오늘 해커뉴스에서 200포인트 이상을 기록한 네 가지 주요 소식을 정리한다.

잠긴 태블릿을 온전히 소유하기 위해 266달러와 4개의 AI 모델을 썼다 — GLM-5.3이 하루 만에 끝냈다

508 points · Source

에릭 파디(Eric Pardee)는 홈 어시스턴트(Home Assistant) 대시보드로 쓰기 위해 아마존 파이어 HD 10 태블릿을 구입했다. 그러나 아마존 펌웨어는 기기를 강제로 종료해 버리기 일쑤였다. 절전 모드가 아니라 완전한 전원 종료였는데, 기기 소유자가 비활성화할 수 없는 REBOOT 및 SHUTDOWN 권한을 가진 3개의 보호된 아마존 패키지 때문이었다. 이를 제거하려면 루트 권한이 필요했다. 하지만 아마존은 부트롬(bootrom)을 완전히 잠가버렸고, 2022년 XDA 스레드 이후 공개된 루팅 방법은 전무했다.

클로드(Claude)와 5개월간 엎치락뒤치락한 끝에(클로드는 결국 안전 가드레일에 걸려 추가 작업을 거부했다), 파디는 문샷 AI의 프론티어 모델인 Kimi K3로 방향을 틀었다. K3는 맹목적으로 지시를 따르지 않았다. DMCA 예외 조항을 인용하며 소유 기기를 직접 루팅하는 행위의 법적 정당성을 스스로 추론한 뒤 작업에 착수했다. 그런 다음 아마존의 OTA 이미지에서 실제 커널을 추출해 냈고, CVE-2022-38181을 찾아냈다. 이는 Arm의 Mali GPU 드라이버에 있던 use-after-free 취약점으로, 아마존이 후속 펌웨어에서는 패치했으나 파디의 태블릿에는 배포되지 않은 상태였다. GLM-5.2가 익스플로잇 체인의 치명적 버그들을 잡아냈고, GLM-5.3이 단 하루 만에 완전한 루트 권한을 획득했다.

이 이야기의 본질은 단순히 “AI가 태블릿을 루팅했다”는 데 있지 않다. 기기 소유자가 기본적인 재산권을 행사하기 위해 4개의 AI 모델과 266달러를 써야만 하는 장치를 만들어 낸 아마존의 업데이트 정책에 있다. 해당 취약점은 2023년부터 미국 CISA 카탈로그에 등재되어 있던 공지의 CVE였다. 아마존은 2024년 6월 패치를 내놓았으나 파디의 태블릿은 구형 파이어 OS에 머물러 있었다. 저가 안드로이드 기기에서 “패치 출시”와 “패치 전달” 사이의 간극은 여전히 구조적인 문제이며, 아마존의 보호 패키지 아키텍처는 이를 의도적으로 악화시키고 있다.

더 나은 작가가 되려면 가능한 한 많이 읽어라

395 points · Source

SF 소설가 T.R. 내퍼(T.R. Napper)는 직설적인 주장을 던진다. 글을 쓰고 싶다면 반드시 읽어야 한다는 것이다. 그는 책을 읽지 않는 작가 지망생이 늘어나는 세태를 꼬집는다. 하루 평균 5시간씩 화면을 들여다보면서도 바쁘다는 핑계로 1년 동안 책 한 권을 끝내지 못한 채 창작 워크숍에 나타나는 이들이 그렇다. 그의 논지는 명확하다. 정식으로 연구하든 그렇지 않든 모든 책은 작법에 관한 배움터다. 구조, 문체, 호흡, 인물 묘사 같은 패턴은 지시나 강의가 아니라 독서량(volume)을 통해 뇌에 새겨진다.

내퍼는 문예창작이라는 거대한 산업 복합체에도 쓴소리를 아끼지 않는다. 정형화된 플롯 구조 수업의 가치를 인정하면서도, 광범위한 독서에서 오는 날것의 흡수력에 비하면 지나치게 과대평가되어 있다고 지적한다. 그 자신의 초기 원고들 역시 구조론을 따로 배운 적이 없었음에도 수십 년간 쌓인 독서 경험만으로 본능적인 3막 구조를 따랐다. 그는 “너무 바쁘다”는 변명 역시 일축한다. 전업 작가로 글을 쓰면서 세 가지 부업을 뛰고 두 아이를 키우는 자신조차 매일 밤 독서를 한다는 점을 상기시킨다.

이 글이 해커뉴스 독자들의 큰 공감을 산 이유는 소프트웨어 분야에서도 정확히 똑같은 현상이 벌어지기 때문일 것이다. 남의 코드를 읽지 않고, 타인의 시스템 설계를 들여다보지 않으며, 바닥에 무엇이 깔려 있는지 이해하지 못한 채 튜토리얼과 프레임워크에만 의존하는 개발자들 말이다. 비유가 완벽하지는 않다. 커누스(Knuth)의 저작을 정독하지 않고도 코드를 배포할 수는 있으니까. 그러나 핵심 통찰은 유효하다. 모든 기술과 공예에서 입력(input)의 총량이 출력(output)의 품질을 결정한다.

슬로바키아, 교통 과속 단속 카메라에서 러시아 백도어 발견

274 points · Source

슬로바키아 국가안보국(NBU)이 긴급 경보를 발령했다. EU 지원금 3,000만 유로가 투입된 프로젝트의 일환으로 도입된 NERO R-ONE 과속 단속 카메라에, 하드코딩된 러시아 전화번호에서 오는 SMS를 통해 셸 및 네트워크 접속 권한을 넘겨주는 백도어가 탑재되어 있었던 것이다. 이 카메라는 상트페테르부르크의 세미콘(Semicon)사가 제조한 러시아산 CORDON PRO.M의 브랜드만 바꾼 제품이었다. 위조된 인증서를 앞세운 키프로스 페이퍼컴퍼니를 통해 납품되었다.

