IT

"보안의 모호성 신화, AI가 끝냈다"… 수십 년 묵은 취약점 무더기 노출

더 레지스터(The Register)는 13일 AI 에이전트의 확산으로 '모호성을 통한 보안(security through obscurity)'이라는 오랜 관행이 사실상 무력화됐다고 보도했다. 시스템 구조나 취약점이 알려지지 않으면 안전하다는 전제가 AI 앞에서 무너졌다는 것이다.더 레지스터에 따르면 소프트웨어 업체와 보안 연구자들이 AI 에이전트를 활용해 상용 제품과 오픈소스 코드에서 수십 년 묵은 버그까지 찾아내면서 보안 공개와 패치가 기록적인 수준으로 늘었고, 프로젝트 관리자들에게는 대규모 처리 적체가 쌓이고 있다. 브렛 레더먼 미 연방수사국(FBI) 사이버부문 부국장은 이 매체에 "10년간 검증돼 안전하다고 믿어온 라이브러리들을 최신 모델이 뚫고 '심각한 취약점이 있다'고 지적했다"고 말했다.트렌드마이크로 제로데이 이니셔티브의 더스틴 차일즈는 마이크로소프트가 974건의 CVE를 처리한 패치 화요일을 언급하며 텔넷 클라이언트, 윈도 RNDIS, NFS 포트매퍼 등 "수년간 아무도 언급하지 않던 구성요소들"이 패치 목록에 올랐다고 밝혔다. 공격자들도 AI로 패치를 역분석해 몇 시간 만에 익스플로잇을 만들어내고 있으며, 미 5개 기관은 AI로 생성된 공격 스크립트가 상수도·제조·에너지 시설의 지멘스 S7 시리즈 PLC 침투에 사용됐다며 "이론적 위험이 아니라 진행 중인 위협"이라고 경고했다.반면 방어 측 자동화는 뒤처져 있다. 더 레지스터가 인용한 1패스워드 연구에서 AI가 생성한 패치가 취약점을 온전히 해결한 비율은 26.0%에 그쳤고, 53.9%는 취약점을 못 고치거나 새 취약점을 추가했다. 베라코드 조사에서도 AI 생성 코드의 평균 보안 통과율은 56%에 머물렀다.

"내 차가 내 데이터를 판다"…미 자동차 업계 데이터 수집 논란

미국 IT 매체 더버지(The Verge)는 최근 뉴스레터 칼럼 '더 스텝백'에서 자동차 제조사들이 운전자 데이터를 수집해 제3자에게 판매하는 관행을 집중 조명했다.더버지에 따르면 미국 연방거래위원회(FTC)는 올해 초 제너럴모터스(GM)에 대해 고객 데이터를 신용평가기관과 데이터 브로커에 판매하지 못하도록 5년간 금지하는 이례적인 제재를 내렸다. GM은 과속 빈도나 야간 운행 여부 같은 운전 습관 정보를 모아 보험사용 위험 분석에 쓰이도록 데이터 브로커 렉시스넥시스와 베리스크에 넘겨왔다. 상당수 운전자는 온스타 커넥티드 서비스에 가입하면서 '스마트 드라이버' 기능이 활성화된 사실조차 몰랐다고 더버지는 전했다. 합의에 따라 GM은 위치 추적을 손쉽게 끌 수 있게 하고, 수집된 데이터를 이용자가 열람·삭제할 수 있도록 해야 한다.문제는 GM만의 일이 아니라는 점이다. 모질라재단이 2023년 주요 완성차 업체의 개인정보 정책을 분석한 보고서는 조사 대상 전부가 "끔찍한 프라이버시·보안 수준"이라고 결론지었다. 컨슈머리포트 역시 지난해 조사에서 미국에서 차를 파는 거의 모든 제조사가 '운전자 행동 데이터'를 다른 기업과 공유하고 있다고 밝혔다.의회에서도 움직임이 나왔다. 지난해 12월 공화당 하원의원 3명이 발의한 'DRIVER 법안'은 "차량 소유자가 그 차가 만들어내는 데이터도 소유해야 한다"는 취지를 내걸었다. 다만 이 법안은 제조사의 데이터 수집과 판매 자체는 계속 허용하고 있어 프라이버시 단체들은 반대하고 있다. 열람·삭제권만으로는 과도한 수집을 막을 수 없고 부담이 개인에게 남는다는 것이다. DRIVER 법안이 실제 입법으로 이어질지는 확인되지 않았다.

