해커뉴스 프론트페이지 라운드업 — 2026년 7월 13일
오늘 200포인트를 돌파한 글은 총 7개다. 보안과 프라이버시 이슈가 프론트페이지를 압도했다.
GhostLock: 15년간 모든 리눅스 배포판에 숨어 있던 스택 UAF 취약점
381 points · nebusec.ai
네뷸라 시큐리티(Nebula Security)가 ’GhostLock’이라 명명한 CVE-2026-43499는 리눅스 커널 2.6.39(2011년)에 도입되어 올해 4월 7.1 커널에서야 수정된 리눅스 커널 rtmutex 코드의 use-after-free(UAF) 취약점이다. 이 버그를 이용하면 권한이 없는 로컬 공격자가 커널 스택의 댕글링 포인터를 확보하고, 거의 임의의 메모리 주소에 값을 쓰며, 함수 테이블을 탈취해 루트 권한으로 상승할 수 있다. 주요 리눅스 배포판마다 기본 활성화되어 있는 CONFIG_FUTEX_PI=y 외에는 별도의 특수한 커널 설정조차 필요하지 않다.
연구진은 이를 97%의 높은 성공률을 보이는 권한 상승 및 컨테이너 탈출 익스플로잇으로 발전시켜 구글의 kernelCTF 프로그램으로부터 92,337달러의 포상금을 받았다. 익스플로잇 체인은 대단히 정교하다. prefetch 기반의 ASLR 릭, 무작위화 우회를 위한 CEA 스프레이, PR_SET_MM_MAP을 통한 위조 waiter 구조체 생성, inet6_protos[IPPROTO_UDP] 피보팅, 그리고 DirtyMode를 활용한 최종 장악으로 이어진다. 상세 보고서 전체가 커널 익스플로잇의 정석을 보여주는 교과서와 같다.
무려 15년 동안 모든 리눅스 배포판에 숨어 있었다. 실시간 스레드가 뮤텍스에서 경합할 때마다 실행되는 우선순위 상속 futex 코드에 이토록 치명적인 버그가 15년이나 방치되어 있었다는 사실은, 커널 보안 검토가 얼마나 더디게 이루어지는지를 여실히 드러낸다. 수정 커밋(3bfdc63936dd)은 단 한 줄짜리였다. 커널을 즉시 패치해야 한다.
LAPD, 대규모 감시 카메라 기업 Flock Safety와의 계약 종료
340 points · TechCrunch
로스앤젤레스 경찰국(LAPD)이 감시 카메라 업체 Flock Safety와의 3년 계약을 갱신하지 않고 만료되도록 내버려두었다. LAPD는 “시민의 자유와 권리, 특히 프라이버시 및 수집되는 데이터에 대한 심각한 우려”를 이유로 들었다. Flock은 미국 전역에서 8만 대 이상의 차량 번호판 인식 카메라 네트워크를 운영하고 있으며, LAPD는 그들의 가장 큰 고객 중 하나였다.
이러한 이탈은 처음이 아니다. 마운틴뷰와 사우스포틀랜드 역시 연방 이민 당국이 피난처 도시 정책을 우회하는 데 이 카메라들을 활용했다는 우려로 이미 Flock과의 계약을 해지한 바 있다. 또한 이 회사는 잇따른 보안 사고로 도마 위에 올랐다. 404 미디어는 일반에 그대로 노출된 라이브 카메라 피드를 폭로했고, 마약단속국(DEA)은 현지 경찰의 계정 권한을 무단 도용해 불법 이민 용의자를 수색하다 적발되기도 했다. 연구자들은 번호판 인식기의 오작동으로 인해 무고한 운전자가 총구 앞에서 체포당하는 사례들을 문서화하기도 했다.
Flock 측은 “당혹스럽다”며 “오해를 바로잡을 수 있다”고 해명하고 있다. 하지만 주민들이 직접 카메라를 철거하고 있고, 언론인들이 자기 동선을 실시간으로 훔쳐볼 수 있을 만큼 보안 태세가 허술한 상황에서 그런 해명을 진지하게 받아들이기는 어렵다. 더 큰 문제는 LAPD가 카메라의 영상 녹화를 실제로 중단시킬 것인지, 아니면 Flock의 인프라가 공식 계약 없이도 뒤편에서 계속 가동될지 여부다.
Whisper와 비교 벤치마크한 애플의 신규 SpeechAnalyzer API
294 points · get-inscribe.com
인스크라이브(Inscribe)가 iOS/macOS 26에 탑재되는 애플의 신규 SpeechAnalyzer API를 5,559개의 LibriSpeech 음성 샘플을 바탕으로 오픈AI Whisper 및 기존 SFSpeechRecognizer와 비교 평가했다. 결과는 압도적이었다. SpeechAnalyzer는 깨끗한 음성에서 2.12%, 잡음이 섞인 음성에서 4.56%의 단어 오류율(WER)을 기록하여 Whisper Small(각각 3.74%, 7.95%)을 크게 앞질렀고, 동작 속도도 약 3배 빨랐다. 기존 SFSpeechRecognizer는 오류율 9.02%로 꼴찌를 기록했는데, 이는 40MB에 불과한 소형 모델인 Whisper Tiny보다도 뒤떨어지는 수치다.
