소식

  • 컨텍스트 인식 AI, 기업 에이전트 성패 가른다

    컨텍스트 인식 AI, 기업 에이전트 성패 가른다

    3줄 요약

    • 기업용 AI 에이전트의 성패는 모델 크기보다 ‘업무가 실제로 돌아가는 방식’, 즉 운영 맥락을 아느냐에 달려 있다.
    • 맥락이 빠진 에이전트는 제약 조건을 놓치고, 비싼 실수를 하고, 필요한 정보를 알아내느라 연산을 과하게 쓴다.
    • 도입은 결정 하나를 골라 가장 어려운 단계부터 AI를 시험하고, 속도와 가치를 측정한 뒤 확장 여부를 정하는 순서가 안전하다.

    세상의 거의 모든 지식을 학습한 AI 모델이라도 우리 회사의 발주 승인 기준 하나를 모르면 엉뚱한 답을 내놓는다. 정답에 닿는 경우도 있긴 하다. 질문을 거듭하며 막대한 연산을 태운 끝에.

    이 간극을 메우려는 개념이 ‘컨텍스트 인식 AI(context-aware AI)’다. 셀로니스(Celonis)에서 기업 AI 수석 과학자를 맡고 있는 데바브라트 샤(Devavrat Shah)는 MIT 테크놀로지 리뷰 팟캐스트 ‘Business Lab’에 나와, 이 맥락을 ‘의사결정 인텔리전스’의 핵심으로 꼽았다.

    그의 주장은 한 줄이면 된다. 기업 에이전트의 성패는 모델 크기가 아니라 회사가 실제로 어떻게 돌아가는지를 아느냐로 갈린다. 맥락이 빠지면 무슨 비용이 생기는지, 어디부터 손대야 하는지도 이 한 줄에서 나온다.

    컨텍스트는 프롬프트가 아니라 ‘회사가 일하는 방식’

    용어부터 짚고 가자. 여기서 컨텍스트는 대화 기록이나 프롬프트 길이가 아니다. 기업이 실제로 운영되는 방식 전체를 말한다.

    • 프로세스: 어떤 일을 어떤 순서로 처리하는가
    • 제약 조건: 예산 한도, 승인 규칙처럼 결정을 묶어 두는 조건
    • 관계: 한 과제의 결과가 다른 팀·다른 단계에 어떤 영향을 주는가
    • 데이터: 기업이 이미 쓰고 있는 시스템에 쌓인 업무 기록

    네 항목 모두 모델 성능과는 상관이 없다. 전부 회사 안에 이미 있는 정보다. 모델을 바꾼다고 생겨나지 않는다는 뜻이기도 하다.

    범용 모델은 일반 원칙에 강하다. 그런데 기업의 결정은 대부분 특수한 상황에서 나온다. 팟캐스트 진행자 메건 테이텀(Megan Tatum)도 이 지점을 짚었다. 맥락 없이 움직이는 기업 AI는 일반 원칙을 특수한 시나리오에 들이밀다가 기대에 못 미치는 결과를 낸다. 경영진이 확장을 망설이는 이유도 여기 있다는 설명이다.

    샤의 표현은 더 짧다. 어떤 역할과 어떤 과제를 AI에 맡길지 알려면 맥락을 알아야 하고, “진공 상태에서 그냥 할 수는 없다”는 것.

    의사결정 인텔리전스, 결정을 ‘과제’ 단위로 쪼갠다

    샤가 말하는 의사결정 인텔리전스(decision intelligence)는 AI를 결정 자체가 아니라 결정에 이르는 과정에 붙이는 접근이다.

    출발점은 분류다. 그는 기업의 결정을 크게 두 종류로 나눈다.

    • 전략적 결정: 사안이 생길 때마다 간헐적으로 내리는 결정
    • 운영적 결정: 높은 빈도로 반복해서 내리는 결정

    어느 쪽이든 정해진 프로세스가 있다. 이 일을 먼저 하고, 다음에 저 일을 하는 식이다. 사람들은 그 안에서 각자 역할을 맡는다. 샤는 이 역할 단위가 젠슨 황이 ‘태스크’라고 부른 것과 같다고 본다. 단계별 과제가 하나씩 끝나야 비로소 결정에 닿는다.

    AI 에이전트가 들어갈 자리도 이 과제 하나하나다. 결정을 통째로 넘기지 않는다. 과제마다 개입 수준을 따로 고른다.

    1. 보강(augment): 사람이 하던 과제를 더 잘하게 돕는다
    2. 지원(support): 과제 수행에 필요한 정보나 추천을 건넨다
    3. 자동화(automate): 반복적이고 고된 과제는 AI가 맡는다

    어떤 과제에 어느 수준을 적용할지는 결정의 종류와 과제의 성격에 따라 달라진다. 이 판단부터가 맥락 없이는 불가능하다.

    글 전체에서 실무에 가장 바로 쓸 만한 대목이 여기다. ‘AI를 쓸까 말까’라는 막연한 질문을 ‘어느 과제에, 어느 수준으로’라는 구체적인 질문으로 바꿔 주기 때문이다.

    맥락 없는 에이전트의 청구서: 제약 누락·실수·연산 낭비

    샤는 맥락 없이 에이전트를 돌릴 때의 위험을 두 갈래 시나리오로 설명했다.

    • 이상적인 경우: 프런티어 연구소들이 세상에서 일어난 일과 일어날 법한 일을 모두 담은 거대한 모델을 만들었다고 치자. 이 ‘아주 똑똑한 존재’는 사람처럼 질문을 여러 번 던진 끝에 결국 올바른 답을 찾는다. 대신 간단한 과제 하나를 끝내는 데도 막대한 연산을 쓴다.
    • 현실적인 경우: 실제로는 그런 이상적 상황이 오지 않는다. 중요한 맥락과 제약을 그대로 놓친다.

    두 시나리오가 가리키는 곳은 같다. 모델이 아무리 똑똑해도 맥락이 없으면 비용이 생긴다. 앞쪽은 연산으로, 뒤쪽은 실수로 치를 뿐이다. 항목별로 나누면 세 가지다.

    • 제약 누락: 지켜야 할 조건을 모른 채 결정을 추천한다
    • 비싼 실수: 잘못된 추천이 실제 업무에 반영되면 되돌리는 비용이 크다
    • 연산 낭비: 필요한 정보를 스스로 알아내느라 단순 작업에도 자원을 과하게 쓴다

    맥락이 있고 없고에 따라 에이전트가 어떻게 달라지는지, 나란히 놓으면 이렇다.

    구분 맥락 없는 AI 에이전트 컨텍스트 인식 AI 에이전트
    필요한 정보 확보 질문을 거듭하며 스스로 알아냄 기존 프로세스·데이터에 연결된 컨텍스트 레이어에서 참조
    제약 조건 중요한 제약을 놓칠 위험 정의된 가드레일 안에서 동작
    연산 자원 단순 과제에도 과도한 연산 소모 탐색 부담이 줄어 자원 낭비를 피할 여지
    결과물 일반 원칙을 특수 상황에 적용해 빗나가기 쉬움 사람이 검토·승인할 수 있는 추천
    사람의 역할 결정을 에이전트에 넘겨버릴 위험 AI 출력과 그 함의를 이해하고 최종 판단

    표의 오른쪽 열은 샤가 제시한 방향으로 읽어야 한다. 연산 자원 칸이 ‘피할 여지’라는 조심스러운 표현에 머문 것도 그래서다. 얼마나 줄어드는지 보여 주는 숫자는 팟캐스트에 없었다.

    컨텍스트 레이어 도입, 반복되는 결정 하나부터

    해법의 출발점은 새 모델이 아니다. 연결이다. 기업이 이미 쓰고 있는 프로세스와 데이터에 AI를 이어 붙이는 ‘컨텍스트 레이어’가 핵심. 이 레이어가 맡는 일은 세 가지다.

    • 에이전트가 업무 흐름(워크플로)을 이해하게 한다
    • 정해진 가드레일 안에서만 움직이게 한다
    • 사람이 검토하고 승인할 수 있는 형태로 추천을 내놓게 한다

    바꿔 말하면 준비의 상당 부분은 모델을 만드는 쪽이 아니라 도입하는 기업이 풀어야 할 숙제라는 얘기다. 샤가 권하는 시작 방법도 작고 구체적이다.

    1. 특정 비즈니스 결정 하나를 고른다. ‘업무 효율화’ 같은 막연한 목표는 대상이 아니다. 반복되는 결정 하나면 된다.
    2. 그 결정에서 가장 어려운 단계를 찾는다. 시간이 오래 걸리거나 실수가 잦은 과제가 후보다.
    3. AI가 그 단계를 개선하는지 시험한다. 결정 전체가 아니라 해당 단계만 놓고 본다.
    4. 속도와 가치의 개선 폭을 측정한다. 얼마나 빨라졌는지, 어떤 가치가 생겼는지를 숫자로 남긴다.
    5. 측정 결과로 확장 여부를 판단한다. 효과가 확인된 애플리케이션만 넓힌다.

    다섯 단계의 무게중심은 4번이다. 측정 결과가 없으면 5번에서 확장을 판단할 근거도 사라진다.

    이 측정은 경영진이 요구하는 것과 정확히 겹친다. 수년간 실험·데모·파일럿을 거친 기업 리더들은 확장이 실제 수익에 도움이 된다는 분명한 증거를 원한다. 결정 단위로 재면 그 증거를 만들기가 훨씬 쉽다. 이 순서에 설득력이 있는 이유다.

    시험에 들어가기 전에 미리 정해 둘 항목도 있다.

    • 에이전트가 넘으면 안 되는 가드레일 범위(예: 승인 없이 실행하면 안 되는 작업)
    • AI 추천을 검토·승인할 담당자
    • 비교 기준이 될 AI 도입 전 처리 시간과 결과

    특히 세 번째 항목이 빠지면 4번 단계가 성립하지 않는다. 비교할 기준치 없이 ‘빨라졌다’를 숫자로 보여 줄 방법은 없다.

    국내 기업 PoC·결재 라인에 생길 변화

    아래 내용은 원문의 논리를 국내 기업 환경에 대입해 본 추측이다.

    • PoC 평가 기준의 이동(추측): 질문이 ‘데모가 잘 돌아가는가’에서 ‘특정 결정이 얼마나 빨라지고 어떤 가치가 생겼는가’로 옮겨갈 것으로 보인다. 샤가 확장을 정당화하는 근거로 내세운 게 바로 속도·가치 측정이다.
    • 데이터·프로세스 정리가 선행 과제로(추측): 컨텍스트 레이어는 기존 프로세스와 데이터를 잇는 데서 출발한다. 여러 시스템에 흩어진 업무 기록을 정리하는 일이 모델 선택보다 먼저 필요해질 수 있다.
    • 기존 결재 흐름과의 결합(추측): 사람이 검토·승인하는 구조가 전제다. 승인 단계가 여러 겹인 조직이라면 기존 결재 흐름 안에 AI 추천을 끼워 넣는 방식이 현실적인 출발점이 될 수 있다.
    • 사내 교육의 초점 변화(추측): 반복 업무와 팀 간 조율이 자동화되면 실무자의 시간은 더 복잡한 전략적 판단으로 옮겨간다. 걸리는 건 AI 출력과 그 함의를 이해하지 못하면 결정을 에이전트에 떠넘기게 된다는 지적이다. 사내 AI 교육이 ‘도구 사용법’에서 ‘결과 해석법’으로 넓어질 것으로 보인다.

    네 가지 모두 추측이지만 방향은 하나로 모인다. 어떤 모델을 들이느냐보다 회사 안을 먼저 정리해야 한다는 것.

    확인된 것과 아직 불확실한 것

    확인된 것

    • 샤는 셀로니스의 기업 AI 수석 과학자이며, MIT 교수로 20년 넘게 AI를 가르쳐 왔다고 밝혔다.
    • 맥락 없는 에이전트의 위험으로 제약 누락, 비용이 큰 실수, 과도한 연산 소모가 제시됐다.
    • 권장 도입 순서는 특정 결정 선택 → 가장 어려운 단계 파악 → AI 개선 여부 시험 → 속도·가치 측정 → 확장 판단이다.
    • 직원이 AI 출력을 이해할 수 있도록 인력 교육에 투자해야 한다는 점이 강조됐다.

    아직 불확실한 것

    • 컨텍스트 레이어가 오류와 연산 비용을 얼마나 줄이는지에 대한 정량 수치는 제시되지 않았다.
    • 컨텍스트 레이어를 어떤 데이터로, 어떤 방식으로 구현하는지는 구체적으로 설명되지 않았다.
    • 재무·인력 관리·마케팅·영업 같은 전사 계획으로의 확장은 샤의 전망이며, 실제 적용 사례는 소개되지 않았다.
    • 해당 에피소드는 셀로니스와 파트너십으로 제작돼 특정 기업의 관점이 반영됐을 수 있다.

    재무·인력·영업까지, 샤가 내다본 다음 무대

    샤는 컨텍스트 인식 AI의 쓰임이 반복적인 운영 과제에서 멈추지 않는다고 본다. 그가 꼽은 확장 영역은 재무, 인력 관리, 마케팅, 영업이다.

    논리는 단순하다. 올바른 맥락이 주어지면 AI가 선택지를 평가하고, 파급력이 큰 결정을 더 빨리 내리도록 도울 수 있다. 자원 계획을 두고는 “어쩌면 그렇게 많은 시간이 걸릴 필요가 없고, 사람들이 실제로 빠르게 올바른 선택을 하게 될 것”이라고 했다.

    이 대목은 앞의 도입 순서와 성격이 다르다. 결정 하나에서 시작하라는 권고는 바로 따라 해 볼 수 있는 방법론이고, 전사 계획 이야기는 말 그대로 전망이다. 두 가지를 같은 무게로 읽을 필요는 없다.

    샤의 권고를 거꾸로 읽으면 체크리스트가 된다. 어떤 결정을 고를지, 그 결정의 어느 단계가 가장 어려운지, 도입 전 기준치는 얼마인지. 모델을 먼저 고르고 쓸 곳을 찾는 방식으로는 이 세 질문에 답이 나오지 않는다. 기업 AI가 실험 단계를 넘어 일상 운영으로 들어가려면, 맥락을 어떻게 공급할지가 첫 번째 설계 과제다.

    출처: MIT Tech Review AI

  • PHP 취약점 악용 수백만 건, 호스팅별 패치 순서

    PHP 취약점 악용 수백만 건, 호스팅별 패치 순서

    3줄 요약

    • AI가 PHP에서 10년 묵은 결함을 찾아냈고, 공개 뒤 악용 시도는 수천 건 단위에서 수백만 건 단위로 늘었다.
    • PHP 엔진 패치를 누가 하는지는 호스팅 형태가 정한다. 공유 호스팅은 버전 선택과 호스팅사 확인, 직접 운영하는 서버는 패키지 업데이트와 PHP 재시작이 핵심이다.
    • 지원이 끝난 PHP 버전에는 보안 수정이 나오지 않으므로, 패치가 아니라 상위 버전 이전을 계획해야 한다.

    수천 건이던 악용 시도가 수백만 건으로 늘었다. 대부분의 웹사이트 뒤에서 돌아가는 PHP에서 AI가 10년 묵은 결함을 찾아냈고, 그 결함이 공개된 뒤 벌어진 일이다. 로이터가 전한 이 소식에는 더 강한 대목도 있다. 각국 정부가 웹사이트 운영자에게 PHP를 패치하라고 했고, 그럴 수 없다면 아예 사이트를 내리라고까지 촉구했다. 사이트를 하나라도 운영하고 있다면 오늘 할 일은 두 가지다. 내 사이트가 어떤 PHP 위에서 돌아가는지 확인하는 것, 그리고 호스팅 형태에 맞춰 업데이트하는 것. 이 글은 그 절차를 호스팅 형태별로 나눠 짚는다. 결함 자체의 기술적 세부는 아직 알려진 게 많지 않다. 그래서 이번 한 건보다는 다음 PHP 보안 공지가 나왔을 때도 그대로 쓸 수 있는 순서에 초점을 맞췄다.

    워드프레스를 최신으로 올려도 PHP 엔진은 그대로다

    PHP는 브라우저가 아니라 서버에서 실행되는 언어다. 방문자가 페이지를 열면 서버에 설치된 PHP 실행 엔진이 코드를 해석해 HTML을 만들어 보낸다. 워드프레스, 그누보드 같은 설치형 블로그·게시판·쇼핑몰 솔루션이 모두 이 구조 위에 올라가 있다. 맨 아래에 있는 엔진에 결함이 있으면, 그 위의 애플리케이션을 아무리 최신으로 유지해도 위험은 남는다.

    층을 둘로 나눠 보면 덜 헷갈린다. 아래층은 PHP 엔진(인터프리터)이고, 위층은 그 위에서 돌아가는 애플리케이션과 플러그인이다. 워드프레스 관리자 화면에 뜨는 업데이트 알림은 주로 위층을 다룬다. 이번 결함이 가리키는 곳은 아래층, 곧 PHP 자체다. 엔진 업데이트는 관리자 화면 버튼 하나로 끝나지 않는 경우가 많고, 서버를 누가 관리하느냐에 따라 할 일이 갈린다. 플러그인 업데이트 알림이 없다고 해서 안심할 수 없는 이유다.

    운영자가 먼저 답해야 할 질문은 두 가지다. 내 사이트는 어떤 PHP 버전에서 돌아가는가. 그 PHP를 업데이트할 권한이 나에게 있는가. 앞의 질문은 몇 분이면 답이 나온다. 뒤의 질문은 기술이 아니라 호스팅 계약 형태가 정한다.

    내 사이트 PHP 버전은 세 곳에서 확인된다

    아래 경로는 기본 설치 화면 기준이며, 호스팅사가 관리 패널을 자체적으로 고친 경우 표기가 조금 바뀔 수 있다.

    ① 워드프레스 관리자 화면. 관리자 메뉴에서 도구 → 사이트 건강 → 정보 탭 → 서버 항목을 펼치면 PHP 버전이 보인다(영문 화면은 Tools → Site Health → Info → Server). 같은 화면의 상태 탭은 PHP가 오래됐을 때 개선 권장 항목으로 경고를 띄우기도 한다. 서버에 접속하지 않고 브라우저만으로 확인할 수 있으니, 워드프레스 사이트라면 여기서 시작하는 게 가장 간단하다.

    ② 호스팅 관리 패널. cPanel을 쓰는 호스팅이라면 소프트웨어 → MultiPHP Manager에서 도메인별 PHP 버전을 볼 수 있다. 일부 호스팅은 같은 기능을 Select PHP Version이라는 메뉴로 제공한다(호스팅 환경에 따라 갈리는 부분이라 이 단계는 확실하지 않다). 국내 웹호스팅은 자체 콘솔을 쓰는 곳이 많다. 이런 곳은 메뉴를 하나씩 찾아보기보다 해당 회사 고객센터 문서에서 ‘PHP 버전 변경’을 검색하는 편이 빠르다.

    ③ 서버 직접 접속(SSH). 터미널에서 php -v를 입력하면 버전이 나온다. 다만 여기에 나오는 건 명령줄용 PHP 버전이다. 웹 서버가 쓰는 PHP와 다를 수 있고, 여러 버전이 함께 설치된 서버에서는 흔한 일이다. 웹에서 실제로 쓰는 버전은 웹 루트에 <?php phpinfo(); ?> 한 줄짜리 파일을 올려 브라우저로 열어 보면 확인된다. 이 파일은 서버 경로와 설정값을 그대로 노출한다. 확인했으면 바로 지워야 한다. 그대로 두면 공격자에게 서버 구조를 알려 주는 셈이다.

    공유 호스팅은 호스팅사가, VPS·도커는 내가 패치한다

    PHP 패치를 누가 적용하느냐는 계약 형태가 정한다. 아래 표는 일반적인 책임 구분이며, 세부 사항은 개별 호스팅 약관에서 확인해야 한다.