백도어 외에도 NBU는 충격적인 결함들을 확인했다. 보안 부팅(SecureBoot)이 비활성화되어 펌웨어 무결성이 전혀 검증되지 않았고, 웹 관리 포털에는 다수의 취약점이 방치되어 있었으며, 실시간 비디오 스트림은 송출 IP만 알면 인증 없이 누구에게나 노출되어 있었다. 슬로바키아 내무부는 처음에는 해당 장비가 러시아산이라는 사실을 부인하며 폐쇄망에서 운용될 것이라 주장했으나, 두 주장 모두 거짓으로 드러났다.

EU의 자체 자금으로 조달된 핵심 인프라에 대한 전형적인 공급망 공격이다. 이 카메라는 슬로바키아 내 279개 지점에 설치 중이었으며, 크로아티아를 비롯한 동유럽 다른 국가들에도 유사한 장비가 배치된 것으로 전해졌다. 이번 사건은 공공 조달의 고질적인 맹점을 드러낸다. 정부가 조달을 안보의 문제가 아닌 비용의 문제로만 취급한다는 점이다. 위조된 인증서를 든 키프로스 페이퍼컴퍼니가 EU 회원국에 감시 인프라를 버젓이 납품할 수 있었다는 사실 자체가 오늘날 안보 체계의 참담한 민낯이다.

Wi-Fi 8: 수년 만에 처음으로 속도 경쟁을 멈춘 무선 표준

237 points · Source

Wi-Fi 8(IEEE 802.11bn)은 최대 이론상 처리량을 늘리지 않는 최초의 무선 규격이 될 것으로 보인다. 대역당 23Gbps라는 최고 속도, 4096-QAM 변조, 320MHz 채널, 공간 스트림 개수 모두 Wi-Fi 7과 동일하다. 대신 IEEE는 이를 ’초고신뢰성(Ultra High Reliability)’이라는 기치 아래 묶고 세 가지 구체적인 지표를 겨냥하고 있다: 다양한 신호 대 간섭비 환경에서 전송량 25% 개선, 95번째 백분위수 지연 시간 25% 감소, MAC 프로토콜 데이터 유닛 손실률 25% 감소다.

옳은 방향의 전환이다. Wi-Fi 7의 이론상 23Gbps는 이미 대부분의 가정에서 활용할 수 있는 수준을 아득히 넘어섰다. 대다수 가정용 인터넷 속도는 1~2Gbps에 머물며, 로컬 네트워크 전송조차 Wi-Fi 7의 링크를 가득 채우기 어렵다. 사용자에게 진짜 고통을 주는 것은 이웃집 공유기의 전파 간섭, 밀집된 아파트 단지에서의 잦은 연결 끊김, 화상 통화 중 튀는 레이턴시 스파이크다. 원시 속도 대신 신뢰성에 집중하는 Wi-Fi 8의 행보는 이동통신이 밟아온 길과 닮았다. 5G의 가장 체감되는 실질적 개선점 역시 최고 속도가 아니라 밀집 지역에서의 연결 일관성이었다.

규격이 아직 제정 단계에 있어 세부 내용은 바뀔 수 있다. 그러나 방향성의 전환 자체는 의미심장하다. 무선 통신 업계가 대다수 사용자에게 필요한 병목이 대역폭이 아니라 연결의 일관성임을 마침내 인정한 셈이다. 라우터 제조사들이 이러한 신뢰성 기능들을 제대로 구현해 낼지, 아니면 동일한 하드웨어에 펌웨어 업데이트만 얹어 “Wi-Fi 8” 스티커만 붙여 팔지는 두고 볼 일이다.

맥락 읽기

오늘의 프론트페이지를 관통하는 명확한 주제는 설계부터 사용자를 배신하는 시스템들이다. 아마존 파이어 태블릿은 자체 텔레메트리 파이프라인을 보호하기 위해 기기 소유자와 적극적으로 싸운다. 슬로바키아의 과속 단속 카메라는 적대국이 심어둔 백도어를 품은 채 위조 서류를 통해 공공 조달망을 유유히 뚫었다. 와이파이 표준화 기구는 사용자들이 불안정한 연결에 고통받는 10년 동안 아무도 쓰지 못할 허상의 속도 숫자만을 좇았다. 글쓰기 조언에 관한 글조차 문예창작 산업이 책을 읽지 않는 학생들을 양산해 내는 시스템의 실패를 꼬집는다.

공통의 실마리는 시스템이 주장하는 바와 그것이 사용자에게 실제로 안겨주는 결과 사이의 괴리다. 아마존은 태블릿을 팔았다고 주장하지만 실상은 광고판 키오스크를 임대한 것에 불과했다. EU는 인프라 현대화에 투자했다고 자부했으나 실상은 러시아의 감시망에 돈을 대준 꼴이었다. Wi-Fi 7은 23Gbps를 외쳤으나 이웃이 전자레인지를 돌리면 화상 회의가 끊겼다. 각 사례에서 바로잡음은 표면의 서사를 그대로 받아들이기를 거부한 개인들로부터 나왔다. 4개의 AI 모델을 동원해 저항한 한 개인, 제 역할을 다한 정보기관, 그리고 “이것이 정말 사람들에게 도움이 되는가?“를 마침내 되물은 표준화 기구처럼 말이다.