이 벤치마크는 두 가지 측면에서 높은 신뢰도를 갖는다. 첫째, 인스크라이브가 측정한 Whisper의 성능 수치는 오픈AI가 발표한 공식 데이터와 거의 일치한다(엄격한 텍스트 정규화와 CoreML 양자화로 인한 약간의 오차 수준). 둘째, 이들은 테스트 결과에 따라 실제 자사 제품을 즉각 변경했다. 인스크라이브의 Auto 엔진은 이제 지원되는 언어에 대해 SpeechAnalyzer를 우선적으로 호출하도록 전환되었다. 벤치마크를 직접 발표해 놓고 정작 자기 제품에 적용하지 않는다면 모순일 텐데, 발 빠른 조치를 취한 것이다.
개발자들에게 주는 시사점은 분명하다. 기존 SFSpeechRecognizer는 즉시 버려야 한다. 애플 하드웨어 환경에서 영어 음성을 인식할 때 Whisper는 더 이상 정확도의 기본 선택지가 아니다. Whisper의 유일한 남은 강점은 SpeechAnalyzer가 지원하는 30여 개 언어를 훌쩍 뛰어넘는 방대한 언어 지원 범위와 크로스 플랫폼 이식성뿐이다. 하지만 애플 생태계만을 타깃으로 하는 영어 기반 서비스라면, 이제 운영체제 내장 엔진이 최고이자 무료인 선택지가 되었다.
일본 실제 시각과 동기화되는 복셀 도쿄: 야마노테선을 타며 즐기는 일본어 공부
289 points · jivx.com/densha
덴샤(Densha)는 일본 현지의 실제 시각, 날씨, 계절에 동기화되는 복셀 아트 스타일의 도쿄를 구현한 웹 브라우저 기반 공간이다. 이용자는 도쿄의 대표적인 순환선인 야마노테선 열차에 탑승해 차창 밖을 바라보며 흘러나오는 N5 수준의 일본어 문장 자막과 오디오를 듣는다. 그냥 켜두기만 하면 되는 로파이(lo-fi) 스터디 룸인 셈이다.
기획의 범위가 대단히 훌륭하다. 앱을 설치할 필요도 없고, 유료 구독도 없으며, 번거로운 게이미피케이션 요소도 없다. 그저 고요한 분위기만 존재한다. 일본어를 공부해 본 사람이라면 그 매력을 단번에 알 수 있다. 애써 외우려 하지 않아도, 현실감 넘치는 맥락 속에서 자연스럽게 문장 구조와 어휘에 노출되는 편안한 몰입감을 준다. 잔잔한 로파이 배경음악도 한몫을 한다.
이는 ’앰비언트 학습 환경(ambient learning environments)’이라는 더 넓은 흐름을 대변한다. 능동적인 참여를 강요하지 않으면서도 수동적 노출 자체가 의미를 갖는 환경을 빚어내는 도구들이다. 구조화된 학습 방식에 비해 언어 습득 효과가 얼마나 뛰어날지는 따져봐야겠으나, 곁에 두고 쓰는 보조 도구로서의 감성은 흠잡을 데 없다.
되돌아가지 않는 필기체: 펜을 떼지 않고 쓰는 새로운 글씨체 디자인
230 points · mmapped.blog
글씨체(penmanship)라는 아날로그 영역에 깊이 천착하면서도 문제를 정량적으로 분석해 낸 독특하고 매력적인 글이다. 작성자는 도스토옙스키의 죄와 벌을 러시아어와 영어로 분석하여 필기체를 쓸 때 ‘되돌아가기(backtracking)’—이미 일부를 쓴 글자에 획을 추가하는 행위(i의 점을 찍거나 t의 가로획을 긋는 등)—가 얼마나 자주 발생하는지 측정했다. 영어는 단어의 51%에서 되돌아가기가 발생한 반면(단어당 0.68회), 러시아어는 단 6.4%(단어당 0.066회)에 불과했다.
저자가 내놓은 해결책은 스위스 스타일 로고에서 영감을 얻은 한 획짜리 t, 펜을 뗄 필요가 없도록 원과 줄기 루프를 일체화한 i와 j, 세로획 두 개를 먼저 긋고 한 번에 가로지르는 tt 합자 등을 도입하여 SmithHand 서체를 개량한 커스텀 필기체다. 설계 철학은 엄격하다. 모든 소문자는 단 한 획으로 다음 글자와 완벽하게 이어져야 한다.
