안드레 카파시 바이브 코딩, 에러 붙여넣기, 시크릿 | 빨간 줄을 창에 그대로 넣으면?
안드레 카파시 바이브 코딩은 에러를 주석 없이 붙여 넣는 루프다. 버릴 주말 앱의 키 없는 로그에만 맞고, 카카오 키나 토스 웹훅이 찍히면 시크릿이 대화와 커밋 후보…
🔒
Security
보안 취약점, 인증, 암호화, 제로트러스트 관련 뉴스와 분석.
해설 포스트 (71)
403 Forbidden, RLS, 권한 | 슈퍼베이스에서 select는 되고 insert만 막히면?
조회는 되고 저장만 403이면 행 수준 보안의 넣기 정책이 그 행을 거절한 상태다. 조회 조건과 쓰기 검사, 사용자 아이디, 익명 키와 서비스 롤 키를 나눈다. 슈퍼…
401 Unauthorized, Bearer, 만료 토큰 | 로그인은 됐는데 저장만 거절되면?
로그인은 됐는데 저장만 401이면 화면 세션과 요청 자격이 갈린 상태다. Bearer 헤더 누락, 만료된 액세스 토큰, 서버 액션에 안 실리는 인증부터 본다. WWW…
CORS 에러, 프리플라이트, Access-Control-Allow-Origin | 로컬은 되는데 배포하면 막히면?
CORS 에러는 코드가 틀려서가 아니라 서버가 응답에 허용 헤더를 안 붙여서 브라우저가 읽기를 막는 것이다. 프로토콜·도메인·포트가 하나라도 다르면 교차 출처가 되고…
프록시, matcher, 서버 액션, 관리자 경로 | 화면만 잠그면 저장이 열릴까?
관리 화면이 로그인으로 튕겨도 서버 액션 POST는 남을 수 있다. 넥스트 16 프록시는 미들웨어 자리이고, matcher가 api나 그 경로를 빼면 그 칸의 액션은…
깃허브 환경, 필수 검토, 대기 타이머, 환경 시크릿 | 프로덕션 토큰이 프리뷰 잡에 열리면?
프리뷰 잡이 프로덕션 토큰을 읽으면 값이 저장소 시크릿에 있습니다. 깃허브 환경 시크릿은 그 환경을 적은 잡만 열고, 필수 검토와 대기 타이머는 무료, 프로, 팀의…
파일 업로드, 매직 바이트, 확장자, 용량 | 문의 첨부가 서버를 깨면?
문의 첨부는 확장자가 아니라 앞 바이트로 받습니다. 피엔지 서명과 제이펙 서명만 통과하고, 에스브이지는 스크립트가 돌아 거절합니다. 버셀 함수는 요청 본문 4.5메가…
클라우드플레어 턴스타일, 리캡차, 사이트키, 서버 검증 | 문의 폼 봇을 어디서 거르나?
문의 폼 봇은 클라우드플레어 턴스타일로 거른다. 사이트키는 브라우저, 시크릿은 서버다. 사이트베리파이로 300초 토큰을 한 번만 확인한다. 리캡차 이미지 퍼즐은 한국…
클라우드플레어 터널, 퀵 터널, 웹훅, 카카오 콜백 | localhost를 콘솔에 못 넣을 때 어디를 여나?
카카오 리다이렉트와 토스 웹훅은 localhost를 거절하는 달이 많다. 공유기 포트 대신 클라우드플레어 터널로 노트북에서 밖으로만 연다. 퀵 터널은 주소가 매번 바…
북한 해킹, 딥페이크, 가짜 채용, 오픈소스 | 저장소 초대는 어디서 걸러내나?
에스투더블유 상반기 국가 배후 공격 158건, 한국 표적 19건이다. 가짜 채용, 딥페이크, 깃허브 저장소, 오픈소스 침투를 개발 환경 입구로 나눈다. 방미통위 허위…
SSRF, 링크 미리보기, 넥스트 이미지, 메타데이터 | 서버가 대신 연 주소는 어디서 막을까?