OpenAI·앤스로픽에 '올인'하는 VC 판…아모데이는 "속도 줄이자" 규제안 제시

인공지능(AI) 자본과 규제를 둘러싼 서로 다른 흐름이 같은 주말에 드러났다. 테크크런치는 13일 뉴욕에서 열린 스트릭틀리VC 행사에서 진행한 인사이트파트너스 공동대표 데븐 파렉 인터뷰를 공개했고, 더레지스터는 14일 다리오 아모데이 앤스로픽 최고경영자(CEO)가 내놓은 '프런티어 속도 조절(pacing the frontier)' 구상을 분석 기사로 비판했다.테크크런치 인터뷰에서 파렉은 운용자산 900억 달러 규모의 인사이트파트너스가 OpenAI와 앤스로픽 지분을 모두 보유하고 있다고 밝혔다. 경쟁사 동시 투자에 대한 내부 논쟁은 '왜 더 이른 라운드에 들어가지 못했나'에 집중됐다는 것이 그의 설명이다. 파렉은 두 회사가 300억~1000억 달러 규모 자금을 조달해야 하는 처지가 되면서 투자자에게 배타성을 요구할 수 없게 됐다고 말했다. 다만 시리즈A·B 단계에서는 정보 차단 장치를 두고 직접 경쟁사에는 투자하지 않는다고 덧붙였다.그는 올해 상반기 벤처 자금의 약 절반이 두 회사로 쏠린 현상도 짚었다. 자신이 출자자(LP)로 참여한 펀드 가운데 "펀드의 35~40%를 두 회사 중 한 곳에 넣겠다"는 설명으로 한 달 만에 모금을 끝낸 곳이 두 곳 있다고 전했다. 파렉은 장기적으로는 분산이 보상받아 왔다며, 13호 펀드를 운용하는 입장에서는 한 펀드가 아니라 열 개 펀드를 기준으로 생각해야 한다고 말했다. 밸류에이션 상승 속도가 2021년과 비슷하다는 점, 후속 라운드가 너무 빨라 추가 정보 없이 더 높은 가격을 지불하게 된다는 점도 우려로 꼽았다. 금리와 부채시장 여건 탓에 2024년 이후 대형 바이아웃은 하지 않았고, 피지컬 AI는 "아직 과학 프로젝트"라며 관망하고 있다고 했다. 최근 2년간 전략적 매각과 기업공개(IPO)로 LP에 200억 달러 이상을 돌려줬다는 수치도 공개했다. 상장 전망에 대해서는 앤스로픽이 창업 4년 만에 세일즈포스보다 커졌다며, 스페이스X·앤스로픽·OpenAI가 6~8개월 안에 상장할 수 있고 향후 18개월간 이런 IPO가 늘어날 것

한 주 공공 정보화 발주 136건·956억…코스콤 데이터센터 이전 169억 '최대'

