AFL++ 퍼징 체크리스트: ASan 할당 전체 채우기, persistent mode, 소스 파일 직접 include

News Alerts

My alerts

All alerts

해커뉴스

정전 중 양방향 충전은 현재 테슬라 Cybertruck뿐, 글쓴이는 비상용 소형 배터리로 선회 AFL++ 퍼징 체크리스트: ASan 할당 전체 채우기, persistent mode, 소스 파일 직접 include Raph Levien, RP2350 DVI 실험에서 출발한 초고속 복호화 이미지 포맷 nibnib 공개 LeCun·Balestriero, 플라토닉 표현 가설을 JEPA로 증명: 좋은 뷰가 스케일보다 중요 전 세계 전력망에 1분 주기 주파수 진동, 원인은 UPS와 배터리 저장장치의 동기화된 자가진단 한 사람이 C 대체용으로 만든 최소주의 언어 Copper, 해커뉴스에서 메모리 모델과 GC 질문이 쏟아져 RadiaCode 사용자 2,708명이 만든 세계 방사선 지도, 측정점 5,002만 개 해고된 엔지니어들이 AI로 상용 SaaS 대체품 만든다, Auth0·Salesforce 호환 프로젝트 OccupySaaS 공개 해커뉴스 '프라이버시 지키는 TV' 질문에 289개 댓글, 결론은 네트워크 차단과 루팅 PostgreSQL 19, LLM이 버그를 쏟아내면서 11월로 연기 영국 구리선 전화망 2027년 1월 31일 종료, Openreach '연기 없다'서울바이오시스, 희토류 없는 백색 LED 양산 시작... 10µm 마이크로 LED까지 Rust로 만든 콘텐츠 인식 Git difftool OmniDiff, AGPL로 공개 Show HN: 카메라로 지형을 비추면 지질도를 AR로 그려주는 Outcrop, 안드로이드 정식 출시와 아이폰 베타 진행 프런티어 항공 예약 정보 유출 의혹, 실제 예약 내역 담긴 사기 메일 확산 테리 타오 블로그, OpenAI의 700편 수학 논문 공개 이후 수학자들은 슬퍼할 때가 아니라고 주장 Opus 5.5로 JS 프레임워크 6종 벤치마크: Astro가 최단 시간, Angular는 앱 생성 두 번 실패 레노버 지문 USB, 뜯어보니 암호화 없는 SD 카드를 케이스에 넣은 것 HN에서 언급된 책 16,542권 순위 매긴 HackerBooks 공개, 책장은 매일 새로 섞임 read와 write는 대칭이 아니다, 오류는 read에서 즉시 드러나고 write에서는 나중에 터진다 콜린 퍼시벌, 인텔 하이퍼스레딩 캐시 유출로 RSA 키 복원하고 6개월 조율 끝에 2005년 공개 CPU 100%인데 실제 retire는 16%: DRAM 50-100ns 지연이 GROUP BY 쿼리를 3.9초로 만든 이유 Memdoor team-solve, Qwen3.8-27B 5개 팀으로 LiveCodeBench Hard 첫 10문제에서 Fable 5를 앞서 Jepsen, ParticleDB 1.1.4 분석에서 96개 결함 보고... 'Full ACID' 주장은 시기상조 사용자 "Anthropic이 RFT·SFT 언급만으로 차단, Opus 5.5를 Opus 5로 다운그레이드"이탈리아 농부가 다락방에서 주운 씨앗, 키 1.8m에 이삭 7개 달린 고대 밀로 밝혀져 리눅스 IPv4 TCP use-after-free CVE-2026-98432, CVSS 9.8인데 우분투와 RHEL은 수정 커널 미배포 카파시, HN 추천 영상 6,454개 모은 HackerTube 공개: Opus 5.5로 2시간 제작 76세 남성 돌연사 전 웨어러블 심박 데이터에 계단식 변화가 나타난 JACC 증례 보고 뉴런 4개와 연결 2개로 빛을 좇는 가상 생물, 흥분성 배선을 억제성으로 바꾸면 돌진이 정지로 skeeto, C++·Dear ImGui로 만든 초경량 코딩 하네스 Prospero 공개 Lean 창시자 Leo de Moura, AI가 쓴 코드를 누가 증명하는가: 명세와 형식 검증의 부상 GCC switch lowering: 점프 테이블 임계값은 case당 약 8개, gcc가 못 찾는 8로 나누기와 perfect hash 부재 ESP32와 NFC로 만든 오픈소스 스토리 박스 Marelleo, 댓글은 LLM 문체 논쟁으로 번짐 Molly(Signal 포크), 7월 31일 릴리스 이후 3개월째 방치... 