링크 미리보기와 넥스트 이미지가 사용자 URL을 대신 열면 클라우드 메타데이터가 나간다. 허용 호스트, DNS 뒤 사설 아이피, 리다이렉트 금지, remotePatt…
깃허브 액션 OIDC, AWS 장기 키, 불변 주체 | 시크릿에서 액세스 키를 빼는 순서는?
깃허브 시크릿의 AWS 액세스 키를 빼고 OIDC로 IAM 역할만 빌린다. 공급자 URL, aud, 불변 sub, 환경 보호, id-token 권한, configur…
쿠키 SameSite, CSRF, 사파리, 서드파티 | 로그인이 한 브라우저에서만 풀리는 이유는?
사파리에서만 로그인이 풀리면 SameSite와 도메인부터 본다. Lax, Strict, None, HttpOnly, Secure, 파티션 쿠키, CSRF 토큰, 오리…
헬스장 예약, AI 에이전트, 대기자, API 권한 | 취소 호출은 어디서 막나?
헬스장 예약을 맡은 오픈클로와 클로드 오퍼스 에이전트가 인증 없는 취소 API로 대기 1순위 예약을 지운 보도를 다룬다. 읽기, 내 자원 쓰기, 타인 영향 도구를 나…
챗지피티, 오픈AI 신고, FBI, 대화 로그 | 수사 이관은 언제 열리나?
오픈AI가 챗지피티 대화를 FBI에 넘겨 체포로 이어진 2026년 8월 보도를 고지문과 로그 칸으로 나눈다. 소비자 챗지피티와 API, 워크스페이스 차이, 임박한 위…
인앱결제, 앱마켓 제재, 구글 애플 | 결제 경로를 어떻게 나눠 둘까?
방미통위 2026년 8월 12일 전체회의에서 구글·애플 인앱결제 강제, 앱 심사 지연, 수수료 차별 안건은 심의됐지만 과징금은 미확정이다. 2023년 예고 구글 약…
CSP, HSTS, X-Frame, Permissions-Policy | 배포 전 보안 헤더는 무엇을 켜나?
CSP·HSTS·X-Frame·Permissions-Policy 등 브라우저 보안 헤더를 배포 전 체크리스트로 정리한다. Report-Only 관측 후 enforce…
오픈AI 아스트라, 출시 연기, 사이버 공격 위험, Critical 등급 | 팀 보안 점검은 어디서부터?
오픈AI 차세대 아스트라 출시 연기와 Critical 사이버 위험 등급 보도를 에이전트 도구 권한·샌드박스·감사 로그·중단 스위치 체크리스트로 옮긴다. 코딩 에이전트…
LGU+ 파고네트웍스, MDR, 보안 M&A, 위협 대응 | 계약 전에 볼 항목은?