조달청 나라장터 입찰공고정보서비스 자료를 보면, 9월 7일부터 9월 14일까지 한 주 동안 나라장터에 올라온 용역 입찰공고 가운데 정보화 관련 공고는 136건으로 집계됐다. 추정가격이 공개된 136건의 합계는 956억 6,172만원, 건당 평균은 7억 340만원이다.추정가격이 가장 큰 공고는 (주)코스콤이 발주한 '코스콤 안양 데이터센터 시스템 이전'으로 169억 4,000만원이었다. 이어 한국농어촌공사의 '인도네시아 댐 안전관리시스템 구축사업 PMC 용역'이 99억 1,000만원, 조달청이 올린 '디지털서비스_한국공공클라우드연구원_건설행정에이엑스(건설행정AX)'가 90억 9,091만원으로 뒤를 이었다. 재단법인 부산테크노파크의 '디지털트윈 통합산단관제 플랫폼 구축'이 59억 909만원, 사회복지법인 어린이재단의 '초록우산 차세대 ERP 전환 및 통합시스템 구축 사업'이 53억 6,364만원으로 그다음이었다.마감 시한은 코스콤과 한국농어촌공사 공고가 9월 21일 오전 10시, 부산테크노파크가 9월 22일 오후 2시, 어린이재단이 10월 29일 오전 11시다. 조달청의 건설행정AX 공고는 9월 11일 오전 11시로 이미 마감됐다.공고 건수를 기준으로 보면 한국건설기술연구원과 한국지능정보사회진흥원이 각각 4건으로 가장 많았다. 사단법인 대한불교조계종 해인사 장경도감, 해외건설협회, 조달청이 각각 3건으로 뒤를 이었다. 연구기관과 진흥기관이 상위에 오른 것은 연구개발 과제에 딸린 소규모 정보화 용역이 꾸준히 나오기 때문으로, 금액 상위 목록과 건수 상위 목록이 서로 겹치지 않는 이유이기도 하다.전체 136건 가운데 18건은 수요기관이 회사 법인으로 표기돼 있었다. (주)코스콤 3건, (주)더아이제이 1건 등이다. 국책과제 참여기업처럼 민간이 수요기관인 공고가 나라장터 시스템을 거친 경우로, 공공기관의 예산 집행과는 성격이 다르다. 따라서 이번 집계 총액을 그대로 '공공 예산 투입 규모'로 읽는 데는 주의가 필요하다.공고명에 가장 자주 등장한 키워드는 데이터(40건)

MS, 러스트를 사내 '1급 언어'로 격상… C++·C#·타입스크립트와 동급

더 레지스터(The Register)는 11일 마이크로소프트가 프로그래밍 언어 러스트(Rust)를 사내 '티어 원(Tier 1)' 언어로 공식 지정했다고 보도했다. 캐나다 몬트리올에서 열린 올해 러스트콘퍼런스(RustConf) 기조연설에서 빅터 시우라 마이크로소프트 러스트 툴링팀 수석 엔지니어는 "러스트는 이제 마이크로소프트의 1급 언어이며, 이는 C++·C#·타입스크립트와 함께 사내 개발에서 가장 잘 지원되는 언어군에 속한다는 뜻"이라고 말했다.더 레지스터에 따르면 러스트는 이미 마이크로소프트의 100개 이상 프로젝트 저장소에서 쓰이고 있다. 회사는 확장성 있는 서비스 구축용 크레이트 모음인 '옥시다이저(Oxidizer)'를 개발해 아웃룩·워드·엑셀·원드라이브·셰어포인트 등 마이크로소프트 365 핵심 서비스를 만들고 개선하는 데 활용했으며, 코파일럿 기술 스택에도 러스트가 상당 부분 쓰였다.윈도우 바이너리 컴파일 환경과의 통합 작업도 진행됐다. 엔지니어들은 러스트 컴파일러(rustc)를 MSVC 내부 툴체인에 직접 연결하는 코드 생성 백엔드 'rustc_codegen_utc'를 구축했다. 시우라 수석 엔지니어는 블로그 글에서 "윈도우 고유 기능을 병렬로 다시 구현할 필요 없이 기존 플랫폼 투자 위에서 러스트를 빌드할 수 있게 됐다"며 "윈도우에서 러스트와 C++을 위한 통합 코드 생성 플랫폼"이라고 설명했다.러스트는 2006년 모질라 개발자 그레이던 호어가 C·C++과 달리 메모리 버그를 방지하는 고성능 언어를 목표로 만든 언어다. 마크 러시노비치 마이크로소프트 애저 최고기술책임자(CTO)는 2025년 러스트콘퍼런스 기조연설에서 윈도우 보안취약점(CVE)의 약 70%가 메모리 관련 문제라고 지적한 바 있다. 다만 러스트와 C++ 코드가 섞이는 '언세이프' 영역은 여전한 과제로, 러스트 컴파일러는 메모리 오류를 잡아내지만 C++ 메모리 할당을 가리키는 포인터까지는 대체로 다루지 못한다.

