pwn.watch, 진행 중인 보안 사고 36건과 패치 현황을 추적하는 사이트, 해커뉴스에서 화제
- LiteLLM 1.107.0은 PyPI와 Docker 이미지가 침해되어 약 2시간 동안 악성 배포본이 열려 있었고, 설치 시 클라우드와 개발자 자격증명을 훔치는 코드가 Python 실행마다 돌아감
- GitLab CVE-2026-110264는 CVSS 10.0 인증 없는 원격 코드 실행 취약점이며, 10월 12일 정규식 수정만 적용한 자체 호스팅 인스턴스는 한 번 더 업데이트해야 함
- Railway는 고객 환경변수 저장 시스템에 비정상 접근이 있었다고 밝혔고, 일부 고객의 API 키와 DB 자격증명은 복호화된 상태로 유출됐을 수 있음
- Linux 커널 ksmbd 원격 코드 실행 버그(CVSS 9.0) 등 미패치 ZDI 보고서가 Cc로 공개 메일링리스트에 들어가 패치 전에 기술 세부 정보가 노출됨
- 미국 주요 은행들이 고객 계정 안에서 제3자 AI 에이전트를 탐지했고, 모건스탠리는 차단하며 JPMorgan, 뱅크오브아메리카, 씨티는 제한 중임
Hacker News opinions
히트맵은 읽기 너무 어렵고 그냥 시간대별 선 그래프가 낫지 않나. 그러면 사고가 늘어나는 추세도 바로 보임.
ITRC 미국 데이터 유출 건수 보니까 2016년 1,099건에서 2023년 3,202건으로 뛰었고 2025년도 3,322건임. 2026년이 어떻게 나올지 궁금함.
보안 수준은 결국 사람들이 돈 내기로 한 만큼 나오는 거임. AI끼리 균형 맞추든가, 아니면 유틸리티 쪽이 크게 한 번 터지든가 둘 중 하나로 갈 듯.
디자인이 전형적인 AI 슬롭 느낌이라 다크 테마에 네온 스타일이 눈 아픔. 사이트마다 다 똑같이 생겨서 집중이 안 됨.
은행 건은 해킹이 아니라 고객이 직접 에이전트한테 권한 준 거임. 제목이 오해 살 만한데, 은행이 에이전트 쓰는 걸 싫어하는 게 핵심임.
에이전트가 고객 돈을 날리면 누가 책임지냐가 진짜 문제임. 정책이 에이전트 금지면 책임이 은행 쪽으로 넘어가는 구조가 되겠지.
RSS랑 json 버튼 누르면 404 뜨더라. feed.xml 리다이렉트가 깨져 있음.
중국이 모델 악용을 어떻게 막을지가 관건인데, 중국도 사이버 파괴의 얼굴이 되고 싶진 않을 듯. 미국 쪽 중국 모델 금지 얘기로 이어질 수도 있고.