    운영 형태 PHP 엔진 패치 주체 운영자가 할 일
    공유(웹) 호스팅 호스팅사 패널에서 지원되는 최신 버전 선택, 호스팅사 보안 공지 확인
    관리형 워드프레스 호스팅 호스팅사 PHP 버전 전환 일정 확인, 테마·플러그인 호환성 점검
    VPS·클라우드 서버 운영자 본인 운영체제 패키지 업데이트 후 PHP-FPM·웹 서버 재시작
    컨테이너(Docker) 운영자 본인 베이스 이미지를 새로 받아 다시 빌드·배포

    공유 호스팅에서는 PHP 엔진을 호스팅사가 관리한다. 같은 버전 계열 안의 보안 수정은 호스팅사가 적용한다. 운영자가 직접 할 수 있는 건 패널에 더 새로운 지원 버전이 있을 때 그쪽으로 옮기는 정도다. 직접 할 수 있는 일이 적어서, 운영자가 할 일은 대부분 확인 작업이다. 호스팅사가 이번 결함에 대응했는지는 공지사항이나 고객센터 문의로 확인하면 된다.

    운영체제까지 직접 관리하는 VPS나 클라우드 서버는 패키지 관리자로 업데이트한다. 우분투·데비안 계열은 sudo apt update && sudo apt upgrade, 레드햇 계열(록키·알마 리눅스 등)은 sudo dnf upgrade가 기본이다. 업데이트만 하고 끝내면 안 된다. PHP 프로세스를 재시작해야 새 코드가 메모리에 올라간다. systemctl list-units | grep php로 실행 중인 서비스 이름(php8.x-fpm 같은 형태)을 찾은 다음 sudo systemctl restart 서비스이름을 실행한다. 아파치 모듈 방식으로 PHP를 돌리고 있다면 아파치를 재시작하면 된다.

    배포판 패키지에는 주의할 점이 있다. 우분투·데비안 같은 배포판은 보안 수정을 기존 버전 번호에 덧붙여 내보내는 백포트 방식을 쓴다. 그래서 php -v에 찍히는 PHP 버전 숫자가 그대로여도 패치는 이미 적용됐을 수 있다. 거꾸로 숫자만 보고 안심할 수도 없다. 가장 확실한 방법은 배포판 보안 공지에서 해당 결함의 수정 패키지 버전을 찾은 뒤, apt list --installed | grep php(레드햇 계열은 rpm -qa | grep php)로 설치된 패키지 버전과 하나씩 대조하는 것이다.

    컨테이너로 운영 중이라면 실행 중인 컨테이너 안에서 패키지를 올리는 건 임시방편이다. 이미지는 그대로이니 다음 배포 때 패치 전 상태로 돌아간다. 공식 PHP 이미지의 새 버전을 받아(docker pull) 이미지를 다시 빌드하고 컨테이너를 교체해야 다음 배포에서도 패치가 유지된다.

    지원 끝난 PHP 버전엔 적용할 패치가 없을 수 있다

    PHP는 버전 계열마다 지원 기간이 정해져 있다. php.net의 지원 버전(Supported Versions) 페이지에서 각 계열이 일반 지원 중인지, 보안 수정만 받는지, 지원이 끝났는지 확인할 수 있다. 지원이 끝난 계열에는 PHP 개발진의 보안 수정이 더 나오지 않는다. 오래된 버전으로 돌아가는 사이트라면 이번 같은 결함이 공개돼도 받을 패치 자체가 없을 수 있다. 일부 배포판이나 유료 장기 지원 서비스가 예외적으로 수정을 제공하기도 하지만, 이는 개별적으로 확인해야 한다. 이런 경우에는 패치를 기다리기보다 상위 버전 이전을 계획해야 한다.

    상위 버전으로 옮기는 작업은 버전 숫자만 바꾸면 끝나는 일이 아니다. 오래된 플러그인이나 직접 작성한 코드가 새 버전에서 오류를 낼 수 있어서다. 순서는 이렇게 잡는다.

    1. 파일과 데이터베이스를 함께 백업한다. 호스팅 백업 기능이 있더라도 별도 사본을 내려받아 둔다.
    2. 가능하면 스테이징(복제) 사이트에서 먼저 버전을 올려 본다.
    3. 테마·플러그인·솔루션 제작사의 PHP 호환 정보를 확인하고, 업데이트가 끊긴 플러그인은 대체재를 찾는다.
    4. 운영 사이트의 PHP 버전을 전환한 뒤 로그인, 글쓰기, 회원가입, 결제처럼 데이터와 돈이 오가는 기능부터 점검한다.
    5. 오류가 나면 패널에서 이전 버전으로 되돌릴 수 있는지 미리 확인해 둔다. 되돌린 상태는 취약한 버전이므로 최대한 짧게 유지해야 한다.

    외주로 만들고 관리하지 않는 국내 사이트가 가장 취약하다

    한국 웹 생태계의 PHP 의존도는 낮지 않다. 소규모 쇼핑몰, 커뮤니티, 기업 홈페이지 가운데 그누보드나 워드프레스 같은 PHP 기반 설치형 솔루션으로 만든 곳이 많다. 외주로 제작한 뒤 유지보수 계약 없이 운영되는 곳도 적지 않다. 국내에서 가장 약한 고리가 기술보다 관리 공백으로 보이는 이유다. PHP 버전을 누가 확인할지 정해져 있지 않은 사이트는 패치가 나와도 적용되지 않는다.

    한국 사이트 운영자가 이번 일로 확인할 것은 세 가지다. 첫째, 사이트 소유자가 호스팅 계정 접속 정보를 직접 가지고 있는가. 호스팅이 외주 제작사 명의로 계약돼 있다면 PHP 버전을 확인할 때도 제작사를 거쳐야 한다. 둘째, 호스팅사 공지 채널. 공유 호스팅에서 PHP 엔진 패치는 호스팅사의 몫이지만, 오래된 버전 지원 중단이나 강제 전환 같은 조치는 대개 공지로 먼저 알린다. 셋째, 한국인터넷진흥원(KISA)이 운영하는 보호나라의 보안공지 게시판. 관련 권고가 올라왔는지 여기서 확인할 수 있다.

    확인된 것과 아직 불확실한 것

    확인된 것

    • AI가 PHP에서 10년 묵은 결함을 찾아냈고, 이 결함은 웹의 상당 부분을 위협하는 것으로 평가됐다.
    • 각국 정부가 웹사이트 운영자에게 PHP를 패치하거나 사이트를 오프라인으로 전환하라고 촉구했다.
    • 결함 공개 이후 악용 시도는 수천 건 수준에서 수백만 건 수준으로 늘었다.
    • 별개의 사례로, 해커들이 클로드(Claude)와 그록(Grok)을 이용해 중남미 은행 400곳 이상을 노린 공격을 자동화했다.

    아직 불확실한 것

    • 영향을 받는 PHP 버전 범위와 수정이 들어간 정확한 버전 번호. 원문에는 이 정보가 없으므로 php.net과 사용 중인 배포판의 보안 공지로 확인해야 한다.
    • 결함을 찾아낸 AI가 어떤 모델·조직의 것인지, 결함에 붙은 식별 번호(CVE).
    • 원문이 언급한 각국 정부에 한국 정부 기관이 포함되는지, 국내 기관이 별도 권고를 냈는지.
    • 웹 방화벽(WAF)이나 CDN 보안 규칙만으로 이 결함의 악용을 막을 수 있는지. 패치 전 임시 대책으로 쓰더라도 패치를 대신한다고 보기는 어렵다.

    결함 공개 후 악용이 몰리기 전에, 보안 업데이트를 자동화한다

    결함이 공개되면 수정 방법과 함께 공격 지점도 알려진다. 공격자는 공개된 정보를 바탕으로 인터넷 전체를 자동으로 훑어 패치되지 않은 서버를 찾는다. 공개 뒤 악용 시도가 수천 건에서 수백만 건으로 늘어난 것도 이런 구조 때문이다. 여기에 AI 에이전트로 은행 공격을 자동화한 사례까지 겹쳐 보면, 결함 공개와 대량 악용 사이의 간격은 더 짧아질 가능성이 있다. 이 부분은 두 사례를 근거로 한 해석이며, 간격을 직접 측정한 수치는 원문에 없다.

    방어하는 쪽에서 이 간격을 줄이는 가장 현실적인 방법은 보안 업데이트를 사람 손에만 맡기지 않는 것이다. 우분투·데비안 서버라면 sudo apt install unattended-upgrades로 패키지를 설치하고 sudo dpkg-reconfigure unattended-upgrades에서 자동 설치를 켜면 보안 업데이트가 자동으로 적용된다. 레드햇 계열은 dnf-automatic 패키지가 같은 역할을 한다. 다만 환경에 따라 PHP-FPM이 자동으로 재시작되지 않을 수 있다. 앞에서 짚은 재시작 문제는 자동 업데이트에서도 똑같이 생긴다. 업데이트 뒤 서비스가 재시작됐는지 점검하는 절차를 함께 둬야 한다.

    패치를 바로 적용할 수 없는 사이트라면 각국 정부의 권고처럼 사이트를 잠시 내리는 것도 방법이다. 웹 서버 설정에서 모든 요청을 정적 HTML 점검 페이지로 보내면 PHP 실행을 멈춘 채 방문자에게 안내할 수 있다. 공유 호스팅 사용자는 PHP 엔진을 직접 고칠 수 없다. 호스팅사의 대응 일정을 확인하면서 그동안 백업을 확보해 두자. 서버에 남아 있는 테스트용 설치본이나 쓰지 않는 사이트를 지워 공격받을 수 있는 범위를 줄여 두는 편이 낫다.

    출처: MIT Tech Review AI

  • 필디드 “AI 사라지길 바란다”…녹음은 아폴로 트윈

    필디드 “AI 사라지길 바란다”…녹음은 아폴로 트윈

    3줄 요약

    • 노이즈 프로젝트로 출발해 R&B로 옮겨 온 뮤지션 필디드(린지 파월)가 신작 『Some Kind of Animal』을 내고 설문형 인터뷰에 응했다.
    • 녹음에서 가장 중요한 도구로는 유니버설 오디오의 아폴로 트윈 오디오 인터페이스와 같은 회사의 플러그인을 꼽았다. 브라우저 탭에는 일본 사이버펑크 영화 『964 피노키오』를 고정해 두고 있다.
    • 사라졌으면 하는 기술 트렌드를 묻자 “AI가 지구상에서 사라지길 깊이 바란다”고 답했다. 디지털 도구에 많이 기대 작업하는 창작자가 AI에는 분명히 선을 그은 셈이다.

    일본 사이버펑크 영화 『964 피노키오』, 그것도 불법 복제 풀버전. 브라우저 탭 바에 무엇을 고정해 뒀느냐는 질문에 돌아온 답이다. 업무 툴도 SNS도 아니었다. 소리와 영상 양쪽에서 영감을 끝없이 얻으려고 늘 띄워 둔다는 설명도 붙었다.

    답한 사람은 필디드(Fielded)라는 이름으로 음반을 내는 린지 파월. 신작 『Some Kind of Animal』을 들고 더버지의 주말 설문 코너 ‘Weekend Questionnaire’에 나왔다. 문답은 짧다. 대신 작업 장비, AI를 향한 반감, 사기꾼 이야기에 대한 집착까지 답마다 거침이 없다.

    노이즈로 시작해 R&B로, 음반마다 장르 규칙을 깨 온 필디드

    파월은 커리어 대부분을 기대와 장르 관습을 뒤집는 데 써 왔다. 필디드 밴드캠프 페이지의 소개를 보면 이 프로젝트는 실험적인 노이즈 음악에서 출발해 R&B에 가까운 음악으로 자라났다.

    그렇다고 R&B에 정착한 것도 아니다. 처음부터 ‘R&B란 대체 뭘까’를 계속 되묻는 식이었다. 한 스타일에 오래 머문 적이 없는 이유다.

    작품을 나란히 놓아 보면 음반마다 색깔이 확확 바뀐다. 아래 표에는 원문에 나온 정보만 옮겼다.

    작품 원문이 설명한 사운드 발매·참여 정보
    Ninety-Thirty-Thirty 80년대 신스팝 색이 짙은 곡들, 여러 번 나오는 색소폰 솔로 첫 앨범
    Boy Angel 거대한 톱니파(saw-wave) 신스, 불안하게 튀는 퍼커션, 높이 쌓아 올린 보컬로 만든 독특한 일렉트로닉 발매 연도는 원문에 없음
    Demisexual Lovelace 한층 끈적하고 매끈한 R&B 2020년, 언더그라운드 힙합 레이블 백우즈 스튜디오즈(Backwoodz Studioz) 발매, 빌리 우즈·엘루시드(아먼드 해머) 참여
    Some Kind of Animal 오르간 슬로잼, 네오소울풍 커버, 인더스트리얼 펑크 최신작, ‘Heaven’에 핑크 시푸 피처링

    빈칸도 눈에 띈다. 연도가 붙은 작품은 2020년의 『Demisexual Lovelace』 하나뿐이다. 『Boy Angel』은 발매 연도부터 원문에 빠져 있어서, 이 정보만으로는 디스코그래피를 시간순으로 꿰기 어렵다.

    신작은 지금까지 나온 여러 모습의 필디드를 한 장에 모은 앨범에 가깝다. 오르간이 이끄는 슬로잼 ‘That Bitch’ 바로 옆에 나인 인치 네일스의 ‘Closer’ 커버가 있다. 이 커버는 2000년대 네오소울 분위기가 짙다. 그 뒤로 핑크 시푸(Pink Siifu)가 게스트 벌스를 얹은 인더스트리얼 펑크 ‘Heaven’이 이어진다.

    • 출발점: 실험적인 노이즈 프로젝트
    • 현재: 바탕은 R&B, 그 위에서 신스팝·일렉트로닉·네오소울·인더스트리얼을 오간다
    • 신작 포인트: 오르간 슬로잼, 나인 인치 네일스 커버, 핑크 시푸 피처링

    작업실 1번 장비는 아폴로 트윈, 영감은 『964 피노키오』

    장비 얘기부터. 파월이 녹음에서 없어서는 안 될 도구로 꼽은 건 유니버설 오디오(Universal Audio)의 아폴로 트윈 오디오 인터페이스다. 오디오 인터페이스는 마이크나 기타, 신스 같은 악기 소리를 컴퓨터가 다룰 수 있는 디지털 신호로 바꿔 주는 장비다.

    고른 이유는 단순했다. 답변에 나온 것을 추리면 다섯 가지다.

    • 쓰기 쉽다
    • 유니버설 오디오의 디지털 스튜디오 플러그인이 마음에 든다
    • 그 플러그인을 모든 음반의 녹음 과정은 물론 그 뒤 작업에도 쓴다
    • 마이크만 세팅하면 금방 프로 수준의 소리가 난다
    • 기타와 신스도 선명하게 들린다

    개발자에게 익숙한 말로 바꾸면 이렇다. 거대한 인프라를 깔지 않고, 잘 만든 개발 환경 하나와 손에 익은 라이브러리 몇 개로 끝까지 가는 방식. 장르는 쉴 새 없이 넘나드는 사람이 장비는 한 회사의 인터페이스와 플러그인으로 좁혀 쓴다는 점이 흥미로운 대비다.

    영감의 원천은 앞에서 말한 『964 피노키오』다. 본인 입으로 ‘불법 복제본’이라고 밝힌 부분은 짚고 넘어가야 한다. 인터뷰에서 솔직하게 털어놓은 이야기일 뿐, 따라 할 일은 아니다.

    “트렌드인지 역병인지 모르겠다”…AI를 향한 직설, 그리고 사기꾼 집착

    IT 쪽에서 가장 눈여겨볼 대목이다. 사라졌으면 하는 기술 트렌드를 묻자 파월은 “그게 기술 트렌드인지 역병인지 모르겠지만, AI가 지구상에서 사라지길 깊이 바란다”고 답했다.

    이유를 길게 설명하지는 않았다. 그래도 ‘역병’이라는 단어까지 꺼낸 걸 보면 가볍게 불편한 정도는 한참 넘어선다.

    이 한 줄이 가볍지 않은 건 말한 사람 때문이다. 인터뷰에서 파월이 언급한 기술을 나눠 보면 이렇다.

    • 쓰는 것: 아폴로 트윈 오디오 인터페이스, 유니버설 오디오 디지털 플러그인, 브라우저 탭에 고정해 둔 영화
    • 사라지길 바라는 것: AI

    디지털 도구를 이만큼 적극적으로 쓰는 사람이 AI에만 선을 긋는다. 기술 전체가 아니라 특정한 방향의 기술을 문제 삼는다고 읽을 만하다. 다만 답변 한 줄에 기댄 해석이다. AI의 어떤 면이 싫은지는 원문에 나오지 않는다.

    요즘 빠져 있는 것도 독특하다. 사기꾼 이야기다. 큰 사기든 작은 사기든, 가벼운 징역으로 끝났든 엄청난 파장을 남겼든 가리지 않고 다 좋아한다고 했다. 사기꾼의 머릿속이 어떻게 돌아가는지가 흥미롭다는 것이다. 마지막으로 산 실물 미디어도 같은 결이다. 사기꾼을 비롯한 여러 범죄자 이야기를 담은 앨리사 베넷의 에세이집 『Taxidermist’s Handbook』.

    • 가장 자랑스러운 작업: 신작 『Some Kind of Animal』, 그중에서도 같은 제목의 싱글
    • 인생 최고의 조언: “인내하라.” 모든 일은 딱 맞는 때에 일어나니 남을 질투할 필요가 없다는 것
    • 요즘 집착하는 것: 규모를 가리지 않는 모든 사기꾼 이야기
    • 마지막으로 산 실물 미디어: 앨리사 베넷 『Taxidermist’s Handbook』

    가장 아끼는 작품이 이미 지나간 옛날 작품이었다면 아쉬웠을 거라고도 했다. 최신작이라 다행이라는 말이 뒤따랐다. 음반마다 장르를 갈아엎어 온 사람다운 답이다.

    확인된 것과 아직 불확실한 것

    확인된 것

    • 필디드는 린지 파월의 음악 프로젝트이고, 실험적인 노이즈 프로젝트로 시작해 R&B에 가까운 음악으로 옮겨 왔다.
    • 최신작은 『Some Kind of Animal』이고 나인 인치 네일스 ‘Closer’ 커버, 핑크 시푸가 참여한 ‘Heaven’ 등이 실렸다.
    • 『Demisexual Lovelace』는 2020년 백우즈 스튜디오즈에서 나왔고 빌리 우즈와 엘루시드가 참여했다.
    • 파월의 핵심 녹음 장비는 유니버설 오디오 아폴로 트윈과 같은 회사의 플러그인이다.
    • 파월은 AI가 사라지길 바란다고 직접 말했다.

    아직 불확실한 것

    • 신작의 정확한 발매일, 수록곡 수, 발매 레이블은 원문에 없다.
    • 『Boy Angel』이 언제 나왔고 디스코그래피에서 어디쯤인지도 알 수 없다.
    • AI의 어떤 면(음악 생성, 학습 데이터, 창작자 일자리 등)에 반대하는지는 설명이 없다.
    • 국내 음원 서비스에서 『Some Kind of Animal』을 들을 수 있는지는 이번 인터뷰만으로는 확인되지 않는다.
    • “전기 영화의 홍보 문구는?”이라는 질문은 있지만 그 답은 제공된 원문에 빠져 있다.

    듣는 순서부터 홈레코딩까지, 한국 리스너가 건질 세 가지

    한국 사용자의 일상을 당장 바꿀 인터뷰는 아니다. 그래도 가져갈 만한 포인트는 몇 가지 있다.