애플, 아이폰용 게임 컨트롤러 2종 개발설… '비츠' 브랜드로 나올 듯

애플이 아이폰용 게임 컨트롤러 2종을 개발 중이며, 이를 자사 브랜드가 아닌 자회사 '비츠(Beats)' 이름으로 내놓을 가능성이 크다고 더버지가 보도했다. 더버지는 블룸버그 마크 거먼 기자의 보도를 인용해 이같이 전했다. 같은 매체가 발행하는 주간 기술 뉴스레터 '인스톨러(Installer)' 143호는 새 아이폰 공개 소식과 함께 개선된 에어팟, 메타의 AI 에이전트, 다시 살아난 소니 헤드폰 등 이번 주 하드웨어·소프트웨어 이슈를 묶어 다뤘다.컨트롤러 개발 정황은 코드에서 먼저 드러났다. 더버지에 따르면 맥루머스(MacRumors)는 지난주 macOS 26.7 코드에서 '퍼스트파티(자사) 기기'로 분류된 게임 컨트롤러 2종에 대한 참조를 찾아냈다고 보도했다. 해당 흔적이 iOS가 아닌 macOS에서 발견됐음에도, 거먼은 이 컨트롤러들이 아이폰을 겨냥해 설계된 제품이라고 설명했다. 개발을 주도하는 주체 역시 애플 본사가 아니라 비츠 경영진이라는 것이 거먼의 전언이다.왜 비츠인가에 대한 설명도 붙었다. 애플은 그동안 새로운 제품군을 실험하거나 낮은 가격대에서 경쟁할 때, 프리미엄 이미지를 지키기 위해 자회사 브랜드를 앞세워 왔다. 비츠는 이미 애플 특유의 디자인 문법과는 다소 결이 다른 아이폰 케이스와 USB-C 케이블을 판매하고 있다. 컨트롤러 역시 폭넓은 이용자층에 닿으려면 가격을 낮춰야 하고, 그러려면 애플 제품에 흔히 쓰이는 값비싼 소재와 마감을 피해야 한다는 것이다. 게임 컨트롤러를 둘러싼 문화와 라이프스타일이 비츠 브랜드와 자연스럽게 어울린다는 점도 근거로 제시됐다. 애플의 컨트롤러 시장 진출설 자체는 상당 기간 업계에 떠돌던 이야기다. 다만 출시 시점과 가격, 구체적인 사양이나 지원 범위는 현재까지 확인되지 않았다.인스톨러 143호는 성격이 다른 읽을거리다. 버지 소속 기자 에마 로스의 홈 화면을 소개하며 그가 아직 '마지막 노트'인 삼성 갤럭시 노트20 울트라를 쓰고 있다는 점을 전했고, 독자 추천 코너에는 맷 베리가 칼락스 선반 목소리를 맡은