해커뉴스가 사랑해 마지않는 편집광적 장인정신의 결정체다. 분석 자체가 대단히 흥미롭다. 영문 필기체가 점 찍기와 획 긋기 때문에 본질적으로 끊김 없는 연속 필기에 취약하다는 점은 누구나 느껴보았지만 누구도 명확히 언어화하지 못했던 통찰이다. 누군가 이 맞춤형 필기체를 실제로 일상에서 익혀 쓸 것인지는 중요하지 않다. 그 집요한 사고의 과정 자체가 훌륭한 결과물이다.
Show HN: Super Dario
232 points · superdario.pawb.de
“파스칼 슈스터(Pascal Schuster)가 만든 멍청하고 귀여운 작은 게임”이라는 소개가 붙은 웹 브라우저 기반 플랫포머 게임이다. 슈퍼 마리오 패러디인 Super Dario: One More Week는 방향키와 스페이스바만으로 브라우저에서 즉시 실행된다. 제목의 ’One More Week(딱 일주일만 더)’는 흔히 개발자들이 일정 지연(scope creep)에 빠질 때 쓰는 유행어에서 따온 자조적 농담이며, 전체적으로 주말에 가볍게 만들어 실제로 배포까지 마친 사이드 프로젝트 특유의 활력이 넘친다.
브라우저 게임이 해커뉴스에서 큰 호응을 얻는 것은 흔한 패턴이다. 진입 장벽이 전혀 없다. 클릭하고, 플레이해 보고, 마음에 들면 추천을 누르면 된다. 설치도 없고 설정도 필요 없다. 공개 두 시간 만에 232포인트를 얻었다는 것은 단순한 신선함을 넘어 게임 자체의 완성도가 충분히 즐길 만하다는 뜻이다.
Ask HN: 지금 어떤 프로젝트를 진행 중인가요? (2026년 7월)
226 points · Hacker News
매달 정기적으로 열리는 해커뉴스 커뮤니티의 현황 공유 스레드다. 눈길을 끄는 프로젝트 몇 가지를 꼽자면, Qwen3.6-27B 모델로 Zork-Bench에서 50점 안팎을 기록해 Claude Opus 4.5 수준의 성능에 도달했다는 프로젝트, 시뮬레이터 샷 분포 데이터를 활용한 골프장 설계 컨설팅 AI 모델, 그룹 구성원 모두에게 신호를 보내 가장 먼저 전화를 받은 사람과 연결해 주는 ‘일대다 통화’ 앱 Beacon 등이 있었다. 아울러 종이로 인쇄되어 매달 배송되는 화면 없는 어린이 신문, 운동 영상으로 만드는 비디오 콜라주 생성기, 8년째 꾸준히 유지보수 중인 Video Hub App도 언급되었다.
기술적으로 가장 흥미로운 것은 Zork-Bench 프로젝트다. 텍스트 기반 인터랙티브 픽션 작업에서 27B 규모의 경량 모델과 Opus 4.5 같은 최상위 거대 모델 간의 격차가 빠르게 좁혀지고 있으며, 이를 구현하기 위해 설계된 하네스 엔지니어링 역시 만만치 않은 기술적 깊이를 보여준다.
맥락 읽기
오늘 프론트페이지를 관통하는 핵심 화두는 **보안 부채(security debt)**와 프라이버시의 청산이다. GhostLock은 15년간 방치되다 단 한 줄로 수정된 커널 취약점으로, 디지털 세계의 핵심 인프라 코드가 얼마나 말도 안 되게 긴 세월 동안 제대로 된 검토 없이 방치되는지를 입증한다. LAPD가 Flock Safety와의 계약을 해지한 것은 공권력조차 감시 외주 업체의 허술한 보안 태세와 데이터 수집 관행을 더 이상 감당할 수 없다고 인정한 사건이다. 이 두 이야기는 궤를 같이한다. 위험을 조용히 누적시키다 증거가 너무 명백해져 더는 외면할 수 없게 된 시스템들의 이야기다.
애플의 SpeechAnalyzer 벤치마크는 조용하지만 묵직한 충격을 던진다. 생태계 전체의 기본 선택지를 뒤흔드는 성격의 발표다. 온디바이스 음성 인식에서 Whisper가 차지하던 독점적 지위는 애플이 언젠가 메워야 할 공백으로 여겨져 왔으나, 단어 오류율을 40%나 낮추면서 속도는 3배나 끌어올린 것은 강력한 선언이다. 앰비언트 학습 웹앱과 필기체 재설계에 관한 글들은 좋은 휴식처가 되어준다. AI 생성 콘텐츠가 범람하는 플랫폼 속에서도 장인정신과 디테일에 대한 집착은 여전히 독자들의 마음을 움직인다.