    • 찾아 듣는 순서: 장르 하나로 묶이지 않는 R&B가 궁금하다면 신작에서 시작해 『Demisexual Lovelace』, 첫 앨범 『Ninety-Thirty-Thirty』 순으로 거슬러 올라가 보자. 그래야 변화의 폭이 잘 보인다. 프로젝트 소개는 필디드의 밴드캠프 페이지에 있다.
    • 홈레코딩 세팅: 파월의 작업은 인터페이스 하나와 플러그인 조합이 중심이다. 장비 가짓수를 늘리는 것보다 손에 익은 도구 하나를 깊게 쓰는 편이 결과물에 더 중요할 수 있다는 사례로 읽힌다. 어디까지나 한 뮤지션의 경험이고, 특정 제품이 정답이라는 뜻은 아니다.
    • AI 음악 도구를 만들거나 도입하는 쪽: 디지털 도구에 익숙한 창작자가 AI에 이 정도로 강한 거부감을 공개적으로 드러냈다는 점은 참고할 만하다. 한국 창작자들도 비슷하게 느끼는지는 이 인터뷰로 알 수 없다. 거기까지 넓히는 건 추측이다.

    오디오 인터페이스와 플러그인은 모든 음반 작업에 쓰면서 AI는 ‘트렌드인지 역병인지 모르겠다’고 말하는 창작자. 짧은 문답에서 가장 선명하게 남는 건 이 태도다. AI 창작 도구 논쟁을 기술 쪽에서만 지켜봤다면 이 답변은 반대편 창작자의 목소리로 따로 적어 둘 만하다.

    출처: The Verge

  • 맥북 프로 고르기, 터치 OLED보다 칩 등급이 먼저

    맥북 프로 고르기, 터치 OLED보다 칩 등급이 먼저

    3줄 요약

    • 애플 ‘Pro and tell’ 행사의 핵심으로 거론되는 터치 OLED 맥북 프로는 M5 Pro·M5 Max를 쓰고, 기본형 맥북 프로는 M6로 올라갈 전망이다.
    • 실제 사용감을 크게 가르는 건 칩 세대 숫자가 아니다. Pro·Max 같은 칩 등급과 화면 방식(OLED·터치)이 더 중요하다.
    • 기본형 맥북 프로는 가격 인상이, OLED 아이패드 미니는 100달러 추가가 거론된다. 예산 상한을 먼저 정해야 하는 이유다.

    애플 라인업에는 터치스크린 노트북도, OLED 노트북도 한 번도 없었다. 둘 다 몇 년째 루머로만 떠돌던 이야기다.

    LA에서 열리는 애플 ‘Pro and tell’ 행사를 앞두고 미국 IT 매체 더버지가 내놓은 전망을 봐도, 중심에는 이 두 가지를 한꺼번에 갖춘 맥북 프로가 있다. M6 기본형 맥북 프로, M6 아이맥, OLED 아이패드 미니도 함께 거론된다. 모두 행사 전에 나온 전망이고, 애플이 확인해 준 내용은 아니다.

    사는 쪽에서는 계산이 꼬인다. 같은 ‘맥북 프로’라는 이름을 달고도 최신 칩과 최신 화면이 서로 다른 모델에 들어갈 가능성이 커서다. 아래는 행사 전에 거론된 내용을 바탕으로 무엇부터 봐야 하는지 순서대로 짚은 것이다.

    터치가 들어가도 macOS는 그대로, 거론되는 변화는 셋

    터치가 들어간다고 macOS가 태블릿 인터페이스로 갈아엎어지지는 않을 것으로 보인다. 거론되는 변화의 폭은 생각보다 좁다.

    • 다이내믹 아일랜드: 아이폰과 비슷한 방식으로 화면 상단에 들어간다.
    • 터치 확대 효과: 화면을 누르면 손가락이 닿은 부분이 확대되는 연출.
    • 새 제스처: 애플 기본 앱에서 쓰는 터치 제스처가 추가된다.

    목록만 봐도 성격이 드러난다. 셋 다 지금 화면 위에 덧붙이는 기능이고, 인터페이스 자체를 다시 짜는 항목은 없다. macOS 전면 개편을 기대했다면 눈높이를 낮추는 게 맞다. 필자는 이 구성을 아이패드와 맥을 합친 하이브리드가 아니라, 기존 맥 사용 방식에 터치를 ‘보조 입력’으로 하나 더 얹은 구조로 읽는다.

    구매 기준으로 옮기면 두 갈래로 나뉜다.

    • 키보드·트랙패드로 일하는 사람: 터치만 보고 지갑을 열 이유는 약하다.
    • 문서를 스크롤하고, 확대하고, 화면 속 요소를 손으로 바로 가리키는 일이 잦은 사람: 체감 차이가 생길 수 있다.

    매장에서 실물을 볼 수 있다면 두 가지를 눈여겨볼 만하다. 화면을 눌렀을 때 힌지가 흔들리는지, 지문이 얼마나 눈에 띄는지. 둘 다 스펙표에는 나오지 않는 항목이다.

    애플 첫 OLED 노트북, 체감은 터치보다 클 수 있다

    거론되는 터치 맥북 프로는 애플의 첫 OLED 노트북이기도 하다. 매일 쓰면서 느끼는 변화로 따지면 터치보다 이쪽이 더 클 수 있다.

    구조부터 다르다. OLED는 픽셀 하나하나가 스스로 빛을 내고, LCD는 뒤에 깔린 백라이트가 화면 전체를 비춘다. 장단점도 이 차이에서 갈린다.

    • 검은색 표현: 픽셀을 아예 꺼서 검정을 만들기 때문에 명암 대비가 높다. 어두운 영상이나 사진을 편집할 때 차이가 크게 드러난다.
    • 얇은 패널: 백라이트가 없으니 얇게 설계하기 유리하다.
    • 번인 관리: 데스크톱 화면에는 메뉴 막대처럼 같은 자리에 오래 떠 있는 요소가 많다. 그래서 잔상 관리가 관심사가 된다. 애플이 이 문제를 어떻게 처리할지는 행사 전 전망에서도 다뤄지지 않았다.
    • 가격: 아이패드 미니에서도 OLED 전환이 가격 인상 요인으로 거론된다.

    애플 태블릿 가운데 OLED를 쓴 건 아이패드 프로뿐이었다. 나머지는 줄곧 LCD였다. 맥북 프로와 아이패드 미니가 나란히 OLED로 넘어간다면, 애플 제품 전반이 OLED 쪽으로 옮겨 가는 신호로 볼 수 있다. 여기까지는 전망을 토대로 한 해석이다.

    판단 기준은 복잡하지 않다. 영상·사진처럼 색과 명암이 곧 결과물인 작업을 한다면 OLED의 이점이 크다. 코딩, 문서 작업, 웹 서핑이 대부분인 사람에게는 화면 방식보다 칩 등급과 메모리 용량이 체감에 직결된다.

    최신 화면은 상위 모델에, 최신 칩은 기본형에

    이번 라인업에서 가장 헷갈리는 대목이다. 거론되는 구성대로라면 칩과 화면의 최신 기술이 한 모델에 모이지 않고 따로 흩어진다.

    • 터치 OLED 맥북 프로: M5 Pro·M5 Max 유지
    • 기본형 맥북 프로: M5에서 M6로 업그레이드

    M6 Pro와 M6 Max는 아예 나오지 않을 수 있다는 관측도 있다. 상위 칩 업그레이드를 M7 세대로 미룰 가능성이 거론된다. M6 칩 자체는 맥 미니를 통해 이미 먼저 공개됐다.

    숫자만 보면 M6가 M5 Pro보다 새것이다. 함정은 애플 실리콘에서 작업 성능을 크게 가르는 게 세대보다 등급인 경우가 많다는 데 있다. Pro·Max 등급은 기본 칩보다 CPU·GPU 코어가 많고 메모리 대역폭도 넓게 설계돼 왔다. 한 세대 앞선 기본 칩이 가벼운 작업의 반응성에서 유리할 수는 있다. 영상 렌더링이나 대규모 빌드처럼 무거운 작업을 오래 돌리는 상황에서는 상위 등급을 따라잡기 어렵다는 게 지금까지의 일반적인 패턴이다.

    제품 거론되는 칩 화면 디자인·기능 변화 가격 변수
    터치 OLED 맥북 프로 M5 Pro / M5 Max OLED 터치스크린(애플 노트북 최초) 다이내믹 아일랜드, 터치 확대 효과, 기본 앱 제스처 구체적 언급 없음
    기본형 맥북 프로 M5 → M6 변화 언급 없음 소폭 재설계, 펀치홀 카메라 가능성 부품 부족 여파로 인상 예상
    아이맥 M5 건너뛰고 M6 변화 언급 없음 큰 변화 없음, 새 색상 가능성 언급 없음
    아이패드 미니 A17 → A20 LCD → OLED 큰 재설계 없음 OLED 전환으로 100달러 추가 가능성

    표를 세로로 훑으면 구도가 보인다. 화면 쪽 변화는 상위 모델에, 칩 세대 교체는 기본형에 몰려 있다. 비싼 모델을 사면서 최신 세대 칩을 기대하거나, 기본형을 고르면서 OLED를 기대하면 어긋난다. 가격 칸도 볼 만하다. 이번 행사의 중심 제품인 터치 OLED 맥북 프로의 가격 변수가 ‘구체적 언급 없음’으로 비어 있다. 행사 당일 가장 먼저 확인해야 할 숫자가 바로 이 칸이다.

    아이패드 미니는 화면·칩 동시 교체, 아이맥은 칩만

    아이패드 미니는 화면과 칩이 한꺼번에 바뀌는 모델로 거론된다.

    • 화면: LCD에서 OLED로. 아이패드 프로를 빼면 아이패드 라인업에서 처음이다.
    • 칩: 노후한 A17에서, 아이폰18에 처음 들어간 A20으로.
    • 디자인: 큰 재설계는 없을 전망.
    • 가격: 화면 업그레이드 몫으로 100달러가 더해질 수 있다.

    지금 A17 미니를 쓰고 있다면 바꿀 만한 폭이 큰 편이다. 화면 품질과 칩 성능이 함께 오르기 때문이다. 낮은 가격이 미니를 고른 이유였다면 계산이 달라진다. 100달러 인상이 거론되는 신형보다 LCD 모델이 예산에 더 맞을 수 있다.

    아이맥은 칩만 바꾸는 업데이트에 가깝다.

    • 직전 모델 이후 2년 가까이 지나서 나오는 갱신이다.
    • M5를 건너뛰고 곧장 M6를 넣을 전망이다.
    • 칩 말고는 큰 변화가 없다. M4 모델 때처럼 새 색상이 추가되는 정도가 거론된다.

    M4 아이맥 사용자라면 바꿀 이유가 약하다. 2년 가까운 공백 끝에 나오는 갱신인데도 디자인 변화 없이 칩과 색상 정도만 손보는 구성이어서다. M4보다 이전 세대라면 칩을 여러 세대 건너뛰게 되니 교체 효과가 확실하다.

    한국 판매가, 달러 인상 폭과 같지 않을 수 있다

    한국 사용자가 가장 먼저 체감할 부분은 성능보다 가격이다. 아래는 행사 전 전망을 국내 구매 상황에 대입해 본 것이고, 일부는 추측이다. 추측인 항목에는 따로 표시했다.

    • 기본형 맥북 프로 인상: 부품 부족 여파로 가격 인상이 예상된다. 국내 판매가에는 환율과 현지 가격 정책이 함께 반영되므로, 달러 기준 인상 폭과 국내 인상 폭이 같지 않을 수 있다(추측).
    • 아이패드 미니 100달러: 구조는 같다. 국내 인상 폭이 100달러를 그대로 환산한 값과 다를 수 있다(추측).
    • 직전 M5 기본형의 위치: 신형 가격이 오르면 직전 모델이 상대적으로 가성비 좋은 선택지가 될 수 있다. 구형 할인이 있을지, 있다면 얼마나 될지는 판매처마다 달라 단정할 수 없다(추측).
    • 터치 제스처 적용 범위: 새 제스처는 애플 기본 앱 중심으로 거론된다. 국내에서 많이 쓰는 메신저나 문서 편집 앱이 터치를 얼마나 지원할지는 각 개발사의 대응에 달렸다(추측).

    국내 구매자에게 가장 안전한 순서는 신형의 국내 판매가와 직전 모델 판매가를 나란히 놓고 비교한 다음 결정하는 것이다. 달러 가격만 보고 미리 판단하면 환율이라는 변수 하나를 통째로 빼먹게 된다.

    확인된 것과 아직 불확실한 것

    확인된 것

    • 애플은 LA에서 ‘Pro and tell’ 행사를 연다.
    • M6 칩은 맥 미니를 통해 먼저 공개됐다.
    • 아이패드 라인업에서 OLED는 아이패드 프로에만 쓰였다.
    • 현행 아이패드 미니는 A17 칩을 쓰고, A20은 아이폰18에서 처음 나왔다.
    • 애플은 그동안 터치스크린 노트북이나 OLED 노트북을 출시한 적이 없다.

    아직 불확실한 것

    • 터치 OLED 맥북 프로가 실제로 공개될지. ‘MacBook Ultra’라는 이름도 돌지만 애플이 플래그십 노트북 이름을 바꿀 가능성은 낮게 점쳐진다.
    • 다이내믹 아일랜드, 터치 확대 효과 같은 세부 기능
    • M6 Pro·M6 Max가 나올지, 상위 칩 업그레이드가 M7 세대로 미뤄질지
    • 기본형 맥북 프로의 가격 인상 폭과 펀치홀 카메라 재설계 여부
    • OLED 아이패드 미니의 100달러 인상 여부
    • 애플이 신형 맥북 프로·아이맥·아이패드 미니를 국내에 언제, 얼마에 내놓을지

    작업 강도에서 예산까지, 맥북 프로 고르는 순서

    1. 작업 강도: 영상 렌더링, 3D, 대규모 빌드처럼 무거운 작업을 오래 돌린다면 M5 Pro·Max 상위 모델이 맞다. 문서, 웹, 가벼운 편집이 주라면 M6 기본형으로 충분할 가능성이 크다.
    2. 화면 의존도: 색과 명암이 곧 결과물인 작업이라면 OLED의 가치가 크다. 그런 작업이 아니라면 화면 방식은 뒤로 미뤄도 된다.
    3. 터치 필요성: 거론되는 터치는 보조 입력 수준이다. 터치 하나만 보고 상위 모델로 올라가면 들인 돈에 비해 얻는 게 적을 수 있다.
    4. 예산 상한: 가격 인상이 예상되니 상한부터 정한다. 그 범위 안에서는 칩 등급과 메모리 용량을 먼저 챙긴다.

    칩 이름에 붙은 숫자보다 ‘등급’과 ‘화면’이 각각 어느 모델에 들어가는지가 먼저다. 상위 칩은 M7 세대에 가서야 바뀔 수 있다는 관측까지 나와 있다. 무거운 작업 때문에 상위 모델이 당장 필요한 경우가 아니라면 서둘러 살 이유는 크지 않아 보인다. 상위 모델 가격과 M6 Pro·Max 출시 여부가 드러난 뒤에 판단해도 늦지 않다는 게 필자의 판단이다.

    출처: The Verge

  • 2in1 노트북, 힌지 구조와 펜 충전이 가른다

    2in1 노트북, 힌지 구조와 펜 충전이 가른다

    3줄 요약

    • 터치 노트북은 화면을 그대로 두는 클램셸형, 뒤로 젖히는 360도 컨버터블, 앞으로 당기는 앞당김형으로 나뉘며 맞는 용도가 다르다.
    • 스타일러스는 기본 포함 여부보다 트랙패드 입력 지원, 자석 부착, 충전 방식(USB-C냐 부착 무선 충전이냐)이 실사용 만족도를 가른다.
    • 터치 맥북을 기다릴지는 펜 사용 빈도, 운영체제의 터치 완성도, Arm 앱 호환성을 기준으로 판단하는 편이 합리적이다.

    16인치 OLED 화면을 뒤로 끝까지 젖히면 태블릿이 된다. 같은 펜을 화면이 아니라 트랙패드 위에 대고 사진을 보정할 수도 있다. 레노버 요가 9n(Yoga 9n)이 보여 주는 2in1 노트북의 쓰임새다.

    이 노트북이 다시 주목받은 계기는 애플의 터치스크린 맥북 소문이다. 애플이 오래 미뤄 온 이 제품의 윤곽이 구체화되던 무렵, 더버지의 한 필자가 요가 9n을 써 본 뒤 터치 맥북에 바라는 것의 상당 부분이 이미 이 노트북에 있다고 적었다. 이 글은 그 비교를 출발점으로 삼아 터치·펜 노트북을 고를 때 따질 기준을 순서대로 짚는다. 확인된 사양과 필자의 평가, 이 글의 해석은 문장마다 구분해 적었다.

    화면이 어느 쪽으로 움직이느냐, 터치 노트북은 여기서 세 갈래

    터치스크린이 달렸다고 모두 같은 2in1은 아니다. 먼저 볼 것은 화면의 움직임. 이 구분만 해 둬도 용도에 맞지 않는 후보는 일찍 걸러진다.

    구조 화면 움직임 쓸 수 있는 자세 예시 잘 맞는 장면
    클램셸 터치형 일반 노트북처럼 열고 닫기만 함 노트북 자세 요가 9n 외의 RTX 스파크 노트북, 다수의 윈도 노트북 가끔 화면을 눌러 고르거나 넘기는 정도
    360도 컨버터블 힌지를 뒤로 끝까지 젖힘 노트북, 텐트, 태블릿(가로·세로) 레노버 요가 9n 영상 감상, 컨트롤러 게임, 펜 필기·드로잉
    화면 앞당김형 화면을 뒤로 젖히지 않고 앞으로 끌어옴 노트북, 화면을 앞으로 당긴 자세 마이크로소프트 서피스 랩톱 스튜디오 키보드 쪽으로 화면을 가까이 두고 하는 펜·터치 작업

    셋 중 무엇을 고를지는 결국 펜과 손가락을 얼마나 자주 쓰느냐에서 갈린다.

    • 터치가 보조 수단에 그친다면 클램셸 터치형이면 된다. 선택지가 가장 많고, 쓰는 법도 일반 노트북과 다르지 않다. 새로 익힐 것이 없다는 점 자체가 이 유형의 장점이다.
    • 태블릿처럼 손에 들고 쓰거나 키보드를 치워야 하는 장면이 잦은 사람에게는 360도 컨버터블이 답이다.
    • 화면 앞당김형은 화면을 뒤집는 대신 손 가까이 끌어온다. 이 발상 자체가 영리했다는 평가를 받았다. 책상 위에서 하는 펜 작업이 중심인 사람에게 어울리는 절충안이다. 다만 표에 정리된 자세에 태블릿이 없는 만큼, 들고 쓰는 용도까지 바란다면 360도 컨버터블 쪽이 더 직접적인 해법이다.

    키보드를 치울 수 있다는 것, 360도 컨버터블의 네 자세

    컨버터블의 값어치는 키보드를 시야와 손에서 치울 수 있다는 데서 나온다. 요가 9n을 기준으로 자세별 쓰임새를 나누면 다음과 같다.

    • 노트북 자세: 문서 작성 같은 평소 작업. 터치는 거드는 역할에 머문다.
    • 텐트 자세: 힌지를 뒤로 젖혀 ㅅ자로 세운다. 자리가 좁아 화면만 앞으로 내밀어 보여야 할 때 쓸모가 있다.
    • 태블릿 가로: 영상 감상이나 컨트롤러를 연결한 게임에 맞다. 키보드가 시야도, 손도 가리지 않는다.
    • 태블릿 세로: 긴 문서를 읽거나 펜으로 필기할 때 꺼내는 자세.

    활용법이 하나 더 있다. 태블릿 자세로 접은 노트북을 책상 위 모니터 옆에 세우고, 별도 키보드와 마우스로 조작하는 방식이다. 노트북 키보드가 책상 자리를 차지하지 않으니 그대로 멀티 모니터 구성이 된다. 눈에 띄는 기능은 아니다. 하지만 외부 모니터를 함께 쓰는 사람이라면 오히려 이쪽이 가장 자주 쓰는 자세가 될 수도 있다.

    화면 크기는 별도로 따져야 할 문제다. 16인치급은 작업 공간이 넓다. 대신 손에 들고 쓰는 시간이 길어질수록 무게가 부담으로 돌아온다. 태블릿 자세로 쓰는 비중이 높다면 한 단계 작은 화면도 후보에 올려 둘 만하다. 요가 9n의 쓰임새가 아무리 매력적이어도 16인치를 오래 들고 있는 일은 별개라는 얘기다.