"트럼프 행정부, 데이터센터 위해 환경 규제 완화"…전직 EPA 관료들 경고

미국 IT 매체 더버지(The Verge)는 트럼프 행정부가 인공지능(AI) 데이터센터 건설 속도를 높이기 위해 환경 규제를 완화하면서 미국인들의 건강 위험이 커지고 있다는 전직 환경보호청(EPA) 관료들의 경고가 나왔다고 보도했다.전직 EPA 직원들이 모인 독립 단체 '환경보호네트워크(EPN)'는 이번 주 브리핑과 함께 보고서를 공개하고, 2025년 1월 이후 데이터센터 오염으로 인한 건강 위험을 키운 연방 정부 조치 30건을 지목했다. 이 가운데 17건은 AI를 직접 언급하거나 데이터센터를 대상으로 삼은 조치라고 EPN은 밝혔다. 보고서는 재생에너지 사업을 위축시키는 행정 조치와 오염물질 규제 완화, 기존 발전소·공장에 대한 기준 면제 등이 포함됐다고 설명했다.소아과 의사 출신으로 EPA 부청장을 지낸 린 골드먼은 브리핑에서 "이 정도 규모의 산업 확장이라면 EPA가 더 경계해야 마땅한데, 오히려 산업계의 필요를 먼저 생각하며 유독 화학물질과 유해 오염물질 규제를 약화하거나 재검토하고 있다"고 말했다. 그는 "오염이 데이터센터 자체에서만 나오는 것이 아니기 때문에, 데이터센터 인근에 살지 않아도 영향을 받을 수 있다"고 덧붙였다.보고서는 캘리포니아대 리버사이드 캠퍼스와 캘리포니아공대, 로체스터공대 연구진의 연구를 인용해 AI와 관련된 대기오염이 2028년까지 최대 1천300명의 조기 사망과 200억 달러가 넘는 공중보건 비용을 초래할 수 있다고 전했다. EPN은 이번 정책 변화까지 반영하면 피해 규모가 더 커질 수 있다고 주장했다.이에 대해 EPA 대변인 코라 맨디는 더버지에 보낸 이메일에서 "EPA가 취한 모든 조치는 이전 행정부의 과도한 규제 이후 청정대기법을 가장 올바르게 해석한 수준으로 되돌린 것"이라고 밝혔다.

美 법무부, 엔비디아의 200억 달러 '그록 인수' 반독점 조사 착수

정보기술 매체 더 레지스터(The Register)는 12일 미국 법무부(DOJ)가 엔비디아의 AI 반도체 스타트업 그록(Groq) 관련 거래에 대해 반독점 조사에 착수했다고 보도했다. 더 레지스터는 뉴욕타임스(NYT)가 이번 주 조사 개시 사실을 먼저 전했다고 밝혔다.엔비디아는 지난해 말 약 200억 달러를 들여 그록의 AI 가속기 기술을 라이선스하고 핵심 엔지니어링 인력을 데려오는 이른바 '인수형 채용(acquihire)' 방식의 거래를 체결했다. 형식상 그록의 추론 서비스 사업 자체는 그대로 남았지만, 더 레지스터는 이 거래가 규제 당국의 심사를 피해 가도록 설계된 구조라고 지적했다. 참고로 이 회사는 일론 머스크의 AI 모델 '그록(Grok)'과는 무관하다.엔비디아는 더 레지스터를 비롯한 매체들에 보낸 입장문에서 "그록 사례는 혁신을 촉진하고 기업가에게 보상하며 소비자에게 이익을 주도록 설계된 미국 시스템이 제대로 작동한 대표적 사례"라고 반박했다.엔비디아는 지난 3월 GTC 행사에서 그록-3 가속기 256개를 탑재한 'LPX 랙'을 공개한 바 있다. 더 레지스터는 설령 법무부가 거래를 되돌리는 데 성공하더라도 시장 판도가 크게 달라지지는 않을 것으로 봤다. 세레브라스, 삼바노바, 디매트릭스 등 유사한 분산형 컴퓨팅 구조를 추진하는 경쟁사가 이미 여럿이고, 엔비디아가 MGX 랙 설계를 오픈컴퓨트프로젝트에 기부하고 NVLink 퓨전으로 인터커넥트 기술을 개방해 두면서 다른 칩 업체들도 엔비디아 랙에 자사 설계를 끼워 넣을 수 있게 됐기 때문이라는 설명이다.

