News Alerts

My alerts

Sign in to create alerts.

All alerts

Duneby 제욱 AIby 제욱 해커뉴스by 성현

해커뉴스

구글 DevSite 공유 Flask 세션 쿠키의 pickle 취약점으로 원격 코드 실행 가능 ($90k 바운티)WiFi 7 라우터 MT7996 칩을 320 Msps 소프트웨어 정의 라디오 수신기로 바꾼 프로젝트 슈퍼 마리오 64 개발자 고다드의 미공개 2001년 인터뷰, 15명 팀과 카메라 개발 비화 AI 코딩 에이전트는 코드를 더 만들었지만 소프트웨어 출력은 늘지 않음, 병목은 코드 리뷰 유럽 슈퍼마켓 냉장고 수백 곳 해킹으로 자동 해동 작동, 배송과 매장 가격까지 영향 OpenBSD와 CGI로 C 웹앱을 상용 서비스에 올린 사례, 프로세스당 요청 방식의 장단점 Codex CLI가 기본값으로 백그라운드 자동 업데이트 데몬을 설치함, 끄는 방법 논란 GLM-Legal, Harvey LAB 전체 통과율 19.2%로 기반 모델 대비 12.5%p 향상 Meta, 개인 에이전트 중심 신모델 Muse Wonder와 Muse Wonder Full 공개 광변색 나노입자 잉크로 지웠다 다시 쓰는 문신 연구, 사용 조건이 관건 테렌스 타오 블로그, AI 시대 수학에서 일러스트레이션과 증명의 가치를 논함 사전 설치 라우터 수요를 묻는 HN 글, OpenWrt와 DD-WRT 이용자 의견 엇갈림 PS2 게임을 WebAssembly로 정적 재컴파일한 오픈소스 프로젝트, GT4 쇼룸 프레임이 초당 3에서 16으로 올라감 Postgres 느린 원인은 쿼리가 아니라 스토리지: 로컬 NVMe가 EBS보다 TPS 9배 이상 Zod 저장소 main에 이더리움 기반 악성 로더 커밋이 들어갔다가 되돌려짐, npm 배포는 막힘 뉴 컨스트럭츠, 앤트로픽 2조 달러 IPO를 투자자 순진함을 시험하는 사례라고 비판 QGIS, AI 지원 기여를 전면 금지하는 정책 제안 등장 Deloitte, Abramovich 자산 $672M 장부 누락으로 세금 회피 정황 BBC 보도 로컬 인덱스 Pensieve, 에이전트의 grep 반복과 토큰 비용을 줄인다고 주장 APSW, 표준 sqlite3보다 SQLite 기능을 깊게 노출하는 파이썬 래퍼 Zig용 타입 세이프 HTML 템플릿 라이브러리 zt, 컴파일 타임에 템플릿 검사하고 기본 이스케이프 적용 오픈소스 Canva 대안 Doory 공개, 스타터 템플릿 10종 재설계 Julia로 배우는 미적분 노트, 그래픽과 수치 계산 중심으로 구성됨 바이브 코딩 포토샵 클론 10여 개, 브러시 성능과 파일 호환성에서 막힘 사카나AI MASS: 같은 모델이 팀 워크플로를 평가하고 가중치를 갱신하는 자기개선 루프 제안 리눅스폰이 안드로이드와 iOS 양강 구도를 깰 수 있을까 구글이 광고 제품에 디바이스 핑거프린팅을 허용하면서 쿠키 대체재로 지문이 떠오름 구글 WebP, 20년 쓰던 JPEG와 PNG를 대체하기 시작한 이유와 도구 지원 현황 구글, 핀란드 데이터센터 두 곳 공사 중단 명령 받아 환경영향평가 전 벌채 문제 불거짐 뉴저지 원격 근무자, 하루 160장 얼굴 촬영 거부했다가 해고 AI 에이전트로 인기 FPS 게임 디컴파일, 5000억 토큰 쓰고 얻은 교훈 OSM 북한 지도 데이터 분석: 상위 10명이 61%를 그려 패스키는 함정이니 쓰지 마라는 주장: 웹사이트가 사용자의 패스키 통제권을 점차 빼앗을 수 있다고 경고함 카파시가 LLM 능력 인식 격차를 깔때기 구조로 정리함, 프론티어 모델을 실제로 쓰는 사람은 0.2%뉴욕시 클릭 투 캔슬 규정 시행, 가입한 방식 그대로 해지하도록 의무화 리눅스용 공간 음향 효과를 임펄스 응답으로 역공학한 과정 캐나다 유튜버, Flock 유사 카메라로 경찰 차량 추적하자 경찰이 집으로 찾아옴 Total Annihilation을 최신 GPU 렌더링으로 재구현한 오픈소스 엔진 Nanolathe 베타 공개 소득을 자산으로 바꿔야 직장인도 부자가 된다는 글, HN 반응은 엇갈림 무료 오픈소스 Mac 받아쓰기 앱 BetterWispr, 음성은 기기 안에서만 처리 Valen, 그룹 빌림 기반의 유연한 borrow checker 공개 명칭 Path Borrowing 논의 확산 PATH의 ~는 홈 디렉터리가 아닐 수 있음: 따옴표 없는 틸드가 확장되지 않는 bash 함정 AI 에이전트로 Rails 앱을 Rust와 Elixir로 재작성한 실험, 코드를 안 읽으니 설계 판단이 빠짐 테렌스 타오 Math 2.0 발표, AI 시대 증명 풍부성과 문제 풀이 최적화의 한계 제기 한글 손글씨 펜 획을 생성하는 35만 파라미터 RNN, 브라우저에서 동작 README를 실제 사람에게 따라 하게 한 저자, 참가자에게 €25씩 주고 설치 문서 고쳐 기존 서브워드 LLM을 두 단계 변환으로 바이트 단위 모델로 바꾸는 방법, Nature 논문으로 공개 DDR4 RAM 부활: 가격 폭등에 인텔과 AMD가 구형 메모리 지원 CPU 출시 라즈베리 파이를 넣은 PSP 