    펜 지원은 출발점일 뿐, 트랙패드 입력과 충전 방식이 갈린다

    펜 지원 노트북을 비교하면서 펜이 되느냐만 따지면 절반만 본 셈이다. 요가 9n의 펜과 아이패드 프로용 애플 펜슬을 나란히 놓으면 확인할 항목이 네 가지로 좁혀진다.

    1. 기본 포함 여부: 요가 9n은 펜을 함께 준다. 별매 제품이라면 펜 값을 총비용에 얹어 비교해야 공정하다.
    2. 트랙패드 입력: 요가 9n의 펜은 햅틱 트랙패드 위에서도 작동한다. 손이 화면을 가리지 않으니 와콤 같은 펜 태블릿을 쓰는 감각에 가깝다.
    3. 보관 방식: 자석으로 노트북 덮개에 붙는지가 관건이다. 요가 9n은 펜만 붙여도, 케이스에 넣은 채로 붙여도 된다.
    4. 충전 방식: 요가 9n의 펜은 USB-C로 충전한다. 아이패드 프로의 애플 펜슬은 기기에 붙여 두면 무선으로 충전되기 때문에 늘 쓸 준비가 된 상태로 남는다.

    네 항목을 표처럼 놓고 보면 요가 9n에서 아쉬운 쪽은 4번, 충전 방식이다. 기본 제공, 트랙패드 입력, 자석 부착은 모두 갖췄다.

    사진 보정이 주된 용도라면 2번의 무게가 커진다. 앞의 필자도 라이트룸 클래식과 포토샵에서 이 펜을 즐겨 쓴다고 밝혔다. 와콤 태블릿을 처분한 뒤로 오랫동안 펜 보정을 하지 않았는데, 화면과 트랙패드 양쪽에서 쓸 수 있는 펜이 그 습관을 되살렸다는 설명이다. 한 사람의 사용 소감이긴 하다. 그래도 트랙패드 입력이 어떤 사용자에게 의미가 있는지 보여 주기에는 충분한 사례다.

    4번은 펜을 자주 꺼낼수록 차이가 크게 느껴진다. 쓰려는 순간 배터리가 바닥이면 케이블부터 찾아야 하기 때문이다. 하루에도 여러 번 펜을 드는 사람에게 이건 사소한 불편으로 끝나지 않는다.

    칩 성능보다 앞서는 변수, 운영체제의 터치 완성도

    하드웨어가 아무리 좋아도 손가락과 펜으로 조작하는 편의는 운영체제와 앱이 정한다. 윈도 2in1이나 크롬북은 재미있는 기기다. 그러나 마우스 커서를 전제로 설계된 데스크톱 OS를 손가락이나 펜으로 다루다 보면 조작이 투박해지는 순간이 온다. 작은 버튼, 커서를 올려야만 열리는 메뉴가 대표적이다.

    애플 쪽에서는 macOS 27에 터치 조작을, 마우스용 화면을 그저 손가락으로 찌르는 수준보다 자연스럽게 다듬으려는 단서가 보인다는 관측이 나왔다. 어디까지나 관측이고, 확정된 기능은 아니다. 터치 맥북이 실제로 나온다면 이 소프트웨어 완성도가 하드웨어 형태 못지않은 평가 기준이 될 것이라는 게 이 글의 판단이다. 윈도 2in1이 겪어 온 투박함을 애플이 얼마나 피해 가느냐에 첫 세대의 평가가 걸려 있다고 본다.

    칩 구조도 함께 봐야 한다. 엔비디아 RTX 스파크는 애플 실리콘처럼 Arm 기반 프로세서에 강력한 내장 GPU와 대용량 통합 메모리를 묶은 플랫폼이다. 이런 구조의 노트북을 고른다면 확인할 것은 두 가지.

    • 메모리 용량: CPU와 GPU가 같은 메모리를 나눠 쓴다. 사진·영상 편집이 목적이라면 넉넉하게 잡아 두는 게 안전하다. 통합 메모리는 대체로 구매 후 늘리기 어렵다.
    • 앱 호환성: Arm 기반 윈도 노트북이라면 자주 쓰는 앱이 Arm에서 문제없이 돌아가는지 사기 전에 확인해야 한다. 맥은 애플 실리콘 전환을 거친 지 오래여서 이 부담이 상대적으로 덜하다.

    맥북·아이패드를 나눠 쓰던 사람, 터치 맥북이 셈법을 바꾼다

    문서 작업은 맥북으로, 펜 작업은 아이패드로 나눠 하던 사람이 터치 맥북의 영향을 가장 직접적으로 받는다. 아래 항목에는 제품 사양이 확인되기 전 단계의 추측이 섞여 있고, 추측인 항목은 괄호로 표시했다.

    • 기기 두 대에서 한 대로(추측): 터치 맥북 프로가 애플 펜슬을 지원한다면, 보정이나 필기를 위해 아이패드를 따로 챙겨 다닐 이유가 줄어든다.
    • 펜 재사용(추측): 이미 가진 애플 펜슬을 그대로 쓸 수 있을지는 지원 모델 목록이 나와야 판단할 수 있다. 그 전에 펜슬을 새로 사는 건 답이 나오지 않은 질문에 돈을 거는 일에 가깝다.
    • 비용: 앞의 필자는 터치를 넣은 맥북 프로가 비쌀 수밖에 없다고 봤다. 터치가 필요 없는 사용자에게는 기존 맥북이 여전히 합리적인 선택지로 남는다.
    • 윈도 대안: 펜과 태블릿 자세가 당장 필요하다면 기다릴 것 없이 윈도 360도 컨버터블을 고르면 된다. 이 경우 Arm 기반 제품은 국내 은행·공공기관 사이트용 보안 프로그램이나 회사 업무 프로그램까지 돌아가는지 따로 확인해야 한다. 한국에서 쓸 때만 따라붙는 확인 항목이다.

    첫 세대 제품이라는 점도 변수다. 지금의 맥북은 완성도가 높아 잊기 쉽지만, 애플에도 버터플라이 키보드처럼 설계 판단이 어긋났던 전례가 있다. 새 폼팩터의 첫 모델은 실사용 평가가 쌓인 뒤에 결정해도 늦지 않다. 펜 작업이 급하지 않은 사람이라면 기다리는 데 드는 비용도 크지 않다.

    확인된 것과 아직 불확실한 것

    확인된 것

    • 레노버 요가 9n은 16인치 OLED 화면의 360도 컨버터블이며 노트북·텐트·태블릿(가로·세로) 자세를 지원한다.
    • 요가 9n의 펜은 기본 제공되고, 화면과 햅틱 트랙패드 양쪽에서 작동하며, 자석으로 덮개에 붙고 USB-C로 충전한다.
    • RTX 스파크는 Arm 기반 프로세서에 내장 GPU와 통합 메모리를 결합한 엔비디아 플랫폼이다.
    • 아이패드 프로용 애플 펜슬은 기기에 붙인 상태로 무선 충전된다.
    • 터치가 없는 기존 맥북 프로는 미니 LED 디스플레이를 쓴다.

    아직 불확실한 것

    • 터치 맥북이 360도 컨버터블일지, 화면 앞당김형 같은 다른 구조일지
    • 애플 펜슬 지원 여부와 지원 모델, 트랙패드 펜 입력과 부착 충전 지원 여부
    • 디스플레이가 미니 LED에서 OLED로 바뀌는지
    • macOS 27의 터치 관련 변화가 어디까지 적용되는지
    • 터치 맥북과 레노버 요가 9n의 국내 출시 시점과 원화 가격

    펜을 얼마나 쓰는지부터 정하고, 예산은 맨 끝에 맞춘다

    기준은 다음 순서로 세운다. 예산을 맨 뒤에 둔 이유는 단순하다. 용도와 구조가 정해지지 않은 상태에서 가격부터 맞추면, 펜을 거의 쓰지 않으면서 컨버터블 값을 치르거나 반대로 펜이 꼭 필요한데 클램셸을 고르는 실수가 나오기 쉽다.

    1. 용도: 펜을 매일 쓰는지, 가끔 화면을 누르는 정도인지부터 정한다. 후자라면 클램셸 터치형으로 충분하다.
    2. 구조: 들고 쓰거나 키보드를 치우는 일이 잦으면 360도 컨버터블. 책상 위 펜 작업 위주라면 화면 앞당김형도 후보에 넣는다.
    3. 펜 세부: 기본 포함, 트랙패드 입력, 자석 부착, 충전 방식. 이 네 가지를 하나씩 체크한다.
    4. 호환성: 운영체제의 터치 완성도를 보고, Arm 기반이라면 앱 호환성까지 확인한다.
    5. 예산: 마지막으로 메모리 용량과 화면 종류를 조정하며 금액을 맞춘다.

    지원 기능은 같은 모델이라도 구성과 운영체제 버전에 따라 달라질 수 있으니 구매 직전 제조사 사양표로 한 번 더 확인한다. 터치 맥북이 360도 컨버터블로 나오든 다른 구조로 나오든, 1~5번에 차례로 대입해 보면 내 용도에 맞는 제품인지는 금방 가려진다.

    출처: The Verge

  • 펜실베이니아 AI 광고 라벨법 서명…기준은 모호

    펜실베이니아 AI 광고 라벨법 서명…기준은 모호

    3줄 요약

    • 조시 셔피로 미국 펜실베이니아 주지사가 AI로 생성했거나 크게 손본 광고에 라벨을 붙이도록 하는 ‘인공지능 기만 광고법’에 서명했다.
    • 이미지·영상·오디오·텍스트 등 형식을 가리지 않고, 광고를 어디서 만들었든 펜실베이니아에서 나가면 적용된다.
    • 다만 ‘상당한 수정’, ‘명백한 허구’ 같은 기준이 모호하고 패러디·풍자 예외까지 있어 허점이 많다는 지적이 나온다.

    동네 식당에서 생성형 AI로 윙 할인 행사 전단지를 뽑았다. 미국 펜실베이니아라면 이 전단지에도 AI 표시를 달아야 할 수 있다. 수십억 달러 규모 기업이 내보내는 TV 광고와 같은 규칙이 적용된다.

    조시 셔피로(Josh Shapiro) 펜실베이니아 주지사가 현지시간 목요일 ‘인공지능 기만 광고법(Artificial Intelligence Deceptive Advertising Act)’에 서명했다. 이로써 펜실베이니아는 AI 콘텐츠에 표시 의무를 건 미국의 첫 주들 가운데 하나가 됐다. 걸리는 건 법 문구다. 곳곳에 빠져나갈 구멍이 뚫려 있다는 게 더버지(The Verge)의 평가.

    전단지든 TV 광고든, 형식을 가리지 않는 라벨 의무

    핵심 조항만 떼어 보면 단순하다. “AI에 의해 상당히 수정되었거나 생성된” 광고라면 표시를 붙여야 한다. 대상 형식은 정지 이미지·영상·오디오·텍스트 전부.

    더 눈여겨볼 대목은 표시 방식이다. 라벨은 광고 자체와 같은 형식이어야 한다. 영상 광고면 영상 안에서, 오디오 광고면 소리로 알리라는 뜻으로 읽힌다. 오디오 광고에 AI를 썼다는 사실을 다른 곳에 글로만 적어두는 방식으로는 부족하다는 얘기다. 소비자가 광고를 접하는 바로 그 채널에서 알아챌 수 있게 하자는 취지로 보인다.

    • 대상: AI로 생성했거나 ‘상당히’ 수정한 광고
    • 형식: 정지 이미지, 영상, 오디오, 텍스트 전부
    • 표시 방법: 광고와 같은 형식의 라벨
    • 규모: 수십억 달러 기업의 TV 광고와 동네 식당 전단지를 구분하지 않음

    발의자는 닉 피시오타노(Nick Pisciottano) 주 상원의원이다. 그의 사무실은 논평 요청에 곧바로 답하지 않았다. 아래에서 짚을 모호한 문구들에 대해 발의자 쪽 설명은 아직 들을 수 없다는 뜻이기도 하다.

    만든 곳이 아니라 나가는 곳 기준, 주 경계를 넘는 조항

    파급력이 가장 큰 건 적용 범위를 정한 방식이다. 기준은 광고를 만든 장소가 아니라 광고가 나가는 곳이다. 다른 주에서 만든 광고라도 펜실베이니아에서 방영될 예정이면 라벨이 필요하다.

    그 여파로 다른 주 시청자까지 AI 표시가 붙은 광고를 보게 될 수 있다. 전국에 나가는 광고를 주마다 따로 편집하느니, 처음부터 라벨을 넣은 한 가지 버전을 돌리는 편이 관리하기 쉬울 테니까(추정). 코드로 치면 지역별 피처 플래그를 쪼개 관리하느니 그냥 전역으로 켜버리는 선택이다.

    ‘첫 주들 가운데 하나’라는 점도 무게를 더한다. 비슷한 규제를 고민하는 다른 주들이 참고할 선례가 될 수 있어서다. 그만큼 문구 하나하나의 완성도가 중요해진다(전망).

    ‘상당한 수정’·’명백한 허구’, 판단 기준이 비어 있다

    문제는 무엇이 라벨 대상인지 가르는 문구들이다. 허점으로 지목된 표현을 한데 모으면 이렇다.

    법 조문 표현 법에서의 역할 남는 의문
    AI로 “상당히 수정”(significantly modified) 라벨 대상 기준 어디까지 손대야 ‘상당히’인지 주관적
    패러디·풍자·논평·비평 라벨 의무 예외 허점으로 지목됨, 예외의 경계를 어떻게 긋는지 설명 없음
    “명백히 허구인”(evidently fictional) 콘텐츠 라벨 의무 예외 ‘명백히 허구’가 무슨 뜻인지 불분명
    “소비자에게 잘못된 인식을 주는 방식”의 합성 콘텐츠 사용 표시 의무가 생기는 조건으로 읽힘 무엇이 ‘잘못된’ 것인지, 누가 판단하는지 불분명

    가장 큰 변수는 마지막 조건이다. 문구대로라면 AI로 만들었다는 사실만으로는 표시 대상이 되지 않는다. 제품이나 서비스에 대해 소비자를 오인하게 만드는 경우에만 의무가 생기는 것으로 읽힌다. 광고주 입장에선 “우리 광고는 오인을 일으키지 않는다”고 주장할 여지가 생기는 셈.

    법 이름에 ‘기만’이 들어간 것과도 맞아떨어지는 해석이다. 다만 이렇게 읽으면 앞서 본 ‘형식 불문 라벨 의무’가 실제로 미치는 범위는 생각보다 좁아질 수 있다.

    개발자 감각으로 보면 스펙 문서에 “값이 상당히 크면 예외 처리”라고만 적어둔 꼴이다. 임곗값 없는 조건문은 구현하는 사람마다 다르게 동작한다. 결국 그 조건을 누가 판정하느냐가 실제 규칙이 된다.

    확인된 것과 아직 불확실한 것

    확인된 것

    • 셔피로 주지사가 목요일 ‘인공지능 기만 광고법’에 서명해 법으로 확정됐다.
    • AI로 생성했거나 상당히 수정한 광고는 이미지·영상·오디오·텍스트 구분 없이 광고와 같은 형식의 라벨을 달아야 한다.
    • 광고 제작지와 관계없이 적용돼, 펜실베이니아에서 방영될 다른 주 광고도 대상이 된다.
    • 패러디·풍자·논평·비평, 그리고 ‘명백히 허구인’ 콘텐츠는 예외다.
    • 발의자는 닉 피시오타노 주 상원의원이며, 그의 사무실은 논평 요청에 즉시 응답하지 않았다.

    아직 불확실한 것

    • ‘상당한 수정’을 가르는 구체적 기준
    • ‘명백히 허구’로 인정받는 범위
    • ‘잘못된 소비자 인식’을 누가, 어떤 기준으로 판단하는지
    • 시행 시점과 위반 시 제재 수준(원문에 언급 없음)
    • 발의자 측이 모호한 문구를 어떻게 해석하는지

    펜실베이니아에 나가는 한국 기업 광고도 라벨 대상

    범위부터 짚고 가자. 미국 한 주의 법이다. 한국에서 보는 TV 광고나 전단지에는 직접 적용되지 않고, 국내 일반 사용자가 당장 체감할 변화도 없다.

    영향을 받는 쪽은 미국 시장용 광고를 만드는 국내 기업과 광고 제작사다. 제작지를 따지지 않는 조항 때문에, 한국 스튜디오에서 생성형 AI로 만든 광고라도 펜실베이니아에서 방영되면 라벨 대상이 될 수 있다.

    • 미국 전국 TV 광고: 방영 지역에 펜실베이니아가 들어가는지부터 확인해야 한다.
    • 오디오·텍스트 광고: 형식 제한이 없으니 AI로 만든 목소리나 문구도 예외로 보기 어렵다(해석).
    • 사내 기준: ‘상당한 수정’의 선이 비어 있는 만큼, 어떤 작업까지 표시 대상으로 볼지 미리 정해두는 편이 안전해 보인다(의견).

    구체적인 대응은 결국 현지 법률 검토를 거쳐야 한다. 국내에서도 AI 생성물 표시를 둘러싼 논의가 이어지고 있다. 이 법이 남긴 모호한 문구들은 기준을 설계할 때 무엇을 비워두면 안 되는지 보여주는 참고 사례로 볼 만하다.

    라벨을 붙이라고 정하는 건 쉽다. 어디에 선을 긋느냐가 훨씬 어렵다. 펜실베이니아 법은 라벨 의무는 분명히 정했지만, 그 선은 아직 비워둔 채 서명됐다.

    출처: The Verge

  • 블루 플래닛 3, AI 의심 피하려 흠집까지 남겼다

    블루 플래닛 3, AI 의심 피하려 흠집까지 남겼다

    3줄 요약

    • BBC 자연 다큐 ‘블루 플래닛 3’에는 예전 같으면 잘라냈을 장면이 그대로 들어갔어요. 플랑크톤이 떠다니는 화면, 보트·부표가 걸린 화면도 남겼습니다.
    • 너무 매끈하고 완벽한 영상은 AI 생성물로 의심받기 쉬워요. 그래서 일부러 거친 부분을 남겨 진짜로 찍었다는 걸 보여주려는 전략입니다.
    • 해면으로 구멍을 막아 물고기를 잡는 돌고래, 줄지어 먹이를 먹는 게 20만 마리 같은 장면이 담겼어요. 제작진은 실제 바다 생물이 AI가 상상하는 것보다 놀랍다고 강조합니다.

    물속엔 플랑크톤이 둥둥 떠다니고, 프레임 귀퉁이엔 보트와 부표가 걸려 있어요. 예전 BBC 자연 다큐였다면 편집실에서 가장 먼저 잘려 나갔을 화면이죠. 새 시리즈 ‘블루 플래닛 3(Blue Planet III)’는 이런 컷을 일부러 살려뒀습니다.

    이유는 AI예요. 요즘은 깨끗하고 완벽한 영상일수록 “이거 AI로 만든 거 아냐?”라는 말부터 듣거든요. 흠집이 오히려 진짜라는 증거가 되는 상황. 오랫동안 ‘더 맑게, 더 매끈하게’를 향해 달려온 자연 다큐로서는 꽤 역설적인 방향 전환입니다.

    편집실에서 버리던 컷이 본편으로 올라왔다

    블루 플래닛 시리즈를 상징하던 건 수정처럼 맑고 화려한 수중 영상이었어요. 너무 아름다워서 진짜가 맞나 싶을 정도의 화면, 그게 곧 시리즈의 정체성이었고요. 3편은 그 공식을 일부 내려놓았습니다.

    예전 기준이 얼마나 깐깐했는지는 총괄 프로듀서 엘리자베스 화이트가 가디언 인터뷰에서 직접 설명한 내용을 보면 감이 와요. 물속에 떠다니는 “플랑크톤 같은 것들의 양”이 많다는 이유만으로도 컷을 버렸다고 합니다. 보트나 부표가 보이면 프레임 밖으로 빼고 찍었고, “사실 물 상태가 이 장면을 찍기엔 별로 좋지 않다”며 그냥 넘어가기도 했대요. 이번엔 정반대입니다. 이런 요소를 지우지 않고 전부 남겨서, 더 진짜에 가깝고 자연스러운 바다를 보여주겠다는 게 제작진의 방침이에요.