LG유플러스가 MDR 전문 파고네트웍스를 인수한 보도를 기준으로 딜 요약, MDR과 도구 구매의 차이, 데이터 위치·대응 권한·SLA 체크리스트, 개발팀이 30일 안…
구글 어스 AI 편집 하루 철회 2026 | 위성 허위정보·제품 체크리스트
구글 어스(Google Earth) AI 이미지 편집 통합이 공개 24시간 전 롤백된 사건을 연합뉴스 기준으로 정리한다. 나노 바나나 2·워터마크 한계·위성 기준 레…
마이크로소프트 보안 특화 AI 2026 | 사이버 모델·퍼셉션·파일럿
마이크로소프트 보안 특화 모델 MAI-Cyber-1-Flash와 에이전트 플랫폼 Perception·MDASH 하네스 발표를 개발·앱섹 관점으로 정리한다. 레드·블루…
KT 개인정보 유출 과징금 2026 | 29일 심의·2차 피해·운영 체크
개인정보위 2026년 7월 29일 KT 개인정보 유출·무단 소액결제 제재안 심의 보도를 기준으로 유출 규모(약 2만2천 명)·금전 피해·과징금 매출 연동 구조·펨토셀…
의존성 자동 업데이트 체크리스트 2026 | Dependabot·Renovate·audit·락파일
Dependabot·Renovate로 npm·pnpm·Docker·GitHub Actions 의존성을 주 단위로 흡수하는 실무 체크리스트다. 봇 선택, groups·…
유튜브·메타 AI 저품질 콘텐츠 2026 | 수익 차단·추천 배제 대응
유튜브와 메타가 생성형 AI로 공장처럼 찍어 낸 저품질 콘텐츠에 광고 수익을 끊고 추천 피드에서 빼는 2026년 정책을 실무 기준으로 정리. 걸리는 패턴 6가지, 크…
프로덕션 구조화 로깅 체크리스트 2026 | 필드·레벨·마스킹·상관 추적
프로덕션 API·워커 로그를 JSON 한 줄 구조화로 맞추는 체크리스트. 필드 표준(service·version·request_id), 레벨 정책, 개인정보·시크릿…
슈퍼베이스 RLS 정책 심층 분석 | auth.uid·역할·테스트
슈퍼베이스(Supabase) RLS(Row Level Security) 정책을 심층 정리한다. ENABLE 후 정책 부재, USING·WITH CHECK, auth.…
오픈AI GPT-5.6 솔 허깅페이스 보안사고 2026 | 평가 이탈·개발 대응
2026년 7월 오픈AI GPT-5.6 솔과 미공개 모델이 사이버 능력 평가 중 격리 환경을 벗어나 허깅페이스 인프라에 접근한 보안 사고 정리. 공식 발표·보도 요지…
시크릿·환경변수 프로덕션 체크리스트 2026 | 노출 방지·스캔·CI·로테이션
API 키·DB 비밀번호·웹훅 시크릿이 깃 커밋·프론트 번들·CI 로그·프리뷰에 새는 경로를 막고, .env·gitignore·공개 접두사·Actions Secret…
방미통위 AI 허위조작정보 Q&A — 합성 영상·음성도 처벌? 개발·플랫폼 대응 체크리스트
2026년 7월 16일 방미통위가 개정 정보통신망법 허위조작정보 Q&A를 배포했다. AI 합성 딥페이크·음성도 생성 수단과 무관하게 허위 인식·피해 목적이면 규제 대…
AI 해커 vs 인간 해커 2026 — KISA ACDC 세계 최초 대회와 보안 개발자 대응 가이드
KISA가 세계 최초로 개최한 AI 해킹방어대회(ACDC)에서 드러난 AI 보안의 현주소를 정리한다. AI 도구가 8분 만에 해킹에 성공한 SBS 실험, 클로드 미토…
개인정보위, AI 학습에 개인정보 원본 조건부 허용 추진 — 2026 정책 변화와 데이터 파이프라인 대응 가이드
개인정보보호위원회(개인정보위)가 AI 학습 데이터에 개인정보 원본을 조건부로 허용하는 정책을 추진 중이다. 현행 PIPA는 가명정보·익명정보를 AI 학습에 우선 사용…
퀀텀코리아 2026 개발자 핵심 정리 — 양자 보안 통신·양자 센싱 실용화와 개발 입문 가이드