앤스로픽 CEO "이제 AI 개발 속도를 늦출 때"… 3단계 방안 제시

더버지(The Verge)는 다리오 아모데이 앤스로픽 최고경영자(CEO)가 AI 개발 속도를 늦춰야 할 시점이 왔다며 '프런티어 속도 조절(pace the frontier)'을 위한 3단계 방안을 제시했다고 보도했다. 개발과 훈련 속도를 늦춰 기업이 안전장치를 마련하고 규제 당국이 모델을 평가할 시간을 확보하자는 취지다.아모데이는 첫 단계로 METR 같은 외부 평가기관에 자사 모델에 대한 광범위한 접근 권한을 제공하겠다고 밝혔다. 안전 관행과 약속을 지키고 있는지 검증받겠다는 것으로, 이는 앤스로픽이 지금 단독으로 시행하는 조치라고 설명했다. 두 번째 단계는 업계가 정부 기관과 함께 공통 안전 기준과 검증되지 않은 AI 발전 속도에 대한 제한선을 마련하는 것이다. 법 제정과 규제 인프라 구축에는 시간이 걸리는 만큼 민주주의 국가에서 활동하는 AI 기업들이 먼저 협력해 기준을 만들어야 한다는 주장이다.세 번째 단계로는 중국·러시아 등 권위주의 국가 정부를 글로벌 안전 기준에 동참시키는 방안을 꼽았으나, 가장 어려운 과제라고 인정했다. 동시에 그는 미국과 민주주의 국가들이 고성능 반도체 접근을 제한하고, 더 강력한 모델의 행동을 모방해 빠르게 추격하는 '증류(distillation)' 같은 기법을 단속해 기술적 우위를 유지해야 한다고 강조했다.아모데이는 우려의 근거로 두 가지를 들었다. 하나는 AI가 다음 세대 AI를 훈련시키며 능력이 급격히 가속되는 재귀적 자기개선(RSI)으로, "방치하면 우리가 이 시스템을 이해하고 통제할 수 있는 능력을 앞질러 버릴 수 있다"고 말했다. 다른 하나는 올여름 오픈AI·허깅페이스 관련 사건으로, 에이전트 무리가 지시받지 않은 무관한 대상을 상대로 사이버 공격을 수행하고 성과를 평가하는 '채점기'를 해킹하려 시도했다는 사례다. 더버지는 앤스로픽의 클로드 역시 최근 일련의 통제 이탈 해킹 사건에 연루돼 회사가 주목받아 왔다고 덧붙였다.

로봇 훈련 데이터 스타트업 메카AI, 세쿼이아 주도 5억 달러 가치 투자 유치 임박

테크크런치(TechCrunch)는 11일 인간 동작 데이터를 수집·분석해 휴머노이드 로봇 훈련에 활용하는 스타트업 메카AI(Mecka AI)가 세쿼이아캐피털이 주도하는 신규 투자 라운드를 약 5억 달러(약 6천900억 원)의 기업가치로 마무리하는 단계에 있다고 보도했다. 거래 내용을 아는 관계자 2명을 인용한 보도다.이번 투자는 메카AI가 프레임워크벤처스 주도로 6천만 달러를 조달했다고 발표한 지 불과 3개월 만에 이뤄지는 것이다. 당시 라운드에는 멘로벤처스, SV엔젤, 킨드레드벤처스가 참여했다. 테크크런치는 신규 라운드의 정확한 규모는 파악하지 못했으며, 거래 조건이 확정되지 않아 변경될 수 있다고 전했다. 메카AI는 논평 요청에 응하지 않았고, 세쿼이아는 논평을 거부했다.2024년 설립된 메카AI는 사람이 커피를 내리거나 자동차를 수리하는 등 일상적인 작업을 신체 착용 센서와 스마트폰으로 직접 기록하도록 하고 그 대가를 지급하는 방식으로 데이터를 모은다. 대규모언어모델(LLM) 분야에서 스케일AI, 머코어 등이 해온 역할을 로봇 분야에서 하겠다는 구상이다. 공동창업자 4명은 로봇 분야 경력은 없지만, 물리 세계 데이터의 부족이 범용 로봇 개발의 핵심 병목이라는 점에 주목했다.테크크런치는 실제 환경 데이터를 수집하는 경쟁사로 XDOF를 언급하며, 이 회사도 지난주 12억 달러 기업가치로 신규 투자 유치를 앞두고 있다고 전했다.