    항목별로 나란히 놓으면 차이가 더 또렷해집니다.

    구분 이전 시리즈 블루 플래닛 3
    물속 플랑크톤·부유물 양이 많으면 해당 컷을 잘라냄 그대로 화면에 남김
    보트·부표 프레임 밖으로 빼고 촬영 보이는 대로 남김
    좋지 않은 물 상태 촬영하기에 부적합하다고 판단 있는 그대로의 바다로 보여줌
    지향하는 화면 수정처럼 맑고 매끈한 영상 진짜에 가깝고 자연스러운 바다

    ‘너무 매끈하면 AI’라는 의심, 흠집으로 맞받았다

    이 결정 뒤에는 AI 생성 영상이 있어요. AI가 만든 영상을 가려내는 대표적인 단서 하나가 지나치게 다듬어진, 이음새 없이 매끈한 화면이거든요. 블루 플래닛 3가 이런 의심에 맞서려고 흠까지 있는 그대로 보여주는(warts and all) 방식을 골랐다는 게 더버지의 해석입니다.

    자연 다큐 입장에선 아이러니예요. 오랫동안 더 깨끗하고 완벽한 화면에 공을 들여온 장르가, 바로 그 완벽함 때문에 의심받을 처지가 됐으니까요. ‘믿기 어려울 만큼 아름다운 화면’이라는 시리즈 최대의 강점이 거꾸로 약점이 될 수 있다는 위기감. 제작진의 선택 밑바닥엔 그게 깔려 있다고 봅니다.

    제작진이 꺼낸 해법은 화면 자체에 증거를 남기는 거예요. 플랑크톤, 탁한 물, 화면에 끼어든 부표처럼 현장에서만 생기는 ‘잡음’을 지우지 않는 방식이죠. 이런 흠은 연출로 꾸며내기보다 실제 촬영을 하다 보면 자연스럽게 따라붙는 것들이에요. 시청자가 이걸 ‘정말 바다에 나가서 찍었구나’ 하는 신호로 받아들이길 기대하는 것으로 보입니다. 이 신호가 얼마나 오래 통할지는 또 다른 문제지만요.

    흐린 화면, 화질 탓이 아니라 기획 의도다

    한국 시청자에게 당장 달라지는 건 화면을 보는 눈이에요. 블루 플래닛 3를 보게 되면, 화면 속 부유물이나 탁한 물빛을 촬영 실수로 여길 필요가 없습니다. 제작진이 일부러 남긴 장치니까요. 이전 시리즈를 기억하는 사람일수록 화면이 덜 매끈하다고 느낄 텐데, 그 낯선 느낌이 바로 이번 시리즈가 노린 지점이에요.

    여기서부터는 추측입니다. AI 생성 영상이 늘어날수록 국내 다큐 제작진이나 영상 크리에이터들도 ‘진짜로 찍었다’는 걸 보여줄 방법을 고민하게 될 가능성이 커 보여요. 블루 플래닛 3처럼 현장의 거친 흔적을 남기는 방식은 그때 참고할 만한 사례 하나 정도. 정답으로 받아들이기엔 이릅니다. 이 방식이 실제로 의심을 줄였다는 시청자 반응이나 데이터가 나온 게 아니라서요.

    • 화면 속 플랑크톤·부표·탁한 물은 편집 실수가 아니라 의도된 선택이에요.
    • ‘매끈할수록 고품질’이라는 기존 기준이 흔들리고 있다는 신호로 읽을 수 있어요.
    • 국내 제작 현장에 미칠 영향은 아직 추측 단계예요.

    확인된 것과 아직 불확실한 것

    확인된 것

    • BBC 블루 플래닛 3는 예전이라면 잘라냈을 불완전한 컷을 남기는 방향으로 제작됐어요.
    • 총괄 프로듀서 엘리자베스 화이트가 플랑크톤의 양, 보트·부표, 물 상태 때문에 컷을 버리던 과거 기준을 직접 언급했어요.
    • 해면으로 구멍을 막아 물고기를 가두는 돌고래, 서로 다른 종의 물고기끼리 나누는 의사소통, 게 20만 마리가 대열을 이루는 장면이 담겼어요.
    • 화이트는 실제 바다 생물이 아마 AI가 상상할 수 있는 것보다 더 놀라울 거라고 말했어요.

    아직 불확실한 것

    • 전체 분량 중 ‘거친 컷’이 얼마나 되는지, 색보정 같은 다른 후반 작업 기준도 바뀌었는지는 원문에 나오지 않아요.
    • 이 방식이 실제로 AI 의심을 줄이는지 보여주는 시청자 반응이나 데이터는 아직 없어요.
    • AI 영상에도 일부러 노이즈나 흠을 넣을 수 있다는 점을 생각하면, 흠집만으로 진위를 가릴 수 있을지는 별개의 문제로 보여요.
    • 제작 과정에서 별도의 진위 인증 장치를 썼는지는 확인되지 않았어요.
    • 블루 플래닛 3를 국내에서 어느 채널이나 서비스로, 언제 볼 수 있는지는 원문에 언급되지 않았어요.

    해면 쓰는 돌고래, 게 20만 마리…‘AI 상상보다 놀랍다’의 근거

    화이트 프로듀서가 큰소리를 칠 수 있는 건 실제 바다에서 건져 올린 장면들이 있어서예요. 이번 시리즈에 담긴 대표 장면은 이렇습니다.

    • 바다 해면으로 구멍을 막아 물고기를 가두는 돌고래
    • 서로 다른 종의 물고기끼리 주고받는 의사소통
    • 먹이를 먹으려고 대열을 맞춰 늘어선 게 20만 마리

    화이트는 실제 바다 생물이 “아마 AI가 상상할 수 있는 것보다 더 놀라울 것”이라고 말했어요. 화면의 매끈함으로 경쟁하던 자연 다큐가, 이제는 진짜만 줄 수 있는 의외성을 무기로 꺼내 든 겁니다. 화려한 영상은 갈수록 쉽게 만들 수 있게 되더라도, 실제로 일어난 일이라는 사실만큼은 흉내 내기 어렵다는 판단이에요. 해면을 도구처럼 쓰는 돌고래는 누가 시나리오로 짜기도 어려운 행동이라 이 말에 힘이 실리긴 합니다. 다만 그런 장면조차 화면만 봐서는 진짜임을 증명하기 어렵다는 것, 그게 지금 자연 다큐가 처한 까다로운 현실이죠.

    출처: The Verge

  • AI 에이전트 샌드박스, 격리·상태·과금으로 고른다

    AI 에이전트 샌드박스, 격리·상태·과금으로 고른다

    3줄 요약

    • 에이전트 클라우드는 AI 에이전트마다 격리된 실행 공간(샌드박스)을 바로 내주는 인프라입니다. 핵심은 ‘에이전트마다 컴퓨터 한 대’라는 발상입니다.
    • Daytona 창업자 Ivan Burazin은 에이전트가 미리 계획되지 않은 짧고 상태를 가진 작업을 수천 개씩 만들기 때문에 기존 클라우드 설계와 맞지 않는다고 주장합니다.
    • 실행 환경은 필요한 운영체제·GPU, 기동 속도와 동시 실행 한도, 상태 보존, 격리 수준, 과금 단위 순서로 따지면 후보를 빨리 좁힐 수 있습니다.

    6,000만 달러. AI 에이전트용 클라우드를 만드는 뉴욕 스타트업 Daytona Platforms가 FirstMark Growth 주도로 유치한 시리즈 B 금액이다. 기업가치는 10억 달러로 평가받았고, 회사가 밝힌 누적 투자액은 9,100만 달러다. 금액보다 눈여겨볼 것은 이 회사가 파는 상품이다. Daytona의 상품은 AI 모델이 아니다. 에이전트가 코드를 돌리고, 파일을 만들고, 프로그램을 띄우는 ‘작업장’이다. 에이전트가 실제로 일할 컴퓨터를 누가 어떻게 빌려줄지가 모델 경쟁과는 별도로 투자 대상이 됐다는 신호로 읽힌다.

    이 글은 투자 소식 자체보다 그 소식이 건드린 질문에 무게를 둔다. 에이전트용 실행 환경은 일반 서버와 무엇이 다른가. 팀이 직접 고른다면 무엇부터 따져야 하나.

    에이전트마다 컴퓨터 한 대씩, 에이전트 클라우드의 기본 구조

    챗봇의 일은 텍스트로 답하는 데서 끝난다. 에이전트는 다르다. 목표를 받으면 스스로 단계를 쪼개고, 코드를 실행해 결과를 확인하고, 실패하면 고쳐서 다시 돌린다. 이 반복에는 명령을 실행할 운영체제, 중간 결과를 쌓아 둘 디스크, 필요한 패키지를 설치할 권한이 따라붙는다. 말로만 일하는 모델에는 필요 없던 것들이다. 결국 실제 컴퓨터가 있어야 한다는 뜻이다.

    에이전트 클라우드는 이 작업 공간을 떼어 내 서비스로 제공하는 인프라다. Daytona 창업자 Ivan Burazin은 투자 발표 블로그 글에서 자사 클라우드가 모든 에이전트에게 각자의 컴퓨터를 한 대씩 쥐여 주는 것과 같다고 설명했다. 그가 밝힌 구성은 이렇다. 한 플랫폼 안에서 샌드박스 형태의 Linux, Windows, macOS 환경과 GPU 등을 함께 쓸 수 있다.

    샌드박스는 바깥 시스템과 떨어진 격리 공간을 가리킨다. 안에서 프로그램이 오작동하든 파일이 지워지든, 피해가 다른 사용자나 원래 서버로 번지지 않게 막는 울타리다. 에이전트가 작성한 코드는 사람이 한 줄씩 검토하지 않은 채 실행되는 경우가 많다. 에이전트 실행 환경에서 격리를 ‘있으면 좋은 기능’이 아니라 출발 조건으로 봐야 하는 이유가 여기에 있다.

    짧고, 많고, 상태를 가진 작업이 기존 클라우드와 어긋나는 지점

    Burazin의 문제 제기는 다음 두 문장에 압축돼 있다. “에이전트는 기존 클라우드가 염두에 두고 설계된, 오래 떠 있는 서비스처럼 일하지 않는다. 에이전트는 아무도 미리 계획하지 않은 짧고 상태를 가진 작업을 수천 개씩 띄우며, 그에 맞게 만든 클라우드가 필요하다.” 그의 주장을 항목별로 나눠 보면 아래 표와 같다.

    구분 기존 클라우드가 전제한 작업 에이전트가 만드는 작업
    작업의 성격 오래 실행되는 서비스(long-lived services) 짧고 상태를 가진(stateful) 작업
    작업이 생기는 방식 클라우드 설계 단계에서 염두에 둔 서비스 아무도 미리 계획하지 않은 작업이 수천 개씩 생성
    제공 단위 서비스를 올려 두는 서버 에이전트별 독립 컴퓨터(Linux·Windows·macOS 샌드박스, GPU 등)

    첫 번째 차이는 수명이다. 웹 서비스용 서버는 한 번 띄우면 오랫동안 같은 자리에서 요청을 받는다. 클라우드의 과금, 배포, 모니터링 도구도 대부분 이렇게 오래 떠 있는 서버를 기준으로 짜여 있다. 에이전트가 만든 하위 작업은 정반대다. 생겼다가 금방 사라진다.

    두 번째는 예측 가능성. 서비스 운영자는 트래픽을 내다보고 용량을 잡는다. 에이전트는 작업 도중 스스로 하위 작업을 만들어 내기 때문에, 실행 환경이 언제 몇 개 필요할지 사람이 미리 알기 어렵다. Burazin이 굳이 ‘아무도 미리 계획하지 않은’이라는 수식어를 붙인 것도 이 때문이다.

    세 번째가 상태다. 짧은 작업은 흔히 상태를 남기지 않는 함수 실행 방식으로 처리해 왔다. 에이전트의 작업은 짧으면서도 직전 단계에서 설치한 패키지, 작성 중인 파일, 열어 둔 프로그램을 그대로 이어 써야 한다. 오래 떠 있는 서버 모델과 상태 없는 짧은 실행 모델 사이에 빈틈이 생기는 셈이다. Daytona의 문제의식은 바로 이 빈틈을 겨냥한 것으로 보인다. 다만 이 대목은 창업자 설명을 바탕으로 한 해석이다.

    Daytona가 스스로를 ‘장기 실행 에이전트’용 클라우드라고 소개한다는 점은 언뜻 앞의 설명과 엇갈려 보인다. 실은 시간 단위가 두 겹이다. 에이전트 자체는 길게 일하지만, 에이전트가 쪼갠 작업 하나하나는 짧다. 실행 환경을 평가할 때 이 두 가지 시간 단위를 모두 봐야 하는 이유다.

    투자자 구성도 같은 맥락에서 읽힌다. 엔젤 명단에는 결제, 전자상거래, 화상회의, 모니터링, AI 검색 분야 기업을 이끄는 인물들이 고루 들어 있다. 이들이 에이전트 실행 인프라에 개인 자금을 넣었다는 것까지가 사실이다. 이를 현업에서 이 문제를 병목으로 보는 시각이 있다는 방증으로 받아들이는 것은 해석의 영역에 속한다.

    운영체제부터 과금까지, 실행 환경을 거르는 다섯 기준

    Daytona를 포함해 에이전트용 실행 환경을 검토할 때는 용도, 규모, 상태, 보안, 비용 순서로 기준을 세우는 편이 효율적이다. 앞 단계에서 맞지 않는 후보가 먼저 걸러지기 때문이다. 아래 항목은 특정 제품의 사양표가 아니다. 어느 플랫폼에든 똑같이 던질 수 있는 질문 목록이다.

    ① 에이전트가 하는 일과 필요한 운영체제. 코드 실행과 데이터 처리가 대부분이라면 Linux 샌드박스로 충분한 경우가 많다. 데스크톱 프로그램을 조작하거나, 특정 운영체제에서만 돌아가는 빌드·테스트를 맡길 생각이라면 Windows나 macOS 환경이 있어야 한다. 에이전트가 모델 추론이나 이미지 처리를 직접 한다면 GPU까지 필요하다. 이 가운데 두 가지 이상이 필요해지는 순간, 한 플랫폼에서 함께 제공하는지가 운영 부담을 가른다. 계정과 네트워크 규칙, 접근 권한을 환경마다 따로 관리하면 설정 실수가 끼어들 틈도 그만큼 넓어진다.

    ② 기동 속도와 동시 실행 한도. 짧은 작업이 대량으로 쏟아지는 구조에서는 실행 환경을 띄우는 시간이 작업 시간보다 길어지는 순간 효율이 크게 떨어진다. 배보다 배꼽이 커지는 셈이다. 확인할 것은 세 가지. 새 샌드박스를 만들어 첫 명령을 실행하기까지 걸리는 시간, 계정당 동시에 띄울 수 있는 샌드박스 수, 그리고 한도를 넘었을 때 요청이 대기열로 가는지 바로 실패하는지다. 에이전트가 하위 작업을 예고 없이 늘린다는 앞의 설명을 떠올리면, 마지막 질문의 무게가 결코 가볍지 않다.

    ③ 상태 보존과 재개. 작업과 작업 사이에 파일 시스템이 유지되는지부터 본다. 실행 중인 환경을 멈췄다가 같은 상태로 다시 켤 수 있는지, 특정 시점의 상태를 저장해 여러 갈래로 복제할 수 있는지도 관건이다. 에이전트가 같은 출발점에서 여러 해법을 동시에 시험하는 방식으로 일한다면, 복제 기능이 있느냐 없느냐에 따라 체감 성능이 달라진다.

    ④ 격리 강도와 권한 통제. 같은 ‘샌드박스’ 간판을 달고 있어도 운영체제 커널을 공유하는 컨테이너 방식과 가상머신 단위로 떼어 내는 방식은 격리 강도가 다르다. 이름만 보고 판단해서는 안 되는 대목이다. 외부 인터넷 접속을 막거나 허용 목록으로 제한할 수 있는지, API 키 같은 비밀 정보를 어떤 경로로 넣는지, 작업이 끝난 뒤 디스크 데이터를 언제 지우는지도 함께 따져야 한다. 에이전트가 외부 웹페이지를 읽고 그 내용에 따라 명령을 실행하는 구조라면 한층 보수적으로 접근할 필요가 있다. 악의적인 지시가 섞여 들어오는 경우까지 가정하고 네트워크와 권한을 좁혀 두는 편이 안전하다.

    ⑤ 과금 단위와 비용 예측. 짧은 작업이 많을수록 최소 과금 단위가 청구서를 크게 좌우한다. 사용 시간을 어떤 단위로 끊어 계산하는지, 멈춰 둔 환경에도 요금이 붙는지, 저장 공간과 GPU를 따로 과금하는지 확인해야 한다. 에이전트는 사람이 예상하지 못한 만큼 작업을 불릴 수 있다. 계정 단위로 지출 상한을 걸 수 있는지가 단순한 편의 기능으로 끝나지 않는 이유다. 해외 서비스를 달러로 결제한다면 환율 변동도 비용 예측에 넣어 둬야 한다.

    다섯 기준 가운데 ②와 ⑤는 뿌리가 같다. ‘짧은 작업이 많다’는 하나의 구조가 한쪽에서는 기동 시간 문제로, 다른 쪽에서는 최소 과금 단위 문제로 드러난다. 두 항목을 따로 점검하기보다 한 묶음으로 계산하는 편이 맞다.

    한국 팀이라면 국외 이전 규정과 왕복 지연부터

    데이터가 국경을 넘는지. 에이전트 샌드박스에는 사내 소스코드와 내부 문서, 경우에 따라서는 고객 데이터까지 들어간다. 해외 지역에서 실행되는 서비스로 개인정보가 담긴 데이터를 넘긴다면 국외 이전에 관한 국내 규정을 먼저 검토해야 한다. 사내 보안 정책이 외부 실행 환경 사용을 제한하는 조직이라면, 도입 논의에 앞서 보안 심사부터 거치는 것이 순서다.

    네트워크 지연이 쌓이는지. 샌드박스가 한국에서 먼 지역에서 돈다면, 짧은 작업을 수없이 주고받는 구조 자체가 약점이 될 수 있다. 한국과 실행 지역 사이의 왕복 지연이 작업마다 더해지면서 전체 처리 시간이 늘어나는 식이다. 어디까지나 구조에서 끌어낸 추정이고, 실제 영향은 파일럿에서 측정해 확인해야 한다.

    Samsung Next의 참여가 곧 한국 지원을 뜻하지는 않는다. 이번 라운드에는 Qualcomm Ventures, Okta Ventures와 함께 삼성 계열 투자사인 Samsung Next가 이름을 올렸다. 투자 사실까지는 확인된다. 이것이 국내 서비스 연동이나 협력으로 이어질지는 별개의 문제다. 투자자 명단 한 줄만 보고 한국 지원이 강화되리라 기대하기는 이르다.

    확인된 것과 아직 불확실한 것

    확인된 것

    • Daytona Platforms는 뉴욕에 기반을 둔 스타트업이다. FirstMark Growth 주도로 6,000만 달러 시리즈 B를 유치했고, 기업가치는 10억 달러다.
    • 회사가 밝힌 누적 투자액은 9,100만 달러다. FirstMark는 앞선 2,400만 달러 시리즈 A도 주도했다.
    • 엔젤 투자자로 Patrick Collison(Stripe), Tobi Lütke(Shopify), Aravind Srinivas(Perplexity), Eric Yuan(Zoom), Olivier Pomel(Datadog), Adam D’Angelo(Quora, OpenAI 이사회 멤버), Brendan Foody(Mercor)가 참여했다. Qualcomm Ventures, Samsung Next, Okta Ventures도 이름을 올렸다.
    • Daytona는 장기 실행 에이전트를 위한 클라우드를 내세우며, 한 플랫폼에서 Linux·Windows·macOS 샌드박스와 GPU 등을 제공한다고 밝혔다.