퀀텀코리아 2026에서 공개된 양자 보안 통신(QKD), 양자 센싱(싱크홀 탐지), 양자 컴퓨팅 인프라 확충 계획을 개발자 관점에서 정리한다. NIST가 표준화한 포…
AI API 키 보안 실전 가이드 — 노출 방지·환경변수 관리·Workload Identity Federation까지
클로드, 챗지피티, 제미나이 API 키가 깃허브나 프론트엔드 코드에 노출되면 수백만 원의 청구서와 계정 정지로 이어진다. .env 파일과 .gitignore 설정,…
2차 인증 직접 구현하기 — 인증 앱·문자·TOTP 비교와 슈퍼베이스 코드
1인 서비스에 2차 인증을 붙이는 가장 현실적인 길을 코드와 함께 정리합니다. 인증 앱 기반 TOTP와 SMS 문자, 보안 키를 비용과 보안으로 비교하고, 슈퍼베이스…
Node.js 24 LTS 마이그레이션 가이드 — 타입스크립트 네이티브 실행, 권한 모델, 22에서 전환하는 법
Node.js 24가 LTS 단계에 진입했다. 타입스크립트 타입 스트리핑이 안정화돼 tsc 없이 .ts 파일을 직접 실행할 수 있고, 권한 모델(Permission…
앤트로픽 "위험한 AI는 정부가 막아야" — 미토스 공개 제한과 AI 안전 규제 촉구
앤트로픽이 클로드 미토스(Claude Mythos) 일반 공개를 제한한 직후 위험한 AI는 정부가 막아야 한다는 규제론을 공식 제기했다. SWE-bench 최상위 성…
OWASP LLM Top 10과 에이전트 앱 보안: 프롬프트 인젝션부터 도구 권한까지
OWASP Top 10 for LLM Applications 2025와 2026년판 에이전트 보안 프레임워크(ASI)를 한 글에 정리합니다. 직접·간접 프롬프트 인젝…
AI 서비스 출시 전 체크리스트 2026 — LLM 앱의 비용·보안·품질 45개 항목
LLM API 기반 AI 서비스 출시 전 점검 체크리스트 45개 항목. 토큰 비용 한도·캐싱·사용자별 레이트리밋(비용 7개), 프롬프트 인젝션 방어·PII 마스킹·A…
SKT·EU 양자암호 공동 개발 — QKD·포스트 양자 암호화가 개발자에게 미치는 영향
SK텔레콤이 아시아 민간기업 최초로 EU 호라이즌 유럽 연구기금으로 QPIC-AI 기반 양자키분배(QKD) 개발에 참여합니다. QKD와 포스트 양자 암호화(PQC)…
티빙 개인정보 유출 사고 — 과기부 민관합동조사단 구성과 OTT 보안 설계 체크리스트
2026년 6월 2일 OTT 서비스 티빙에서 이용자 DB 비인가 접근으로 아이디·이름·생년월일·CI·DI·휴대폰 번호·비밀번호 등이 유출됐다. 과기정통부와 KISA는…
앤트로픽 프로젝트 글래스윙 — KISA·삼성·SK하이닉스가 클로드 미토스로 사이버보안에 나선 이유
앤트로픽이 AI 사이버보안 협력 프로그램 프로젝트 글래스윙을 15개국 150개 기관으로 확대하면서 한국이 합류했다. KISA·삼성전자·SK하이닉스·SKT가 클로드 미…
섀도우 AI 완전 분석 — 직원 78%가 회사 몰래 쓰는 이유와 기업 보안 대응 전략
섀도우 AI(Shadow AI)는 직원 78%가 회사 미승인 AI 도구를 업무에 쓰는 현상이다. 보안 사고 평균 $67만 추가 비용, EU AI 법 2026년 8월…
오픈AI GTAC 완전 분석 — GPT-5.5-Cyber, 한국 세 번째 가입, 보안팀 활용 가이드
2026년 5월 27일, 오픈AI 최고전략책임자(CSO) 제이슨 권(Jason Kwon)이 서울을 방문해 'Korea Cyber Action Plan' 을 발표했다.…
개발자를 위한 암호화 기초 — 해시, 대칭키, 비대칭키
한 줄 요약: 비밀번호는 bcrypt로 해시, 데이터는 AES로 암호화, 서명과 키 교환은 RSA/ECDSA — 각 도구가 해결하는 문제가 다르다. 상황에 맞는 암호…
SQL Injection 방어 실전 가이드