본가 Signal에서 고친 취약점 그대로 남아 비탈릭 부테린, X 인터페이스 떠나 Firefly로 옮기고 100일간 휴대폰 비행기 모드 실험 ChatGPT 공개 공유 링크만 열면 계정 탈취: MathLive postMessage와 YouTube JSONP를 엮은 샌드박스 우회 세르비아 총선서 학생 주도 '학생 명단' 250석 중 141석 확보, 의원 절반 이상이 박사나 의학박사 블랙홀 사진은 어떻게 찍었나: 지구 크기 전파망원경 EHT와 다음 목표인 블랙홀 동영상 출판사가 거부한 쥘 베른의 《20세기의 파리》, 131년 뒤 공개된 1960년 파리 예언 Firezone, sans-IO 설계의 Rust WireGuard 구현 sanstun 공개 가장 오래된 얼음이 녹으면서 노르웨이 산에서 5,000~6,000년 전 석기 시대 화살 48점이 나오기 시작 FurtherAI, 엔지니어 1인당 코드 변경 5배·AI 리뷰 99% 기록한 AI 네이티브 조직 9개월 Infinite Mac에서 BeOS R5까지 브라우저 실행, DingusPPC에 호환성 수정 다수 업스트림 Scribd 모회사 보안 사고 통지: 이메일·카드 끝 4자리·결제 내역 노출 가능, 10월 1일 공지 후 순차 발송 Cisco 사장, 27세 전 창업자에게 무제한 AI 토큰 주고 레거시 코드 98% 재작성 맡겨 헤드리스 브라우저 없이 Cloudflare Turnstile을 푸는 Rust 라이브러리 cfsolve 공개 패트릭 스튜어트 추모 TNG 에피소드 맞히기 게임, HN에 공개돼 에피소드 제목 난이도 논쟁 구글 리서치, LLM이 잠으로 지식을 굳히는 Sleep 프레임워크 공개 패트릭 스튜어트 별세, 보스턴글로브 두 기자가 돌아본 피카드의 지도자상과 취약함 스텔스 봇 금지법 반대 칼럼: 익명 크롤러 신원 공개 의무화가 나쁜 봇은 못 막고 언론 조사와 아카이빙을 겨눈다 NES 6502 CPU와 RAM, ROM을 Qwen3.5 가중치로 컴파일한 nesformer 공개, 실제 콘솔보다 150~290배 느림 Bunny CDN, 제공사 침해로 아르메니아 노드 폐기하고 TLS 인증서 전면 재발급 LaTeX 여백에 시드마다 다른 꽃을 키우는 Florilegium, Ghostscript가 인쇄 시점에 정원을 그림 AT Protocol 기반 분산 코드 포지 Tangled, bobbin 인덱서 11개 리전 배포와 knot2 Rust 재작성 공개 Mac OS 9.2.2가 Wii에서 부팅, ArtX 칩셋 클래식 맥 OS 포팅이 데스크톱까지 도달 Northflank 보안 침해: 전 사용자에게 환경변수 복호화 가정하고 키 교체 권고 AI가 SRE를 대체하는 게 아니라 실력을 퇴화시킨다는 1983년 '자동화의 역설' 재조명 Artificial Analysis v5 공개, 단일 지능 지수에 남는 벤치마크 딜레마 ICE 대신 나선 ZeroFox의 삭제 요구, 호스팅은 거부했지만 등록기관이 도메인을 죽였다 배치 파일로 실행하면 오류, 더블클릭하면 정상. 