개조 기기 PSPi 6, 원래 메인보드를 통째로 대체 IRCv3, 2020년대에도 쓰이는 IRC 현대화 확장 명세 소개 Nitter, X 중단 요청 두 번 받고 법률 자문 없이 자금 모금 나섬 LineageOS 24.0 출시, Android 17 기반으로 WebUSB 플래시 도구 추가 Yandex 데이터센터 타격 뒤 Cloudflare 봇 트래픽 급감 얀덱스 클라우드 3번째 데이터센터 피격, 상태 페이지에 사고 등록됨 구형 Macromedia Director 게임을 최신 PC에서 돌리려고 CD 이미지 복사 방지를 벗겨낸 과정 미국 국가디자인스튜디오, 브라우저에서 돌아가는 PII 마스킹 도구 Rampart 오픈소스 공개 버그는 환자로, 코딩 에이전트는 의료진으로 다룬 5개월 실험 OpenSCAD 공식 페이지 화제, 정식 릴리스가 2021년 버전에 머물러 있다는 지적 나와 Unikernels were hard, 이제는 AI가 포팅과 구현 장벽을 낮춘다는 Geoffrey Huntley 주장 C 초보 Rust 개발자를 위한 C의 함정: bool, 널 종결 문자열, 플랫폼별 정수 너비 Nix가 디버거 절반을 만들었다: Rewind VM으로 본 결정론적 레이스 컨디션 추적 Jev식 결정 모델을 직접 만들어보니 1.7B 모델 확률이 과신함 12ft.io 종료 후 나온 대체 서비스 WallHop, 페이월 우회 도구로 HN에 공개 엔비디아, 미국 오픈 모델 스타트업 Reflection AI 인수 협상 중 DuckDB 2.0 알파, S3 읽기가 2배에서 3배 빨라져 쿼리 수정 없이 적용됨 샌프란시스코 개발 시뮬레이션 게임 Discretionary Review, 도시가 개발을 말리는 2015년 설정 Knuth 책 첫 문단 첫 단어의 오류를 찾아 받은 리워드 체크, 20년 만의 후기 MXC 1.0 정식 출시, 정책으로 AI 에이전트의 실행 범위를 제한 천장 전구에 프로젝터와 컴퓨터 비전을 넣은 Lightbulb Computer 설계 프로토타입 집값은 오르고 재산세는 내려야 한다는 모순, 미국 재산세 개혁의 함정 저수준 코더가 LLM 시대에 느끼는 상실감과 개발자 일의 변화 1996년 주말 프로젝트 2D 차량 물리가 GTA 차량 시스템의 뿌리가 된 과정과 30주년 웹 재현판 Rust 코드를 읽기 쉬운 C로 바꾸는 Eurydice, 고신뢰 소프트웨어와 Rust 컴파일러 없는 환경 겨냥 프리온 질환 후보 약물 siRNA, 사람 대상 1상 임상 등록 시작 Jane Street 인턴, 자기회귀 디퓨전으로 주식 호가 이벤트 생성 실험 macOS 26 Tahoe, 오픈그룹 UNIX 인증 메인 목록에서 빠져 Cloudflare 무료 티어에서 돌리는 개인 AI 에이전트 Talorys, 자체 호스팅 정의를 두고 HN 논쟁 Lean 자동 형식화의 신뢰성 논쟁: AI가 만든 증명이 원 논문과 맞는가 WSL 3.0.2, 커널 6.18로 올라와 메모리 대역폭 61% 향상되나 빌드 시간은 4%만 줄어 Bitwarden, 앱스토어 배포본을 상업 라이선스 빌드로 전환하며 오픈소스 논란 확산 벽 너머 몰래카메라를 내장 메모리의 전자기 방사로 찾아내는 ESauron, 20m 밖에서도 탐지 덴마크 CPR 등록부 해킹, 침투 지점은 '123456' 비밀번호였음 Telegram Desktop 링크 한 번 클릭으로 사용자 파일이 유출되고 계정까지 탈취될 수 있던 취약점 캐리어 설정을 디코딩해 비교하는 carrier-explode 2.0 공개, 아이폰 픽셀 갤럭시 펌웨어 대상 TypeSafe AI, $870M 투자 유치하고 기업가치 $7.5B 인정받아 REA, 코딩 에이전트에 리버스 엔지니어링 도구를 붙여 프로그램 동작을 설명하게 하는 오픈소스 프로젝트 경찰 추적용 Flock 카메라를 만든 유튜버, 경찰 방문을 받았다고 주장 Oxide, $445M 시리즈 D 유치하고 첫 소득세 납부 AAA 게임 관행을 비튼 지뢰찾기 패러디가 해커뉴스 화제 Cloudflare, Deno 팀 영입하고 Deno 런타임은 1년 뒤 개발 종료 Rust로 포팅한 Quake, 브라우저에서 바로 실행되는 Show HN 프로젝트 StepFun의 1M 컨텍스트 MoE 모델 Step 5 Preview가 OpenRouter에 등장함, 활성 파라미터는 27B임 530만 년 전 고래 사체가 쌓인 심해 공동묘지, 인도양 해저서 발견 Mitchell Hashimoto가 터미널 프로그램 상태 알림용 OSC 7501 명세를 공개함 리눅스용 이더넷 오디오 인터페이스 ETH-68, 왕복 지연 3.620ms로 RME 카드와 맞먹음 Bevy 0.20 출시, Solari 렌더러 개선과 WESL 셰이더 공식 채택 24V로 구동하는 유연한 LED 필라멘트 네온 티셔츠, Show HN에 올라옴 오르쿠트 창업자가 orkut.com에서 서명 청원을 열고 실제 사람 중심 SNS 재건을 호소함 AI 음원을 봇으로 재생시켜 로열티를 빼먹은 미국 남성 징역 18개월 선고 $5 VPS로 뭘 24시간 돌릴지 묻는 HN 글, 답은 대부분 홈서버임