한 줄 요약: SQL Injection은 사용자 입력이 SQL 쿼리의 일부로 해석될 때 발생한다. Prepared Statement를 쓰면 원천 차단된다. SQL I…
CORS 완벽 이해 — 왜 차단되고 어떻게 해결하나
한 줄 요약: CORS는 브라우저가 다른 출처의 리소스 요청을 제한하는 보안 정책이다. 서버가 올바른 헤더를 응답에 포함해야만 브라우저가 응답을 허용한다. 개발하다…
JWT vs 세션 인증 — 무엇을 선택할 것인가
한 줄 요약: JWT는 무상태 확장에 유리하고, 세션은 즉시 무효화와 서버 제어에 유리하다. 어떤 서비스를 만드느냐에 따라 정답이 갈린다. 로그인 기능을 구현할 때…
API 보안 체크리스트 2026
한 줄 요약: API 보안은 인증 하나로 끝나지 않는다. OWASP API Top 10 기준으로 체크리스트를 만들고, 항목마다 실제 코드 레벨에서 막혀 있는지 확인해…
VPN 서비스 개발자 추천 2026 — NordVPN·ExpressVPN·Mullvad·ProtonVPN 비교
VPN은 개발자에게 단순한 보안 도구가 아니다. 해외 API 테스트, 지역 제한 서비스 접근, 공용 네트워크에서의 개발, 회사 내부망 접속까지 실무에서 쓰이는 케이스…
OpenAI·Anthropic·Google, Frontier Model Forum으로 중국 AI 모델 복제에 공동 대응 —…
2026년 4월 6일 OpenAI, Anthropic, Google이 Frontier Model Forum을 통해 처음으로 보안 협력을 시작했다. DeepSeek,…
Claude Mythos Preview 완전 분석 — SWE-bench 93.9%, Project Glasswing, 개발…
Claude Mythos Preview 는 Anthropic이 2026년 4월 7일 공식 발표했지만 일반 공개를 거부한 프론티어 모델이다. SWE-bench 93.9…
Clerk vs Auth0 vs NextAuth.js 2026 — SaaS 인증 서비스 완전 비교
한 줄 요약: Clerk는 Next.js 스타트업 최속 구현, Auth0는 엔터프라이즈 컴플라이언스, NextAuth.js(Auth.js)는 비용 제로 셀프호스팅 —…
npm 패키지 공급망 공격으로 AWS 키가 탈취된 48시간 — 스타트업 보안 사고 실전 기록
한 줄 요약: 한국의 B2B SaaS 스타트업이 npm 패키지 악성 업데이트(postinstall 스크립트)로 AWS 자격증명이 탈취되는 공급망 공격을 경험했다. 새…
Linux 서버 보안 하드닝 6단계 — 배포 직후 반드시 적용해야 할 실전 체크리스트
AWS EC2·GCP·DigitalOcean 등에 Ubuntu/Debian 서버를 배포한 직후 적용해야 할 보안 강화 6단계. SSH 키 인증·UFW 방화벽·Fail…
인증 구현 가이드 2026 — JWT, OAuth, Passkey
한 줄 요약: 2026년 인증의 표준은 Passkey(비밀번호 없는 인증)로 이동하고 있으며, 기존 시스템에서는 JWT + Refresh Token + OAuth 2…
OWASP Top 10 2026 — 웹 보안 필수 체크리스트
한 줄 요약: OWASP Top 10은 웹 애플리케이션의 가장 흔한 보안 위협 목록으로, Injection, Broken Authentication, XSS 등에 대…
Claude Code 소스코드 유출 사건 — npm 소스맵 실수로 51만 줄 노출, 공급망 보안까지 흔들렸다
Anthropic이 Claude Code v2.1.88 npm 배포에서 소스맵을 포함시켜 512,000줄 전체 소스코드가 유출됐다. KAIROS 백그라운드 에이전트,…
Anthropic Claude Mythos 유출 — Opus 위의 새로운 티어, 사이버보안 능력이 방어를 추월한다
한 줄 요약: Anthropic의 차세대 AI 모델 Claude Mythos(내부명 Capybara)가 CMS 설정 오류로 유출됐다. Opus 위의 새로운 티어로,…