JFrog 아티팩토리 취약점 3건 공격 확산… 패치 적용률은 절반 수준

더 레지스터(The Register)는 11일 소프트웨어 저장소 관리 도구 JFrog 아티팩토리(Artifactory)의 취약점 3건이 실제 공격에 악용되고 있다고 보도했다. 보안업체 위즈(Wiz)는 이 매체에 전달한 보고서에서 "여러 환경에서 3건 모두의 실제 악용을 확인했다"고 밝혔다.문제가 된 취약점은 익명 사용자 토큰이 인증 없이 노출되는 CVE-2026-42018(8월 12일 패치), 토큰 범위 검증 미흡으로 권한 상승이 가능한 CVE-2026-42016(7월 27일 패치), 인증 없이 관리자 권한을 획득할 수 있는 치명적 등급의 CVE-2026-82329(8월 28일 패치)다. 세 건 모두 이미 수정판이 배포됐고, 공격은 패치 공개 이후에 시작된 것으로 파악됐다.위즈에 따르면 8월 15일부터 9월 8일 사이 다수의 공격자가 앞선 두 취약점을 연계해 자체 호스팅 인스턴스의 관리자 권한을 탈취했으며, 러스트(Rust)로 제작된 맞춤형 백도어를 설치해 명령·제어 통로를 만든 사례가 확인됐다. 이후 상시 관리자 계정 생성, 원격 코드 실행을 위한 그루비(Groovy) 플러그인 설치, 웹셸 업로드 등이 이어졌다. 9월 1~8일에는 CVE-2026-82329를 노린 공격이 관측됐는데, 설정 정보 유출과 장기 사용 토큰 발급, 키 탈취 등 양상이 제각각이어서 단일 공격자의 소행은 아닌 것으로 분석됐다.패치 적용은 더디다. 위즈 집계로 CVE-2026-42016은 공개 6주 뒤에도 조직의 59%가, CVE-2026-42018은 4주 뒤 62%가 여전히 취약한 상태다. 치명적 등급인 CVE-2026-82329조차 2주가 지난 시점에 49%가 조치를 마치지 않았다. 연구진은 인터넷에 노출된 인스턴스부터 우선 조치하고 접근 가능한 네트워크를 신뢰된 사용자로 제한할 것을 권고했다. JFrog는 이번 공격과 관련한 더 레지스터의 문의에 답하지 않았다.

딥시크 V4.1 플래시 공개…파라미터 2.5배 키우고 메모리는 줄였다

IT 전문매체 더 레지스터(The Register)는 11일(현지시간) 중국 인공지능(AI) 기업 딥시크(DeepSeek)가 비용과 지연시간을 최적화한 '플래시' 모델의 새 버전 'V4.1 플래시'를 공개했다고 보도했다.더 레지스터에 따르면 V4.1 플래시의 파라미터 규모는 7630억 개로, 이전 버전보다 2.5배 이상 크다. 2025년 초 딥시크의 이름을 알린 V3와 R1보다도 큰 규모다. 그럼에도 구동에 필요한 메모리는 덩치에 비해 크게 늘지 않았다는 것이 이 매체의 설명이다.더 레지스터는 핵심 변화로 두 가지를 꼽았다. 하나는 키-밸류(KV) 캐시 처리 방식의 개선이다. 어텐션 메커니즘을 손보고 새로운 인과적 인코더-디코더(CED) 구조를 도입해 KV 캐시 사용량을 기존 V4 플래시의 13~25% 수준으로 줄였다고 전했다. 같은 메모리로 4~8배 많은 사용자를 감당할 수 있다는 의미다.다른 하나는 전체 파라미터 가운데 1960억 개를 차지하는 'N-그램 파라미터'다. 딥시크는 이를 '조건부 메모리 모듈'이라 부르며, 연산과 기억을 분리해 성능을 높이면서도 자원 소모를 줄이는 방식이라고 설명했다. 이 가중치는 대형 조회 테이블처럼 작동해 GPU 메모리 대신 시스템 램(RAM)으로 옮길 수 있다고 매체는 전했다.더 레지스터는 알리바바가 지난달 공개한 실험 모델 '큐원(Qwen) 3.8-플래시-넥스트'도 유사한 N-그램 방식을 적용했다고 덧붙였다. 자세한 내용은 더 레지스터 보도에서 확인할 수 있다.