GLM 5.3 Flash 공개 뒤, 1년 안에 취약점 수정을 배포해야 한다는 경고

나는 리눅스와 윈도를 계속 덧대는 방식 대신 마이크로커널 OS로 갈아타야 한다고 봄. 값싼 중국산 장비처럼 방치되는 OS가 계속 나오는데 패치만으로는 장기적으로 못 버팀

그 논리면 2026년 이전에 쓴 소프트웨어를 전부 버리면 되긴 함. 하지만 글이 말한 배포와 서비스 연속성 문제를 통째로 무시한 답임

난 1년도 없다고 봄. 지금 LLM도 취약점 찾는 능력이 엄청남

취약점이 실제로 있어야 공격도 됨. 요즘 리눅스 LPE 상당수는 특정 설정에만 걸리는 긴 꼬리 문제고, 범용 RCE가 나올지는 모르겠지만 개별 시스템 표적화에는 방어 심층화가 더 중요해짐

ARM 메모리 태깅과 메모리 안전 언어 쪽은 이미 진전이 있음. 낮은 과실을 걷어내는 동안은 험하겠지만 이후 시스템은 더 안전해질 거라 봄

글쓴이는 맥에서 LLM을 안 돌려본 듯함. 맥에서 3초면 두 번째 토큰 처리 계획을 세우기 시작할 시간일 수도 있음

차이는 메모리 대역폭임. 9월 22일 나온다는 M5 Ultra는 1,200GB/s고 지금 살 수 있는 M5 Max는 614GB/s임

글에 수치가 이미 있음. 45 tokens/s면 제한 없이 24시간 돌리는 로컬 모델로는 충분히 쓸 만하고, Luna는 약 100 tokens/s지만 5.3 Flash보다 못한 모델임

우선 스택과 의존성을 단순화하고 무엇을 가져오는지 알아야 함. 워드프레스 코어는 오래 검증돼 의외로 안전한데 플러그인과 테마가 붙으면 보안이 무너짐

'의외로 안전한' 워드프레스도 올해 인증 없는 RCE가 있었음. NVD의 CVE-2026-63030을 보면 단순화만으로는 부족함

새 코드에 C나 C++ 대신 Go나 Rust 같은 메모리 안전 언어를 쓰고, 형식 검증·퍼징·속성 테스트에 투자해야 한다고 봄. LLM은 Lean 코드와 퍼즈 테스트 작성에도 쓸 수 있는데 각 업계에서 이 생각이 얼마나 받아들여졌는지 궁금함

방어용 LLM이 사실상 필수가 되는 세상은 추론 서비스를 파는 쪽에는 좋은 소식이겠네

예전 원칙 그대로 네트워크에 노출하는 면을 극도로 줄여야 함. 운영 장비는 핑에도 응답하지 않고 포트 노킹 없이는 SSH를 열지 않는데, 이제 공격자는 몇 분 안에 시스템별 공격을 만들고 쉬지도 않음

홈 서버라면 그 방법이 되지만 일반인이 쓰는 실제 서비스 서버는 인터넷에 노출할 수밖에 없음

기간 시설 회사들이 수십 년 동안 보안을 비용 절감 경쟁으로 취급한 대가를 치를 거라고 봄

제로데이가 경로에 있다고 가정하고 겹치는 통제를 설계해야 함. CTO에게 WAF, 애플리케이션 모니터링, 백업 같은 방어 계층 예산을 요구해야지, 모범 사례만 믿으면 안 됨

한편 소프트웨어 회사 경영진 상당수는 코드 검토를 사실상 멈추고 LLM과 경계 장치에 맡기라고 부추기고 있음

이 글은 기술을 아는 사람에게도 과장된 공포 마케팅처럼 들림. 독자가 모르는 탓일 거라고 먼저 깔아두는 태도도 설득력이 없음

공격 캠페인의 남은 제약은 시간과 비용인데, GPU 클러스터를 빌리면 로컬 장비가 필요하지도 않음. 기업도 공격자가 쓰는 수준의 도구로 자기 시스템을 먼저 점검해야 하는데, 제한 해제 중국 모델을 같은 도구와 함께 못 돌리는 점이 문제임

GLM 5.3가 대규모 해킹과 은행 붕괴를 일으킨다며 사람들이 야근까지 했다는 얘기도 있었지만 아직 그런 일은 없었음