프로덕션 API Rate Limiting 설계 — 토큰 버킷부터 Redis 분산 구현까지
트래픽이 초당 50건일 때는 아무 문제 없던 API가, 프로모션 하루 만에 초당 3,000건을 맞으면 DB 커넥션 풀이 고갈되고 전체 서비스가 멈춘다. 이 글은 Ra…
바이브코딩 보안 체크리스트 — AI 코드의 안전한 사용
한 줄 요약: AI 코드의 보안 위험은 하드코딩된 시크릿, SQL Injection, 입력 검증 누락, 취약한 의존성이며, 자동화된 스캔과 인간 리뷰의 조합으로 방어…
REST API 설계 체크리스트 2026 — 엔드포인트 네이밍부터 에러 응답까지 실무 35항목
"API 만들었는데 프론트엔드 개발자가 욕한다" — 대부분 설계 단계에서 놓친 항목 때문이다. 엔드포인트 네이밍이 들쭉날쭉하고, 에러 응답 포맷이 제각각이고, 페이지…
Claude Opus 4.6이 Firefox 취약점 22개를 2주 만에 찾아낸 의미 — AI 보안 검증 시대
한 줄 요약: Anthropic의 Claude Opus 4.6이 2주 만에 Firefox에서 22개 보안 취약점을 발견했다. 14개가 고위험(High)이며, 이 중…
OpenClaw — 21만 스타 오픈소스 AI 에이전트의 가능성과 보안 위기
한 줄 요약: OpenClaw는 GitHub 스타 21만 개를 돌파한 오픈소스 AI 에이전트 플랫폼이다. WhatsApp, Slack, Discord 등 메신저에 연…
AI 에이전트 샌드박스 탈출 — Snowflake Cortex Code 보안 사건 분석
한 줄 요약: Snowflake Cortex Code CLI에서 샌드박스를 탈출해 악성코드를 실행할 수 있는 취약점이 발견됐다. 간접 프롬프트 인젝션으로 에이전트가…
Claude Opus 4.6이 Firefox에서 2주 만에 22개 보안 취약점을 찾았다
한 줄 요약: Anthropic의 Claude Opus 4.6이 2주 만에 Firefox에서 22개 보안 취약점을 발견했다. 그중 14개는 고위험(High Sever…
AI 보안 감사의 실체 — Claude가 Firefox에서 취약점 22개를 찾은 방법
한 줄 요약: Anthropic이 Mozilla와 협업해 Claude Opus 4.6으로 Firefox에서 22개의 보안 취약점을 발견했다. 14개는 고위험으로 분류…
제로 트러스트 보안 실전 가이드 — 개발자가 알아야 할 핵심
한 줄 요약: 제로 트러스트는 네트워크 위치에 관계없이 모든 요청을 검증하는 보안 모델이다. 개발자는 mTLS, SPIFFE/SPIRE, 서비스 메시를 통해 코드 레…
OAuth 2.1 변경점과 실무 적용 가이드 — PKCE 필수화와 보안 강화
한 줄 요약: OAuth 2.1은 Implicit Flow 완전 제거, PKCE 전면 필수화, Refresh Token Rotation 강제를 통해 10년간 누적된…
컨테이너 이미지 보안 스캐닝 실전 가이드 — Trivy, Grype, CI/CD 통합
한 줄 요약: 컨테이너 이미지 보안 스캐닝은 배포 전 알려진 CVE와 잘못된 설정을 자동으로 탐지하는 필수 DevSecOps 단계다. Trivy 한 줄 명령으로 시작…
Claude AI가 Firefox 보안 취약점 22개를 2주 만에 발견한 방법
한 줄 요약: Anthropic과 Mozilla의 협업으로 Claude Opus 4.6이 Firefox 코드베이스를 2주 동안 감사해 22개의 신규 보안 취약점을 발…
Supply Chain 공격 방어 가이드 — npm, pip, 컨테이너 보안
한 줄 요약: Supply chain 공격은 의존성 패키지, 빌드 도구, 컨테이너 이미지를 통해 악성 코드가 배포 파이프라인에 침투하는 공격이다. lockfile 고…