    아직 불확실한 것

    • 샌드박스 기동 시간, 동시 실행 한도, 격리 방식 같은 기술 세부는 원문에 담기지 않았다.
    • 요금 체계와 과금 단위는 공개된 자료로 확인되지 않는다.
    • Daytona가 한국 지역 서버, 원화 결제, 한국어 지원을 제공하는지는 알려진 바가 없다.
    • 새 투자금의 쓰임새와 Samsung Next 등 기업 투자자와의 사업 협력 여부는 밝혀지지 않았다.
    • 에이전트 전용 클라우드가 독립된 시장으로 자리 잡을지, 대형 클라우드의 한 기능으로 흡수될지는 지켜봐야 할 대목이다.

    계약서에 서명하기 전, 파일럿으로 재 볼 다섯 항목

    기준을 세웠다면 남은 일은 측정이다. 실제 에이전트 작업 하나를 골라 짧은 파일럿을 돌려 보는 것이 가장 확실하다. 소개 자료에 적힌 수치보다 자기 작업 패턴에서 나온 측정값이 더 정확하기 때문이다. 기동 시간이나 동시 실행 한도 같은 기술 세부가 이번 원문에 빠져 있다는 점을 감안하면, 파일럿의 비중은 더 커질 수밖에 없다.

    • 첫 명령까지 걸리는 시간: 새 샌드박스 생성을 요청한 시점부터 첫 명령의 결과가 돌아올 때까지를 여러 번 잰다. 평균만 보지 말고 최댓값도 함께 본다.
    • 동시 실행 내구성: 평소 예상하는 동시 작업 수의 몇 배를 한꺼번에 띄워, 실패율과 대기 시간을 기록한다.
    • 상태 복원: 패키지를 설치하고 파일을 만든 뒤 환경을 멈춘다. 다시 켰을 때 같은 상태로 돌아오는지 확인한다.
    • 네트워크 차단 실효성: 허용 목록 밖의 주소로 접속을 시도해, 실제로 막히는지 시험한다.
    • 비용 환산: 파일럿 사용량을 실제 운영 규모로 늘려 월 비용을 추정하고, 지출 상한 설정이 제대로 작동하는지 확인한다.

    작업이 짧고 잦아질수록 환경을 띄우고 격리하는 비용은 계속 쌓인다. 에이전트가 맡는 일이 늘어날수록 병목이 모델의 답변 품질에서 실행 환경의 속도와 안전성 쪽으로 옮겨 갈 가능성이 크다고 보는 이유다. Daytona에 붙은 10억 달러라는 가격표는 투자자들이 이 변화에 먼저 값을 매긴 결과로 볼 수 있다. 여기까지는 해석이다. 어떤 플랫폼이 맞는지는 기업가치가 아니라 팀의 작업 패턴이 결정하고, 그 답은 파일럿에서 나온 숫자가 준다.

    출처: TechCrunch

  • 방치된 앱 업데이터 끄는 법, 윈도우·맥·안드로이드

    방치된 앱 업데이터 끄는 법, 윈도우·맥·안드로이드

    3줄 요약

    • 개발이 끝난 앱이라도 업데이터는 백그라운드 서비스로 남아 주인 없는 서버에 계속 접속할 수 있어요. 누가 그 도메인을 차지하느냐에 따라 내 PC가 봇넷의 일원이 될 수도 있어요.
    • Popcorn Time 포크인 Time4Popcorn의 업데이터는 암호화되지 않은 HTTP와 낡은 크롬 엔진으로 돌고 있었어요. Eye Security는 도메인을 직접 등록해서 업데이터를 스스로 끄게 하는 업데이트를 200만 건 넘게 내려보냈어요.
    • 안 쓰는 앱의 업데이터는 운영체제마다 찾는 곳이 달라요. 윈도우는 services.msc와 작업 스케줄러, 맥은 로그인 항목과 LaunchAgents 폴더, 안드로이드는 앱 목록에서 찾아 끄고 지우면 돼요.

    앱 개발은 여러 해 전에 멈췄는데 업데이터는 멀쩡히 살아 있었어요. 토렌트 영상을 넷플릭스처럼 바로 틀어 주던 Popcorn Time의 포크, Time4Popcorn 얘기예요. 이 앱의 업데이터는 윈도우, macOS, 안드로이드 기기에 남아 버려진 도메인에 꼬박꼬박 접속하고 있었어요. 보안 업체 Eye Security는 이 업데이터를 ‘끄려고’ 업데이트를 직접 만들어 내려보냈고, 다운로드는 200만 건을 넘겼어요. 기능을 고치는 업데이트가 아니라 끄는 업데이트가 200만 건. 다운로드 횟수가 곧 기기 수는 아니지만, 이 업데이터가 아직 얼마나 많은 곳에서 돌고 있었는지 짐작하기엔 충분한 숫자예요.

    해적판 앱 하나의 일로 넘기기 어려운 이유가 있어요. 예전에 깔아 놓고 잊은 프로그램의 업데이터가 서비스나 예약 작업 형태로 여러분 PC에도 남아 있을 수 있거든요. 순서는 이렇게 갈게요. 방치된 업데이터가 왜 위험한지 먼저 보고, 그다음 윈도우·맥·안드로이드에서 어디를 열어야 찾아서 끌 수 있는지.

    도메인 하나만 잡으면 업데이터 전체가 손에 들어온다

    데스크톱 앱 상당수는 본체 말고도 ‘업데이터’라는 작은 프로그램을 하나 더 깔아요. 윈도우에서는 부팅과 함께 켜지는 서비스나 예약 작업으로, 맥에서는 로그인할 때 뜨는 백그라운드 항목으로 등록되는 경우가 많죠. 앱 창을 한 번도 안 열어도 업데이터는 정해진 주소에 접속해 새 버전이 있는지 묻고, 있으면 받아서 설치해요. 개발자가 관리하는 동안에는 이만큼 편한 기능도 드물어요.

    탈은 개발이 끝난 뒤에 나요. 개발자가 도메인 갱신을 멈추면 그 주소는 누구나 새로 등록할 수 있는 상태가 되거든요. 업데이터는 그런 사정을 모르고 같은 주소에 계속 질문을 보내요. 새 주인이 “이 파일을 설치해”라고 답하면? 평소 하던 대로 따르는 거죠. Eye Security가 Time4Popcorn 업데이터에서 확인한 위험 요소는 크게 세 가지였어요. 하나씩 떼어 놓고 봐도 문제인데, 셋이 한 프로그램 안에 한꺼번에 겹쳐 있었다는 게 더 고약해요.

    • 주인 없는 도메인: 업데이터가 접속하는 도메인이 버려진 상태였어요. 그중 하나만 차지해도 업데이터가 깔린 기기 전체에 명령을 내릴 수 있어요. 봇넷을 꾸리는 데 별도의 해킹이 거의 필요 없는 셈이죠. 공격자 입장에선 도메인 등록이 사실상 침투 과정의 전부예요.
    • 암호화되지 않은 HTTP 통신: 통신이 암호화돼 있지 않으면 중간에서 내용을 바꿔치기할 틈이 생겨요. 연구진 설명으로는 도메인을 차지하지 않아도 중간자 공격으로 특정 기기만 골라 노릴 수 있었어요. 첫 번째가 ‘전체를 한 번에’ 잡는 길이라면, 이쪽은 ‘한 대만 정확히’ 노리는 길이에요.
    • 낡은 크롬 엔진: 이 소프트웨어는 오래되고 보안상 취약한 버전의 크롬 위에서 돌고 있었어요. 앱 안에 브라우저 엔진을 통째로 넣어 만든 프로그램은 PC에 깔린 크롬과 따로 움직여요. PC의 크롬을 아무리 최신으로 유지해도 앱 속 엔진에 알려진 취약점은 그대로 열려 있다는 얘기예요.

    Eye Security의 Niels Teusink는 이 업데이터로 사실상 어떤 소프트웨어든 전체 권한으로 설치하고 실행할 수 있었다고 설명해요. 감시 용도로도 쓸 수 있었고요. 업데이터가 접속해 오는 기기만 봐도 누가 이 소프트웨어를 쓰는지 알아낼 수 있으니까요. 하나 더 짚어 둘게요. 윈도우 서비스는 일반 사용자보다 높은 권한의 시스템 계정으로 도는 경우가 많아요. 이런 업데이터가 뚫리면 피해가 앱 하나에서 끝나지 않는다는 점, 꼭 기억해 두세요.

    공격자보다 한발 먼저 도메인을 등록한 연구진

    연구진이 고른 방법은 단순해요. 공격자가 할 법한 일을 먼저 해 버리는 것. 버려진 도메인 하나를 직접 등록하고, 거기서 ‘스스로 꺼지라’는 내용의 업데이트를 내려보냈어요. 동의 없이 남의 컴퓨터에서 코드를 실행시키는 방식이라 윤리적 논란이 있다는 건 연구진도 알고 있었어요. 연구진 입장은 남은 선택지가 “아무것도 하지 않는 것”뿐이었다는 거예요. 업데이트 과정은 어차피 아무 기능도 하지 않으면서 사용자에게 위험만 만들고 있었다는 거죠. 수긍이 가는 논리예요. 손을 놓고 있으면 그 도메인은 언제든 다른 누군가가 등록할 수 있는 상태로 남으니까요. 전례도 있어요. FBI가 70만 대 넘는 컴퓨터를 감염시킨 봇넷을 스스로 제거하게 만든 사례처럼, 감염된 기기를 원격으로 ‘청소’하는 방식은 이전에도 쓰인 적이 있어요.

    운영체제별 결과는 꽤 달랐어요. 표에서 ‘그대로 남은 것’ 칸을 눈여겨보세요. 연구진이 대신 처리해 준 일과 사용자가 직접 치워야 할 일이 거기서 갈려요.

    운영체제 연구진 업데이트가 한 일 그대로 남은 것 사용자가 직접 할 일
    윈도우 서비스 제어 관리자(Service Control Manager)로 업데이터 서비스를 중지하고 비활성화 파일은 하나도 지우지 않음 프로그램 제거, 서비스 상태 확인
    macOS 셸 스크립트로 명령을 실행해 업데이트 프로세스가 시작되지 못하게 차단 앱 본체(지웠다는 설명 없음) 앱과 백그라운드 항목 삭제
    안드로이드 조치하지 않음(업데이트를 설치하려면 사용자가 직접 조작해야 해서) 업데이터를 포함한 앱 전체 앱 직접 삭제

    중간에 웃지 못할 일도 있었어요. 연구진의 업데이트 파일이 VirusTotal에 올라가면서 보안 프로그램들이 이걸 악성코드로 판정해 막기 시작한 거예요. 위험한 업데이터는 멀쩡히 돌고, 그걸 끄려는 업데이트만 차단되는 상황. 연구진은 업데이트를 고쳐야 했어요. 백신 입장에서는 ‘모르는 서버가 보낸, 서비스를 건드리는 실행 파일’이라 선의인지 악의인지 가리기 어려웠던 것으로 보여요. 백신을 탓하기도 애매한 대목이에요. 하는 동작만 놓고 보면 악성코드와 다를 게 별로 없으니까요. 연구진은 업데이트 다운로드가 200만 건을 넘긴 뒤 배포를 멈췄고, 쓰던 도메인은 웹 보안 비영리단체인 Shadowserver Foundation에 넘겼어요.

    윈도우는 services.msc와 작업 스케줄러 두 곳을 본다

    연구진이 윈도우에서 한 일, 그러니까 서비스를 멈추고 ‘사용 안 함’으로 바꾸는 건 손으로도 똑같이 할 수 있어요. 아래 경로는 윈도우 11 기준이고 윈도우 10 표기는 괄호에 적었어요. 운영체제 업데이트를 거치며 표기가 조금씩 바뀌기도 하니, 이름이 딱 맞지 않으면 비슷한 항목을 찾아보면 돼요.

    1. 설치된 앱부터 훑기: 설정 → 앱 → 설치된 앱(윈도우 10: 설정 → 앱 → 앱 및 기능)으로 가세요. 정렬을 ‘설치 날짜’로 바꾸면 오래전에 깔고 잊은 프로그램이 아래쪽에 모여요. 이름이 기억나지 않거나 게시자가 비어 있는 프로그램은 따로 메모해 두세요. 다음 단계에서 서비스 목록과 맞춰 볼 때 쓸 거예요.
    2. 서비스 확인: Win+R을 누르고 services.msc를 입력하세요. 목록에서 앱 이름이나 ‘Update’, ‘Updater’가 들어간 항목을 더블클릭하면 ‘일반’ 탭의 ‘실행 파일 경로’에 어느 프로그램 소속인지 나와요. 지울 앱의 업데이터가 맞다면 ‘시작 유형’을 ‘사용 안 함’으로 바꾸고 ‘중지’, ‘확인’ 순서로 누르면 끝.
    3. 경로를 한 번에 보기: 서비스를 하나씩 열어 보기 번거로우면 PowerShell에서 Get-CimInstance Win32_Service | Where-Object StartMode -eq 'Auto' | Select-Object Name, State, PathName을 실행해 보세요. 자동으로 시작되는 서비스와 실행 파일 경로가 한 화면에 나와요. 볼 건 경로예요. C:\Windows\System32가 아니라 낯선 프로그램 폴더나 사용자 폴더 아래에 있는 항목부터 확인하면 돼요.
    4. 명령어로 끄기: 관리자 권한 PowerShell에서 sc.exe stop 서비스이름을 실행한 다음 sc.exe config 서비스이름 start= disabled를 실행하세요. 여기서 두 군데가 자주 걸려요. 하나, PowerShell에서 그냥 sc라고 쓰면 파일에 내용을 쓰는 Set-Content의 별칭으로 처리되니 꼭 sc.exe로 써야 해요. 둘, start= 뒤에는 공백을 한 칸 넣어야 해요. 붙여 쓰면 명령이 먹히지 않아요.
    5. 작업 스케줄러: 서비스만 보고 끝내면 반쪽짜리 점검이에요. 서비스 대신 예약 작업으로 업데이트를 확인하는 프로그램도 많거든요. 시작 메뉴에서 ‘작업 스케줄러’를 검색해 열고, 왼쪽 ‘작업 스케줄러 라이브러리’에서 앱 이름이 들어간 작업을 골라 오른쪽 ‘사용 안 함’을 누르면 돼요.
    6. 시작 앱: Ctrl+Shift+Esc로 작업 관리자를 열고 ‘시작 앱’(윈도우 10: ‘시작 프로그램’ 탭)에서 모르는 항목을 ‘사용 안 함’으로 바꾸세요.

    주의할 점이 하나 있어요. 모르는 서비스라고 전부 꺼 버리면 그래픽 드라이버나 보안 프로그램이 고장 날 수 있어요. 경로로 소속 확인, 끄기, 재부팅 후 며칠 사용, 문제없으면 앱 제거. 이 순서가 안전해요. 앱을 지우면 딸린 서비스도 대개 같이 지워지는데, 서비스 목록에 여전히 남아 있다면 위 방법으로 꺼 두면 돼요.

    맥은 LaunchAgents까지, 안드로이드는 직접 지우는 수밖에

    맥에서 연구진은 업데이트 프로세스가 아예 시작되지 못하게 막았어요. 손으로 할 일도 방향은 같아요. 로그인할 때 저절로 뜨는 항목을 찾아서 끄는 것.

    1. 로그인 항목: 시스템 설정 → 일반 → 로그인 항목(macOS 15 이상: ‘로그인 항목 및 확장 프로그램’, macOS 12 이하: 시스템 환경설정 → 사용자 및 그룹 → 로그인 항목)으로 가세요. 아래쪽 ‘백그라운드에서 허용’ 목록에서 안 쓰는 앱의 스위치를 끄면 돼요.
    2. LaunchAgents 폴더: Finder → 이동 → 폴더로 이동(⇧⌘G)에서 ~/Library/LaunchAgents, /Library/LaunchAgents, /Library/LaunchDaemons를 차례로 열어 보세요. 파일 이름에 앱 이름이나 제작사 이름이 들어간 .plist 파일이 자동 실행 설정이에요. 스위치만 끄는 1번보다 한 단계 더 깊이 들어가는 셈이죠.
    3. 터미널로 내리기: 먼저 launchctl list | grep -i 앱이름으로 돌고 있는지 확인하세요. 사용자 폴더에 있는 항목은 launchctl bootout gui/$(id -u) ~/Library/LaunchAgents/파일이름.plist로, 시스템 폴더에 있는 항목은 sudo launchctl bootout system /Library/LaunchDaemons/파일이름.plist로 내리면 돼요. /Library/LaunchAgents에 있는 항목은 로그인한 사용자 쪽에서 실행되니 첫 번째 명령에서 경로만 바꿔 쓰면 되고요. 그다음 plist 파일을 휴지통으로 옮기세요.
    4. 앱 본체 삭제: 응용 프로그램 폴더에서 앱을 휴지통으로 옮기세요. 응용 프로그램 → 유틸리티 → 활성 상태 보기에서 같은 이름의 프로세스가 남아 있는지도 한 번 더 확인해 보고요.

    안드로이드는 연구진이 아예 손대지 못한 영역이에요. 업데이트를 설치하려면 사용자가 직접 승인해야 해서 원격으로 끄는 방법이 통하지 않았거든요. 폰에 남아 있는 앱은 누가 대신 치워 주지 않는다는 뜻이에요. 사용자가 직접 지워야만 없어져요.

    1. 설정 → 애플리케이션(순정 안드로이드 계열: 설정 → 앱 → 모든 앱 보기) → 해당 앱 → 삭제.
    2. 설정 → 애플리케이션 → 오른쪽 위 ⋮ → 특별한 접근 → 출처를 알 수 없는 앱 설치로 가세요. 삼성 갤럭시 기준 경로이고, One UI 버전에 따라 ⋮ 메뉴 없이 목록에 바로 보이기도 해요. 순정 계열은 설정 → 앱 → 특별한 앱 액세스 → 알 수 없는 앱 설치예요. 여기서 파일 관리자나 브라우저에 준 설치 권한을 꺼 두세요. 앱을 지워도 이 권한이 열려 있으면 같은 경로로 또 들어올 수 있으니까요.
    3. Play 스토어 → 프로필 아이콘 → Play 프로텍트 → 스캔을 눌러 스토어 밖에서 설치한 앱까지 한 번 검사하세요.

    Popcorn Time을 깔았던 PC, 서비스는 꺼져도 파일은 남는다

    Popcorn Time은 ‘해적판의 넷플릭스’로 불렸고, 개발이 멈춘 뒤에도 수백만 대 기기에 설치된 채 남아 있어요. 업데이터가 돌던 기기도 세계 곳곳에 퍼져 있었고요. 그중 국내 기기가 몇 대였는지는 알려지지 않았어요. 숫자를 모른다고 안심할 일은 아니에요. 해외 토렌트 스트리밍 앱을 깔아 본 적이 있다면 점검 대상이라고 생각하는 게 맞아요.

    • 윈도우에서 연구진 업데이트를 받았다면 업데이터 서비스만 꺼졌을 뿐 파일은 지워지지 않았어요. 프로그램 목록에 앱이 그대로 있다면 직접 제거해야 해요. 파일이 남아 있으니 앱 속 낡은 크롬 엔진도 그대로 있다고 보는 게 자연스러워요(추측). 앱을 다시 실행하면 그 엔진도 다시 돌 거예요.
    • 백신이 연구진 업데이트를 막았을 수도 있어요. 수정 전 업데이트가 악성코드로 분류돼 차단된 기기라면 업데이터가 아직 켜져 있을 수 있어요(추측). 백신 기록에 관련 파일을 차단한 이력이 보이면 서비스 목록부터 열어 보세요.
    • 안드로이드 폰은 아무 조치도 받지 않았어요. 스토어 밖에서 APK 파일로 앱을 설치한 적이 있다면 앱 목록부터 확인하세요.
    • 해적판 앱만의 문제도 아니에요. 한국 PC에는 은행·공공기관 사이트를 쓰면서 깔린 보안 프로그램이나 예전 업무용 유틸리티처럼 서비스로 상주하는 프로그램이 많이 쌓이는 편이에요. 이런 프로그램이 위험하다는 뜻은 아니에요. 더는 쓰지 않는 사이트용이라면 같은 방법으로 정리해 두는 편이 공격받을 틈을 줄이는 길이라는 얘기예요.