원인은 탐색기가 몰래 맞춰주던 현재 디렉터리 심장마비엔 5만 달러 내는 Medicare, 100달러짜리 CAC 검사는 안 된다 바이낸스 핫월렛서 20분 만에 63억 달러 탈취, 북한 TraderTraitor 의심 Azure API Connections 경로 순회로 타 테넌트 Key Vault·Azure SQL 장악, 취약점 5건에 포상금 $200,000 Cursor 마켓의 Claude Code VS Code 2.1.313, SSH 백도어 심은 채 배포됨 카사르·워터스, AI 버블 구제금융 반대 민주당 결의안 발의 게리맨더링 퍼즐 elect.horse 공개, HN은 gerrymandle 표절 논란과 색약 배색 문제로 갑론을박 Cuis, 단순함 내건 Smalltalk-80 환경... 7.8 안정판 공개에 Smalltalks 2026 발표 8건 Swift로 만든 선언적 웹 UI, WebAssembly로 브라우저에서 돌리는 ElementaryUI 공개 터미널에서 별자리를 그리는 Astroterm, C로 작성된 193커밋 오픈소스 ANSI/ASCII 아트 아카이브 16colo.rs, 해커뉴스에서 다시 화제 Pico CSS 유지보수 종료, v2.1.1이 마지막 릴리스... 저장소는 아카이브, npm과 CDN은 유지 Show HN: macOS 로컬 네트워크 권한 팝업을 자동으로 닫는 dontallow 에이전트 멀티플렉서 Herdr, 네이티브 데스크톱 앱 0.1.9 공개 스페인 고속철 추돌로 69명 사망, 관제센터가 속도 제한 없이 운행 재개 지시 Pico 2 W에서 게임을 꿈꾸고 직접 플레이하는 26k~131k 파라미터 월드모델 YC Labs, 마인크래프트에 GPT-6.1 에이전트 50개 투입해 3시간 문명 건설 실험 IPv4 주소 비중대로 국경을 다시 그리면: 36억 주소를 1억 3500만 km² 땅에 대응시킨 지도 PHP2Shell 체인으로 PAN-OS 방화벽 25대 루팅, 미 정부 관련 3대 포함 2016년 글 'H.264 is Magic' 재회자, 300프레임 영상이 PNG 한 장의 1/5 크기 마틴 파울러, LLM 초안은 문체가 남는다며 'LLM Voice' 경계 도어대시, 인스타카트를 170억 달러에 인수: 주당 65달러, 종가 대비 26% 프리미엄 아캄, 바이낸스 해커 지갑 71개에 $5.76B 표시... 서클·테더가 $2.4B 동결 미스트랄, 1조 파라미터 Mistral Large 4 가중치 공개, 가격 절반 인하에 오픈웨이트 코딩 1위 패트릭 스튜어트 별세에 HN 댓글창은 TNG 추억과 '검은 띠' 요청으로 가득 미국 2분기 배터리 저장 20.2GWh 신기록, 상반기 30.8GWh로 전년 대비 23% 증가 Brother 프린터 펌웨어에서 TRON T-Kernel 찾아내고 Telnet 디버그 접속 확보 Cartesia, 바이트 수준 H-Net 확장 법칙 공개: 학습된 토큰화만으로 컴퓨트 3-5배 절감 Nix를 TypeScript로 컴파일하는 jinx, nixpkgs 231,777개 속성에서 Nix와 똑같은 drvPath 재현 상수 나눗셈 floor division, 새 알고리즘이 ARM에서 10~20% 더 빠름 오렌지 차이, Pwn2Own 베를린 2026에서 논리 버그만으로 엣지 샌드박스 탈출해 $175,000 획득 WAP Push 문자 한 통에 안드로이드 통화 먹통, 구글은 '수정 안 함'OpenAI, 인터넷 끊은 AI 에이전트들이 CPU 캐시로 비밀 통신 채널 구축 Claude Code가 백그라운드 에이전트 요약에 토큰 지출 16%를 쓰고, Anthropic 개발자도 상태줄치고는 많다고 인정 옥스팜 "최상위 0.1%(800만 명) 탄소 배출이 최빈곤 35억 명 전체를 넘는다"MuPDF는 AES-256 키를 9비트 난수로 만들고, Foxit은 타임스탬프 해시로 만든다 영화 편집자 월터 머치가 손주들에게 설명한, 바늘꼬리기러기가 에베레스트 상공을 날 수 있는 이유 Cursor, 자사 에이전트 만든 프레임워크 Agent SDK 정식 출시... 코드로 정의하고 한 줄로 배포 Alpine Linux, GitLab 침해 시도에 인스턴스 전면 재구축: 19.3.6 업그레이드도 Ruby 패치 없어 무효 크레이그 호켄베리, 6주 요추천자와 28일 항암 주기 근황 공개

