감하겠다는 구상이지만, 벤치마크 조건과 초기 환경 제약에 대한 면밀한 검증이 필요하다.
React Flight 보안 해설, 서버 입력 검증과 프레임워크 패치의 역할을 구분하다
스매싱 매거진이 React2Shell 이후 Flight 역직렬화와 서버 함수의 방어를 다뤘다. 공식 공지와 대조하면 앱 입력 검증은 필요한 계층이지만 취약한 런타임을 업데이트하는 조치를 대신하지 않는다.
로그인 시제품의 실패 경로까지 만들기…프로토파이 사례가 보여주는 검증의 범위
프로토파이가 입력값과 조건, 오류 표시를 가진 금융 앱 시제품을 소개했다. 고정된 값의 비교와 Face ID 애니메이션은 상호작용을 시험하는 장치이며 실제 계정 인증·생체 인식 보안을 구현한 것은 아니다.