    확인된 것과 아직 불확실한 것

    확인된 것

    • Time4Popcorn 업데이터는 윈도우·macOS·안드로이드 기기에서 동작하면서 버려진 도메인에 암호화되지 않은 HTTP로 접속하고 있었다.
    • 이 소프트웨어는 오래되고 보안상 취약한 버전의 크롬으로 돌고 있었다.
    • 연구진은 도메인 하나를 등록해 업데이터를 스스로 비활성화하는 업데이트를 보냈다. 윈도우에서는 파일을 지우지 않고 서비스만 멈추고 비활성화했고, macOS에서는 업데이트 프로세스가 시작되지 못하게 막았다.
    • 안드로이드는 업데이트를 설치하려면 사용자가 직접 조작해야 해서 조치 대상에서 빠졌다.
    • VirusTotal에 업로드된 뒤 보안 프로그램들이 연구진 업데이트를 악성으로 분류해서 연구진이 업데이트를 고쳐야 했다.
    • 업데이트 다운로드가 200만 건을 넘긴 뒤 배포를 멈췄고, 쓰던 도메인은 Shadowserver Foundation에 넘어갔다.

    아직 불확실한 것

    • 실제로 위험에 노출됐던 기기 수. 200만 건은 다운로드 횟수라서 기기 수와 같다고 볼 수 없다.
    • 업데이터가 접속하던 도메인이 전부 확보됐는지. 원문에는 연구진이 도메인 하나를 등록했고, 쓰던 도메인을 넘겼다는 내용만 있다.
    • 연구진보다 먼저 누군가 이 업데이터를 악용한 적이 있는지.
    • 백신 차단 때문에 비활성화 업데이트를 받지 못한 기기가 얼마나 되는지.

    남길 앱과 지울 앱을 가르는 네 가지 기준

    방치된 업데이터 문제는 ‘이 프로그램을 아직 누가 관리하고 있나’라는 질문 하나로 모여요. 점검하다가 지울지 말지 애매한 프로그램이 나오면 아래 네 가지를 차례로 따져 보세요.

    • 마지막 배포가 언제였나: 공식 사이트나 배포 페이지에서 마지막 버전이 언제 나왔는지 확인하세요. 몇 년째 새 버전이 없다면 업데이터도 관리되지 않고 있을 가능성이 커요.
    • 공식 도메인이 살아 있나: 앱에 적힌 홈페이지 주소에 들어갔는데 도메인 판매 페이지나 전혀 엉뚱한 내용이 뜬다면 위험 신호예요. Time4Popcorn처럼 업데이터가 접속하는 주소도 이미 남의 손에 넘어갔을 수 있어요.
    • 디지털 서명이 있나: 윈도우에서는 실행 파일을 오른쪽 클릭 → 속성 → ‘디지털 서명’ 탭에서 서명한 곳을 확인할 수 있어요. 이 탭이 아예 없으면 서명되지 않은 파일이에요. 맥에서는 터미널에서 spctl -a -vv /Applications/앱이름.app을 실행하면 승인 여부와 출처가 나와요.
    • 업데이터를 꺼도 불편한 게 없나: 개발이 끝난 앱의 업데이터는 받아 올 새 버전 자체가 없어요. Eye Security 연구진 말대로 기능은 없고 위험만 남은 상태라면 망설일 이유가 없어요. 끄세요.

    거창한 보안 도구까지 갈 필요는 없어요. 몇 달에 한 번 ‘설치된 앱’을 설치 날짜순으로 정렬해서 아래쪽을 훑어보는 것. 그 습관만 들여도 주인 잃은 업데이터가 PC에 몇 년씩 눌러앉는 일은 대부분 막을 수 있어요.

    출처: The Verge

  • 동료 평가 없던 테라노스, 프리프린트 읽는 법

    동료 평가 없던 테라노스, 프리프린트 읽는 법

    3줄 요약

    • 테라노스에서 가장 먼저 드러난 경고 신호는 동료 평가를 거쳐 공개된 데이터가 부족했다는 점이다. 연구의 상당 부분이 ‘영업 비밀’로 분류돼 외부에서 검증하기 어려웠다.
    • 동료 평가도 만능은 아니다. 2023년 한 해 동안 철회된 연구 논문만 1만 건이다.
    • 프리프린트, 기업 보도자료, SNS, 상당수 학회 발표는 동료 평가를 거치지 않는다. 주장을 믿기 전에 어디서 나온 정보인지부터 확인해야 한다.

    피 몇 방울이면 100가지가 넘는 진단 검사를 할 수 있다. 미국 진단 기업 테라노스는 이 약속 하나로 돈을 끌어모았다. 투자금은 수억 달러에 이르렀고, 2014년에는 기업 가치가 90억 달러로 평가됐다. 포브스는 창업자 엘리자베스 홈즈를 최연소 자수성가 여성 억만장자로 꼽았다. 당시 30세였던 홈즈의 자산은 45억 달러로 평가됐다.

    결론부터 말하면 경고 신호는 처음부터 있었다. 그 거창한 약속을 뒷받침할 데이터, 그중에서도 동료 평가를 거쳐 공개된 데이터가 부족했다. 기업 가치 90억 달러와 검증된 데이터 사이의 간극. 테라노스 사건은 결국 거기서 시작해 거기서 무너졌다.

    이 글은 사기 사건의 전말보다 사건이 남긴 질문에 무게를 둔다. 과학·바이오 기술 주장을 접했을 때 무엇을 근거로, 얼마나 믿어야 하는가. 동료 평가와 프리프린트, 논문 철회가 각각 무엇인지 짚고, 정보가 어디서 나왔느냐에 따라 검증 수준이 얼마나 달라지는지 차례로 살펴본다.

    90억 달러 기업이 사기 사건으로 끝나기까지

    테라노스 이야기는 이미 여러 번 다른 형식으로 만들어졌다. 책 ‘배드 블러드(Bad Blood)’가 있고, 훌루 드라마 ‘드롭아웃(The Dropout)’이 있다. 여기에 다큐멘터리 ‘You Can See Everything’이 더해졌는데, 수감 직전 홈즈가 집에서 보낸 생활을 담았다. 연도별로 추리면 흐름은 이렇다.

    • 2003년: 19세 홈즈가 스탠퍼드대를 중퇴하고, 직접 세운 진단 기업 테라노스 경영에 나섬
    • 2014년: 기업 가치 90억 달러로 평가
    • 2015년: 월스트리트저널 조사에서 전 직원들이 검사가 제대로 작동하지 않는다고 문제 제기. 기기가 제대로 테스트되지 않았고, 혈액 샘플을 다른 회사 장비로 분석했다는 증언도 나옴
    • 2016년: 홈즈의 자산 평가가 0달러로 떨어짐. 정부 보고서는 회사 연구소가 기본 절차조차 제대로 수행하지 못했고, 결과가 틀릴 수 있다는 것을 알면서도 환자에게 전달했다고 지적
    • 2018년: 테라노스, 홈즈, 전 사장 라메시 발와니가 ‘대규모 사기’ 혐의로 기소됨
    • 2022년: 홈즈가 투자자를 속인 사기 혐의로 11년 남짓의 징역형을 선고받음
    • 2023년 5월: 수감 시작

    2003년 창업부터 2015년 월스트리트저널 보도가 나오기까지, 투자자와 언론은 물론 회사 안의 직원들까지 몇 년 동안 설득당했다. 기술이 실제로 작동하는지 바깥에서 확인할 방법이 마땅치 않았던 탓이 커 보인다. 무너지는 속도는 정반대였다. 보도가 나오고 바로 이듬해인 2016년, 홈즈의 자산 평가는 0달러가 됐다.

    영업 비밀 뒤에 가려진 데이터, 테라노스가 건너뛴 동료 평가

    동료 평가(peer review)는 연구 결과를 학술지에 싣기 전에 같은 분야 전문가에게 먼저 검토를 받는 절차다. 대략 이런 식으로 돌아간다.

    • 검토는 대개 익명의 해당 분야 전문가가 맡는다
    • 미심쩍은 결론은 지적하고, 불분명한 대목은 설명을 요구한다
    • 수정과 보완을 거쳐야 게재되므로 시간이 오래 걸린다

    번거롭지만 목적은 분명하다. 출판 과정의 엄밀성을 높이는 것. 동료 평가를 통과한 논문이라면 적어도 다른 전문가의 검토를 한 번은 거쳤다는 뜻이 된다.

    테라노스에는 그 한 번이 없었다. 동료 평가를 거쳐 공개된 데이터가 부족했고, 연구의 상당 부분은 영업 비밀로 묶였다. 지나고 나서 돌아보면 경고 신호는 네 가지로 추려진다.

    • 데이터 비공개: 핵심 연구가 영업 비밀로 묶여 외부 검증이 어려움
    • 검증 부족: 자사 기기를 제대로 테스트하지 않았다는 내부 증언
    • 다른 회사 장비 사용: 자사 기술 대신 다른 회사 장비로 샘플을 분석했다는 증언
    • 기본 절차 부실: 연구소가 기본 절차도 제대로 수행하지 못했다는 정부 보고서

    네 가지를 나란히 놓으면 눈에 띄는 점이 있다. 나머지 세 신호는 내부 증언과 정부 보고서가 나온 뒤에야 바깥에 알려졌다. 첫 번째 신호인 데이터 비공개가 나머지 셋을 가려 준 셈이다.

    오해는 없어야 한다. 영업 비밀 자체는 기업이 기술을 지키는 정당한 수단이다. 문제가 되는 건 주장의 크기에 비해 공개된 증거가 적을 때다. ‘피 몇 방울로 100가지 이상 검사’ 정도의 주장이라면, 그만큼 많은 외부 검증이 따라붙어야 한다. 주장이 클수록 요구되는 증거도 커진다.

    동료 평가를 통과해도 철회된다, 2023년에만 1만 건

    동료 평가를 거쳤다고 마음 놓을 수는 없다. 과학자도 실수를 한다. 때로는 결과를 일부러 비틀기도 한다. 아래 문제들은 동료 평가 단계에서 걸러지기도 하지만, 늘 걸러지는 건 아니다.

    • 과장: 결과를 부풀리거나 실제보다 큰 의미를 부여함
    • 데이터 조작: 가설에 맞도록 데이터를 손봄
    • 재현 실패: 다른 연구실에서 같은 결과가 나오지 않고, 이후 쌓인 증거 앞에서 결론이 무너짐

    그래서 학술지에는 출판 뒤에 오류를 바로잡는 장치가 따로 있다. 크게 두 가지다.

    • 정정(correction): 논문의 오류 일부를 바로잡는 공지. 결국 정정이 붙는 논문이 적지 않다
    • 철회(retraction): 논문 자체를 무효로 돌리는 조치. 2023년 한 해 동안 연구 논문 1만 건이 철회됐다

    1만 건이라는 숫자는 불안하게 들린다. 뒤집어 보면 과학계가 스스로 오류를 찾아내 바로잡은 결과이기도 하다. 여기서 독자가 가져갈 것은 ‘논문도 못 믿겠다’는 냉소가 아니다. 인용된 논문이 나중에 정정되거나 철회되지 않았는지 한 번 확인해 보는 습관이다. 방법은 간단하다.

    1. 논문이 실린 학술지 페이지로 이동
    2. 제목 근처나 본문 위쪽에 Retracted, Retraction, Correction 표시가 있는지 확인
    3. 검색창에 논문 제목과 retraction을 함께 입력해 철회 공지가 따로 있는지 검색

    재현 여부도 같이 봐야 한다. 한 연구실이 낸 결과 한 건과, 다른 연구실에서 같은 결과를 얻은 후속 연구가 뒤따른 결과는 무게가 다르다. 믿을 만한 쪽은 당연히 후자다.

    학술지 밖으로 퍼지는 과학 정보, 출처마다 검증 수준이 다르다

    과학 정보가 학술지로만 퍼지는 것은 아니다. 학술지에 투고하기 전에 프리프린트 서버에 연구를 먼저 올리는 과학자가 많다. arXiv, medRxiv, bioRxiv가 대표적이다. 연구를 빠르게 공유할 수 있다는 장점이 있지만, 동료 평가는 거치지 않는다. 기업 보도자료와 SNS, 학회 발표까지 한데 놓고 비교하면 다음과 같다.

    정보 출처 동료 평가 읽을 때 확인할 점
    학술지 게재 논문 거침 정정·철회 이력, 다른 연구실에서 재현됐는지
    프리프린트(arXiv, medRxiv, bioRxiv) 거치지 않음 나중에 학술지에 실렸는지, 다른 전문가의 반응
    기업 보도자료 거치지 않음 근거 데이터 공개 여부, 발표 주체의 이해관계
    SNS 게시물 거치지 않음 원 출처(논문·데이터) 링크가 있는지
    학회 발표 상당수 거치지 않음 나중에 논문으로 발표됐는지
    인터뷰·대화 해당 없음 발언을 뒷받침할 자료가 있는지
    영업 비밀로 분류된 기업 연구 외부 검증 어려움 주장의 크기에 걸맞은 증거가 공개됐는지

    표에서 ‘거침’이라고 적힌 칸은 학술지 게재 논문 한 줄뿐이다. 나머지 여섯 줄은 동료 평가를 거치지 않았거나, 애초에 해당 사항이 없거나, 외부에서 검증하기 어려운 정보다. 테라노스의 연구는 맨 아래 줄에 들어간다.

    그렇다고 프리프린트가 나쁜 정보라는 뜻은 아니다. ‘아직 검증 전’이라는 꼬리표를 붙이고 읽으면 된다. 프리프린트인지 가려내는 순서는 이렇다.

    1. 기사나 SNS에 걸린 링크를 눌러 주소가 arxiv.org, medrxiv.org, biorxiv.org인지 확인
    2. medRxiv·bioRxiv 논문 페이지 위쪽에서 ‘동료 평가를 거치지 않은 프리프린트’라는 취지의 안내 문구 확인
    3. 같은 페이지에 Now published in(학술지명) 링크가 있는지 확인. 있으면 이후 학술지에 실린 논문이다 (표시 위치는 확실하지 않음)
    4. arXiv는 초록 페이지의 Journal reference 항목 확인. 저자가 직접 입력하는 항목이므로, 비어 있다고 해서 학술지에 실리지 않았다고 단정할 수는 없다

    4번처럼 저자 입력에 기대는 항목은 다루기가 까다롭다. 적혀 있으면 참고하고, 비어 있으면 판단을 미루는 정도가 적당하다. 학술지 쪽에서 해당 논문을 직접 찾아보는 편이 확실하다.

    ‘연구진이 밝혔다’로 끝나는 번역 기사, 출처 유형부터 가려 읽기

    테라노스는 미국에서 벌어진 일이다. 하지만 한국 사용자가 과학·의료 정보를 접하는 경로에도 같은 빈틈이 있다. 미리 밝혀 두면, 아래 내용은 원문에서 확인된 사실이 아니라 앞의 개념을 국내 상황에 적용해 본 판단이다.

    • 번역 기사에서는 출처 유형이 흐려진다: 해외 연구를 소개하는 기사가 ‘연구진이 밝혔다’고만 쓰면, 그 결과가 학술지 논문인지 프리프린트인지 보도자료인지 독자로서는 구분하기 어렵다. 기사에 걸린 원문 링크나 논문 제목을 찾아 앞의 표에 대입해 보자.
    • 바이오 기업의 성과 발표는 보도자료일 수 있다: 기업이 직접 낸 발표는 동료 평가를 거치지 않은 정보다. 투자 판단에 쓸 생각이라면 학술지 논문이나 공개 데이터가 함께 제시됐는지부터 확인하는 편이 안전하다. 테라노스 투자자들이 놓친 지점도 결국 이것이었다.
    • 진단 기기·검사 키트는 허가 여부가 먼저다: 국내에서 질병 진단 목적으로 판매되는 의료기기는 식품의약품안전처의 허가·인증·신고 대상이다. 광고 문구에 끌리기 전에 이 절차를 거쳤는지부터 본다.

    의료기기 허가 정보는 다음 순서로 조회할 수 있다.

    1. 식품의약품안전처 의료기기 전자민원창구 누리집 접속
    2. 정보 검색 → 제품 정보 조회 메뉴로 이동 (메뉴명 불확실)
    3. 제품명이나 업체명을 입력한 뒤 허가·인증 번호와 사용 목적 확인

    확인된 것과 아직 불확실한 것

    확인된 것

    • 홈즈는 투자자를 속인 사기 혐의로 11년 남짓의 징역형을 선고받았고, 2023년 5월 수감됐다
    • 2016년 정부 보고서는 테라노스 연구소의 기본 절차 문제와, 틀릴 수 있는 결과를 환자에게 전달한 사실을 지적했다
    • 테라노스는 연구의 상당 부분을 영업 비밀로 분류했고, 동료 평가를 거쳐 공개된 데이터가 부족했다
    • 2023년 한 해 동안 철회된 연구 논문은 1만 건이다
    • 프리프린트 서버, 기업 보도자료, SNS 게시물, 상당수 학회 발표는 동료 평가를 거치지 않는다

    아직 불확실한 것

    • 다큐멘터리가 책·드라마·기존 보도에 없던 새 사실을 담았는지: 리뷰를 쓴 기자가 스포일러를 피하려고 구체적으로 밝히지 않았다
    • 다큐멘터리에서 홈즈가 자신을 ‘독특한 사고방식을 지닌 정직한 사람’으로 그리려는 시도가 관객에게 받아들여질지
    • 철회된 논문 1만 건 가운데 부정행위와 단순 오류가 각각 얼마인지: 원문에는 전체 건수만 나온다
    • 프리프린트 가운데 나중에 학술지에 실리는 비율: 원문에 근거 자료가 없다

    기자들도 홈즈에게 설득됐다, 증거를 가려내는 다섯 가지 질문

    테라노스를 가까이서 지켜본 사람들도 예외가 아니었다. 취재한 기자들조차 나중에 자기 판단을 뒤집었다.

    • 포춘의 로저 팔로프는 홈즈와 회사를 소개한 지 1년 뒤인 2015년, “내가 망쳤다(I blew it)”고 돌아봤다
    • 2015년 홈즈를 인터뷰한 STAT의 매슈 허퍼는 “그녀가 내게 거짓말을 했다고 꽤 확신한다”고 썼다
    • 제품이 작동하지 않는다는 것을 알고 있던 내부고발자 타일러 슐츠도 2022년, 홈즈와 5분만 이야기하면 자기 일이 세상을 바꾸고 있다고 느끼며 자리를 떴을 것이라고 말했다

    MIT 테크놀로지 리뷰의 바이오 담당 기자도 비슷한 고백을 내놨다. 다큐멘터리를 보다가 극장 좌석에서 홈즈에게 설득되는 순간이 있었다는 것이다. 이 기자가 던지는 질문은 하나다. 과학자가 무언가를 해냈다고 말할 때, 그게 사실인지 어떻게 확신할 수 있느냐. 이 기자가 내놓은 답은 절차다. 새 과학 성과를 기사로 쓰기 전에 신뢰하는 과학자들에게 의견을 구하는 ‘자체 동료 평가’를 거친다.

    일반 독자에게도 그대로 통하는 방법이다. 작동하지 않는다는 걸 알던 내부고발자조차 5분 대화면 마음이 기울었을 거라고 말할 정도라면, 개인의 직감에 기댈 일은 아니다. 정해진 확인 절차가 더 믿을 만하다.