AFL++ 퍼징 체크리스트: ASan 할당 전체 채우기, persistent mode, 소스 파일 직접 include

6년간 약 1,000개 프로젝트를 퍼징한 저자가 공개한 AFL++ 팁 모음으로, sanitizer와 assertion을 최대한 켜두는 게 기본이며 ASAN_OPTIONS에 abort_on_error=1:halt_on_error=1:symbolize=0 설정을 요구함
ASan 기본값은 새 할당의 앞 4KiB만 패턴으로 채워서 그 뒤 미초기화 메모리 버그를 놓쳤고, max_malloc_fill_size를 1<<30으로 올려 할당 전체를 채우면 잡힘
detect_stack_use_after_return=1로 use-after-return 버그를 탐지하고, C++에서는 -D_GLIBCXX_DEBUG로 컨테이너 capacity 안쪽 범위 초과 접근까지 잡음
persistent mode(afl-gcc-fast, afl-clang-fast)가 보통 모드보다 대략 10배 빠르며, __AFL_LOOP 기반 자체 템플릿 fuzztmpl.c를 공개함
헤더 대신 소스 파일을 직접 include하는 unity build로 번역 단위를 두 개로 줄이고, 그 덕에 static 함수까지 퍼징 대상으로 삼음

Hacker News opinions

예전엔 C/C++에서 안전한 코드 짜는 게 실력 문제라고 생각했는데, FAANG에서 최고 직함 엔지니어가 쓴 코드에서 AFL로 문제를 여러 개 찾고 생각이 바뀜. 진짜 무서운 툴임.

그래도 실력 문제 맞음. 잘하는 사람은 피해야 할 패턴을 알고 기준도 높아서 평균적으로 버그를 덜 만듦. 누구도 100% 버그 없는 코드는 못 쓰고, 직함이 실력을 보장하진 않음.

실력보다 얼마나 신경 쓰느냐가 큼. 열정 있는 무경험자가 좋은 결과물 내는 경우도 있고, 유명한 사람이 대충 만든 코드를 내놓기도 함. FAANG 직함이 실력 지표가 된 지는 오래됐음.

정적 분석이나 퍼징을 제대로 쓰는 것도 디테일 챙기는 실력의 일부라고 봄.

AFL 나오기 전에도 퍼저 만들어봤는데, 코드 공간을 똑똑하게 탐색하는 방식이 나오고 판이 완전히 바뀜. 퍼징 붙인 코드베이스에서 버그 못 찾은 적이 없고, Go에 내장 퍼저가 들어간 것도 반가웠음. AI가 짠 코드는 유닛테스트를 그냥 pass로 만들 수 있으니 퍼징이 검증 수단으로 잘 맞고, 밤새 퍼징 돌리는 게 토큰 태우는 것보다 쌈.