Northflank 보안 침해: 전 사용자에게 환경변수 복호화 가정하고 키 교체 권고

Northflank가 뭐하는 회사임? 요즘 새 비즈니스가 이렇게 많은 게 신기하네.

몇 달 전에 Product Hunt 통계 돌려봤는데 2020년보다 일일 SaaS 런칭이 22배 늘었음. AI가 업계에 미친 영향이 실감이 안 감.

Northflank는 2019년에 세워진 클라우드 플랫폼이라 그렇게 새로운 회사도 아님. 궁금하면 검색해보면 나옴.

HN으로 'agentic sandbox' 환경 새로 출시했다는 메일을 매주 한 통씩 받고 있음.

이런 사고랑 Railway 건 때문에 인프라 스타트업은 결국 하이퍼스케일러로 수렴할 것 같음. 엔터프라이즈에 팔 때 편의성으로 보안을 대체할 수는 없음.

하이퍼스케일러가 진짜 더 안전한지는 의문임. 'IBM 고르면 잘리지 않는다' 수준의 일화밖에 없음.

그쪽도 계속 뚫리고 있고 표적 가치가 훨씬 큰데 왜 면역이라고 보는지 모르겠음. Azure도 최근에 큰 유출 있었음.

요즘 엔터프라이즈는 워크로드를 온프레미스로 되돌리고 데이터센터랑 온프레 GPU를 늘리는 중이고, SaaS도 내부 툴로 갈아치우고 있음.

나는 반대로 볼 것 같음. dokku 같은 OSS로 각자 하드웨어로 돌아갈 거임. Railway를 털면 API 키가 잔뜩 나오지만 랜덤 VPS 하나 터는 건 수익이 적으니까.

중간지대가 없다고 봄. 하이퍼스케일러로 수렴하거나 성능과 가격으로 승부하는 인디 회사로 돌아가거나 둘 중 하나임.

Northflank랑 Railway에서 털린 건 하이퍼스케일러가 더 잘 막아줬을 것도 아니고, 그냥 하이퍼스케일러 위에서 추론 돌려서 생긴 AI API 키임.

Northflank나 Railway는 neocloud가 아니라 PaaS임. 완전 다른 범주인데 요즘 neocloud 성장이 신기하긴 함.

PaaS는 왜 자꾸 뚫리는 거임? 사용자랑 에이전트가 관리 UI나 CLI에서 환경변수를 다시 읽을 수 있어야 하니까 자격증명을 웹 환경에서 분리할 수가 없음. 관리 웹서버가 뚫리면 사칭으로 남의 시크릿을 그대로 가져감.

AI 때문에 자체 호스팅이 힘들어질 거란 생각은 반대임. 리눅스 박스 굴리기가 4년 전보다 훨씬 쉬워졌고 학습 절벽이 사라졌음.

go fast 문화로 문이 계속 늘어나면 다 지키기가 불가능해짐. 대부분 회사에서 보안은 품질 문제가 아니라 보험 문제였고, 이제 보험이 사후 보정일 뿐이라는 걸 알게 되는 중임.

나도 이제 PaaS 안 씀. 회사는 Azure, 개인은 VPS로 다 옮겼음. 사용자 2명짜리 앱 백엔드가 Northflank라서 revenuecat, 애플, AI 시크릿을 전부 돌려야 함.

Anthropic이 glm 5.3 abliteration으로 프런티어급 사이버 모델 만들기 쉽다고 글 올린 뒤로 침해가 빨라진 느낌임. 그 글은 순수 가속주의였음.

그건 30일 전 얘기고 이런 일은 몇 달째 있었음. PHP2Shell 취약점은 abliteration이랑 무관함.