Zod 저장소 main에 이더리움 기반 악성 로더 커밋이 들어갔다가 되돌려짐, npm 배포는 막힘

Zod 저장소 main에 이더리움 기반 악성 로더 커밋이 들어갔다가 되돌려짐, npm 배포는 막힘

Zod 저장소 main 브랜치에 이더리움 스마트 컨트랙트에서 다음 단계 페이로드 주소를 가져와 실행하는 악성 코드가 담긴 커밋 d821685가 올라옴
댓글에 따르면 Colin의 git 푸시 자격 증명이 탈취되어 9월 21일 악성 커밋이 리뷰 없이 main에 바로 푸시되었고, 같은 날 PR #6620으로 되돌려짐
Zod 4.6.6은 10월 11일에 배포되었고 npm에 올라간 패키지에는 악성 코드가 빠져 있음이 확인됨
같은 공격은 standard-schema와 nub에도 시도됨, nub는 npm에 올라갔으나 npm 악성코드 스캔에 막힘
GitHub 릴리스 페이지의 v4.6.6 태그에는 악성 커밋이 여전히 남아 있음 (2026-10-12 기준)

Hacker News opinions

이거 그냥 악성 코드임. 커밋 보면 이더리움 컨트랙트 주소랑 RPC 주소 목록이 평문으로 박혀 있음

그러게. 이더리움이라는 단어를 숨길 생각도 없었던 듯. 블록체인에 C&C 주소 올려두면 테이크다운 피하기 쉽다는 건 처음 알았음

npm에는 안 올라갔다는 댓글 보고 확인해봤는데 그래도 깃 히스토리랑 릴리스 페이지에 남아 있으니까 찜찜함

preinstall 키가 scripts 밖에 있어서 설치할 때는 안 돌 거라고 보는 사람도 있더라. 그래도 install 스크립트는 일단 꺼두는 게 맞음

Zod 릴리스 CI는 멀쩡했다는데, 메인에 리뷰 없이 바로 푸시가 들어간 게 제일 큰 구멍 같음

9월 21일에 푸시됐고 당일에 PR #6620으로 되돌렸음. 4.6.6은 10월 11일에 나왔는데 악성 코드는 안 들어갔다고 함

클라이언트 프로젝트 많은 사람이면 lock 파일에서 zod 버전부터 확인하면 됨. 4.6.6 안 깔았으면 급할 건 없음

npm 악성코드 스캔이 nub는 막아줬는데 zod 쪽은 애초에 올라가지도 않았음. 그래도 4.6.6 태그는 지우는 게 맞다고 봄