    1. 데이터가 공개돼 있나: ‘영업 비밀’을 이유로 핵심 데이터를 보여주지 않으면 경고 신호다
    2. 어디서 나온 주장인가: 학술지 논문인지, 프리프린트·보도자료·SNS인지 앞의 표에 따라 분류한다
    3. 다른 연구실에서 재현됐나: 단일 연구의 결과는 잠정적인 것으로 본다
    4. 정정·철회 이력은 없나: 학술지 페이지와 검색으로 확인한다
    5. 당사자가 아닌 전문가는 뭐라고 하나: 연구를 한 사람이 아닌 같은 분야 전문가의 평가를 찾아본다

    대부분의 과학자는 정직할 것이다. 홈즈는 분명 극단적인 예외다. 다만 이야기가 매력적일수록 증거는 따로 떼어 놓고 확인해야 한다. 설득력 있는 이야기와 증거는 별개의 문제다.

    출처: MIT Tech Review AI

  • PHP 취약점 패치, 재시작 안 하면 구버전 그대로

    PHP 취약점 패치, 재시작 안 하면 구버전 그대로

    3줄 요약

    • PHP 보안 패치는 공개되는 순간 공격자도 수정 내용을 분석할 수 있어, 성공한 공격이 아직 없다는 사실이 업데이트를 미룰 근거가 되지 못한다.
    • 업데이트 전에 CLI와 웹 서버가 실제로 쓰는 PHP 버전, 그리고 배포판 패키지·외부 저장소·컨테이너·호스팅 중 어떤 방식으로 설치됐는지부터 파악해야 한다.
    • 패키지를 올린 뒤 PHP-FPM이나 웹 서버를 재시작하고 웹 경로에서 버전을 다시 확인해야 패치가 실제로 적용된다.

    PHP 취약점 하나 때문에 세계 곳곳의 웹사이트가 오프라인이 됐다. 각국 당국은 서둘러 패치를 적용하라고 촉구했다. 그런데 개발자 커뮤니티는 다른 쪽을 봤다. 패치를 만드는 사람이다. 소프트웨어 개발자 이언 랜즈먼(Ian Landsman)은 PHP 취약점 패치 작업을 맡아 온 자원봉사자 온드르제이 수리(Ondřej Surý)를 인터넷 전체의 숨은 영웅이라고 부르며 X에 이렇게 썼다. “이 사람에게 무슨 일이라도 생기면 그걸로 끝이다. 모두 끝장이다.”

    패치는 누가 만들든 받아서 서버에 적용하는 일은 운영자에게 남는다. 이 글은 PHP 취약점 소식이 나왔을 때 무엇부터 확인하고 어떤 순서로 업데이트해야 하는지를 다룬다. 아래 명령어와 경로는 리눅스 배포판과 호스팅 제어판 버전에 따라 표기가 조금씩 다를 수 있다. 자기 환경에 맞춰 읽으면 된다.

    패치가 공개되면 공격자도 같은 코드를 읽는다

    보안 패치는 방어하는 쪽에게는 해결책이지만 공격하는 쪽에게는 지도 노릇을 한다. 오픈소스 프로젝트는 수정 코드를 공개 저장소에 올린다. 그래서 패치 전후 코드를 나란히 놓고 비교하면 어느 함수에서 어떤 검사가 빠져 있었는지 드러난다. 이런 작업을 패치 디핑(patch diffing)이라고 하고, 이미 알려진 취약점을 노리는 공격은 흔히 엔데이(n-day) 공격이라고 부른다. 공개된 수정 사항이 해커를 도울 수 있다는 이코노미스트의 지적도 이 구조를 두고 한 말이다.

    지금까지 확인된 사실은 두 가지다. 전문가들은 이번 PHP 취약점이 예상보다 악용하기 어렵다고 평가했다. 공격에 성공한 사례도 아직 나오지 않았다. 아래는 해석이다. 이 평가는 지금까지 관찰한 결과일 뿐이고 앞으로를 보장하지는 않는다. 누군가 공격 코드를 공개하면 그 코드는 바로 대량 스캔 도구에 들어간다. 그때부터 패치하지 않은 서버는 자동화된 공격의 표적이 된다. 악용 난도가 높다는 소식을 업데이트를 몇 주 미뤄도 된다는 신호로 받아들이면 곤란하다. 공격 코드가 나오기 전에 패치할 시간이 조금 더 남았다는 뜻으로 읽는 편이 안전하다.

    터미널의 PHP와 웹 요청을 받는 PHP는 버전이 다를 수 있다

    첫 단계는 내 서버에서 PHP가 어떤 형태로 돌고 있는지 파악하는 일이다. 한 서버에 여러 버전이 설치된 경우는 흔하다. 터미널에서 쓰는 PHP(CLI)와 웹 요청을 처리하는 PHP(PHP-FPM 또는 아파치 모듈)의 버전이 다를 수도 있다. 터미널에서 php -v 한 번 쳐 보고 끝내면 안 되는 이유다.

    • CLI 버전: 터미널에서 php -v를 실행한다. 실행 파일 경로는 which php로, 불러오는 설정 파일 경로는 php --ini로 함께 확인한다.
    • 웹 서버가 쓰는 버전: 웹 루트에 <?php phpinfo(); 한 줄짜리 파일을 임시로 만들어 브라우저로 열면 PHP Version과 Server API 항목이 나온다. Server API가 FPM/FastCGI면 PHP-FPM, Apache 2.0 Handler면 아파치 모듈 방식이다. 이 파일은 서버 구성을 그대로 드러내므로 확인이 끝나면 바로 지워야 한다.
    • 실행 중인 서비스: systemctl list-units --type=service | grep -i php로 PHP-FPM 서비스 이름을 찾는다. 버전별 서비스가 여러 개 떠 있으면 모두 업데이트하고 재시작해야 한다.
    • 워드프레스 관리자 화면: 도구 → 사이트 건강 → 정보 탭 → 서버 항목에 웹 서버가 쓰는 PHP 버전이 나온다.

    버전 숫자만 보고 판단하면 틀릴 수 있다. 데비안·우분투·RHEL 계열 배포판은 버전은 그대로 두고 보안 수정만 덧붙이는 백포트 방식을 쓴다. 그래서 php -v에 찍힌 버전이 오래돼 보여도 이미 패치가 들어가 있을 수 있다. 배포판 패키지라면 apt changelog 패키지명(데비안·우분투)이나 rpm -q --changelog 패키지명(RHEL 계열)으로 변경 이력을 열어 보고, 해당 취약점 식별 번호(CVE)가 있는지 찾는 편이 정확하다. 보안 공지를 처음 볼 때 버전 번호보다 CVE 번호를 먼저 적어 두면 이 단계에서 시간을 아낄 수 있다.

    설치 방식에 따라 패치를 내주는 곳이 다르다

    PHP를 어떤 방식으로 설치했느냐에 따라 패치를 받는 경로가 달라지고, 그 패치를 책임지는 주체도 달라진다. 대표적인 설치 방식별 업데이트 방법과 주의점을 아래 표에 정리했다.

    설치 방식 패치 제공 주체 업데이트 방법 주의점
    배포판 공식 패키지(데비안·우분투) 배포판 보안팀 sudo apt update 후 apt list --upgradable | grep php로 대상 확인, sudo apt upgrade 버전 번호 대신 패키지 변경 이력으로 수정 여부 확인
    배포판 공식 패키지(RHEL 계열) 배포판 보안팀 sudo dnf check-update 'php*' 후 sudo dnf upgrade 'php*' 모듈 스트림을 쓰는 버전이면 선택한 스트림 안에서만 업데이트됨
    외부 저장소 패키지 저장소 메인테이너(개인·자원봉사자 포함) 배포판과 같은 패키지 관리자 명령으로 업데이트 저장소가 해당 PHP 버전을 계속 지원하는지 확인
    소스 직접 빌드 운영자 본인 PHP 공식 사이트의 수정 릴리스를 받아 다시 컴파일·설치 직접 빌드한 확장 모듈도 함께 다시 빌드해야 할 수 있음
    컨테이너 이미지 이미지 제작자 docker build --pull로 기반 이미지를 새로 받아 재빌드 후 재배포 실행 중인 컨테이너는 교체 전까지 구버전 그대로
    공유 호스팅·관리형 서비스 호스팅 업체 제어판에서 PHP 버전 선택, 엔진 패치는 업체가 적용 업체 공지로 조치 여부 확인

    표에서 따로 볼 줄은 외부 저장소다. 배포판 공식 저장소에 없는 PHP 버전을 쓰려고 개인 메인테이너가 운영하는 저장소를 추가하는 경우가 많다. 이 경우 패치가 얼마나 빨리 나오는지, 지원이 언제까지 이어지는지는 그 메인테이너의 작업량과 일정에 달려 있다. PHP 패치 작업을 자원봉사자 한 사람이 떠받치고 있다는 랜즈먼의 지적은, 해석하자면 바로 이 공급망 구조의 약점을 짚은 것이다. 이 구조를 운영자가 바꿀 수는 없다. 배포판 공식 패키지나 공식 컨테이너 이미지처럼 옮겨 갈 수 있는 경로를 미리 알아 두는 것이 현실적인 대비다.

    ‘업데이트 완료’ 메시지 다음에 할 일: 재시작과 검증

    패키지 관리자가 업데이트 완료를 출력했어도 패치가 끝난 것은 아니다. PHP-FPM과 아파치는 시작할 때 PHP 엔진을 메모리에 올려 두고 쓴다. 그래서 프로세스를 다시 띄우기 전까지는 구버전 코드가 계속 요청을 처리한다. OPcache에 남아 있던 캐시도 재시작할 때 비워진다.

    1. PHP-FPM 재시작: 앞에서 찾은 서비스 이름으로 sudo systemctl restart 서비스명을 실행한다. 서비스 이름은 데비안·우분투에서는 버전 번호가 붙은 형태(php버전-fpm)이고, RHEL 계열에서는 보통 php-fpm이다.
    2. 아파치 모듈 방식: 데비안·우분투는 sudo systemctl restart apache2, RHEL 계열은 sudo systemctl restart httpd를 실행한다.
    3. 버전 검증: phpinfo 임시 파일을 다시 열어 PHP Version과 Build Date가 바뀌었는지 확인하고 바로 지운다. 백포트 방식 배포판에서는 PHP Version 숫자가 그대로일 수 있으므로 Build Date를 보는 편이 확실하다. 패키지 설치 상태는 dpkg -l | grep php 또는 rpm -qa | grep php로 본다.
    4. 로그 점검: 재시작 직후 웹 서버와 PHP-FPM 에러 로그를 열어 확장 모듈 로딩 실패 같은 오류가 없는지 살핀다.

    컨테이너 환경에서는 확인할 것이 하나 더 있다. 새 이미지를 배포한 뒤 실제로 떠 있는 컨테이너가 새 이미지로 바뀌었는지 docker ps와 docker inspect로 확인해야 한다. 이미지만 새로 빌드하고 컨테이너를 교체하지 않으면 서비스는 계속 구버전 PHP로 돈다. 표의 주의점 칸에 적은 ‘실행 중인 컨테이너는 교체 전까지 구버전 그대로’가 바로 이 경우다.

    그누보드·워드프레스 사이트는 호스팅 PHP 버전부터 점검

    국내에서는 워드프레스, 그누보드처럼 PHP로 만든 CMS와 게시판 솔루션이 소규모 쇼핑몰, 커뮤니티, 기관 홈페이지에 널리 쓰인다. 이런 사이트는 서버를 직접 관리하지 않고 웹호스팅을 쓰는 경우가 많다. 따라서 운영자가 할 일과 호스팅 업체가 할 일을 먼저 나눠야 한다.

    • 공유 호스팅: PHP 엔진 자체의 보안 패치는 호스팅 업체가 서버 단위로 적용한다. 운영자가 할 일은 두 가지다. 업체 공지사항이나 고객센터에서 해당 취약점을 조치했는지 확인하는 것, 그리고 제어판에서 지원이 끝난 구버전 PHP를 선택해 두지 않았는지 점검하는 것. cPanel 기반 호스팅이라면 소프트웨어 → MultiPHP Manager(업체에 따라 Select PHP Version)에서 버전을 바꾼다. 국내 업체 자체 제어판에서도 PHP 버전 선택 항목을 찾아 같은 방식으로 바꾸면 된다(항목 위치는 불확실하니 업체 도움말 참고).
    • VPS·클라우드 서버: 서버 OS와 PHP 패키지는 운영자 책임이다. 앞의 표대로 직접 업데이트하고 재시작까지 끝내야 한다. 관리형 상품이라도 OS 패치가 계약 범위에 들어가는지는 따로 확인해야 한다.
    • CMS 호환성: PHP 버전을 크게 올리면 오래된 테마, 플러그인, 게시판 스킨이 동작하지 않을 수 있다. 같은 버전대 안의 보안 업데이트는 호환성 문제가 상대적으로 적다. 지원이 끝난 버전에서 새 버전으로 옮길 때는 백업을 받고 테스트 환경에서 먼저 확인한 다음 옮긴다.

    국내 사이트가 얼마나 피해를 봤는지 가늠할 자료는 아직 없다. 국내 기준의 대응 지침은 KISA 보호나라 보안 공지에 관련 권고가 올라왔는지 확인하면 얻을 수 있다.

    확인된 것과 아직 불확실한 것

    확인된 것

    • PHP에서 취약점이 공개됐고, 그 여파로 세계 곳곳의 웹사이트가 오프라인이 됐다. 당국은 패치 적용을 촉구했다.
    • 전문가들은 해당 취약점이 예상보다 악용하기 어렵다고 평가했고, 성공한 공격 사례는 아직 나오지 않았다.
    • 공개된 수정 사항이 오히려 해커에게 단서가 될 수 있다는 지적이 나왔다.
    • 자원봉사자 온드르제이 수리가 PHP 취약점 패치 작업을 맡아 왔고, 개발자 이언 랜즈먼은 그를 인터넷 전체의 숨은 영웅으로 평가했다.

    아직 불확실한 것

    • 정확히 어떤 PHP 버전과 구성이 영향을 받는지는 PHP 공식 보안 공지와 각 배포판 보안 권고에서 직접 확인해야 한다.
    • 웹사이트가 오프라인이 된 경위가 실제 공격 때문인지, 장애나 예방 차원의 조치 때문인지는 알려진 내용만으로 구분하기 어렵다.
    • 악용이 어렵다는 평가가 공격 코드 공개 이후에도 유지될지는 알 수 없다.
    • 국내 호스팅 업체별 조치 시점과 국내 피해 규모는 확인되지 않았다.

    다음 PHP 취약점 때 확인 시간을 줄이는 다섯 가지 습관

    긴급 패치 때 허비하는 시간은 대부분 업데이트가 아니라 확인 작업에서 나온다. 앞에서 본 버전 확인, 설치 방식 파악, 서비스 이름 찾기가 모두 여기에 해당한다. 평소에 아래 항목을 준비해 두면 취약점 소식이 나온 날 바로 업데이트 단계로 넘어갈 수 있다.

    • 지원 기간 점검: PHP 공식 사이트의 지원 버전(Supported Versions) 안내에서 지금 쓰는 버전이 보안 지원 기간 안에 있는지 정기적으로 확인한다. 지원이 끝난 버전에는 공식 보안 수정이 나오지 않는다.
    • 보안 공지 구독: 사용하는 배포판의 보안 권고 페이지나 메일링 리스트를 구독한다. 외부 저장소를 쓴다면 그 저장소의 공지 채널도 함께 구독한다.
    • 자동 보안 업데이트: 데비안·우분투는 unattended-upgrades, RHEL 계열은 dnf-automatic으로 보안 업데이트만 자동 적용하도록 설정할 수 있다. 다만 자동 설치 뒤 PHP-FPM 재시작까지 이어지는지는 따로 확인해야 한다. 재시작을 하지 않으면 새 패키지는 설치돼 있어도 요청은 여전히 구버전 엔진이 처리한다.
    • 설치 방식 기록: 서버마다 PHP를 어떤 경로로 설치했는지, FPM 서비스 이름이 무엇인지 문서로 남겨 둔다. 그러면 긴급 상황에서 확인 단계를 건너뛸 수 있다.
    • 스테이징 서버 유지: 운영 서버와 같은 구성의 테스트 서버에 먼저 적용해 확장 모듈과 애플리케이션 동작을 확인한 뒤 운영 서버에 반영한다.

    공개된 패치를 오래 방치할수록 그 패치는 방어 수단보다 공격 안내서에 가까워진다. 이번처럼 악용이 어렵다는 평가가 나온 취약점도 마찬가지다. 버전 확인, 설치 방식 파악, 업데이트, 재시작, 검증. 이 다섯 단계를 정해진 절차로 만들어 두면 패치가 공개된 뒤 공격 코드가 나오기까지의 시간을 운영자에게 유리하게 쓸 수 있다.

    출처: MIT Tech Review AI

  • 갤럭시 Z 플립8 커버 화면, 앱 추가는 굿락으로

    갤럭시 Z 플립8 커버 화면, 앱 추가는 굿락으로

    3줄 요약

    • 갤럭시 Z 플립8 커버 화면(플렉스 윈도우)에서 바로 열 수 있는 앱은 삼성 기본 앱, 유튜브, 넷플릭스, 구글 지도, 메시지 정도다.
    • 목록에 없는 앱은 굿락을 깔고 멀티스타 플러그인에서 직접 골라 줘야 커버 화면에 올라간다.
    • 펼쳐서 전화 받기는 자동으로 켜지지 않는다. 전화 앱 설정의 플립 옵션에서 직접 켜야 한다.

    페이스북, 스포티파이, 인스타그램. 갤럭시 Z 플립8을 접으면 바깥 화면에 처음부터 올라와 있는 서드파티 앱들이다. 정작 사용자가 고른 앱을 이 화면에 올리는 도구는 기본으로 깔려 있지 않다. 화면 크기는 4.1인치. 메시지 확인이나 길 찾기 정도는 접은 채로 끝낼 수 있을 만한 크기다. 그런데 실제로 열 수 있는 앱은 생각보다 적고, 원하는 앱을 띄우려면 몇 단계를 더 거쳐야 한다.

    와이어드(Wired)는 플립8 리뷰에서 이 커버 화면을 플립 시리즈의 여전한 약점으로 꼽았다. 삼성이 플렉스 윈도우(FlexWindow)라고 부르는 화면이다. 리뷰가 정리한 바로는 화면 자체가 전작 플립7과 같고, 달라진 건 조금 더 얇고 가벼워진 몸체와 새 프로세서 정도다. 하드웨어가 거의 그대로라면 쓰면서 느끼는 차이는 설정에서 갈린다는 게 이 글의 판단이다. 아래에서는 커버 화면에서 기본으로 되는 것과 안 되는 것을 먼저 가른다. 이어서 안 되는 걸 되게 만드는 굿락·멀티스타 설정, 그리고 펼쳐서 전화 받기 같은 플립 전용 옵션을 어디서 켜는지 순서대로 짚는다.

    삼성 앱은 열리고 나머지는 막히는 플렉스 윈도우

    플립8의 화면은 두 개다. 바깥쪽 커버 화면은 4.1인치 AMOLED에 주사율 60Hz 또는 120Hz. 펼치면 나오는 안쪽 메인 화면은 6.9인치 AMOLED로, 1~120Hz 가변 주사율을 지원한다. 가변 주사율은 화면 내용에 맞춰 주사율을 낮추는 방식이라 배터리 면에서 유리하다. 오래 들여다보는 작업은 안쪽 화면 몫으로 맞춰져 있다고 보는 게 자연스럽다. 최대 밝기는 두 화면 모두 2,600니트이고, 야외에서도 읽기 어렵지 않다는 평가를 받았다.

    걸리는 건 바깥 화면에서 쓸 수 있는 앱의 범위다. 플립8은 커버 화면 지원 앱이 늘어 삼성 헬스, 캘린더, 브라우저 등 삼성 앱 대부분을 접은 채로 쓸 수 있다. 유튜브, 넷플릭스, 구글 지도, 메시지도 여기에 들어간다. 페이스북, 스포티파이, 인스타그램은 아예 처음부터 커버 화면에 올라와 있다. 이 목록 밖의 서드파티 앱은 다른 앱을 설치해 돌아가야 한다. 나누면 세 갈래다.

    구분 해당 앱 필요한 작업 짚어 볼 점
    기본 지원 앱 삼성 헬스·캘린더·브라우저 등 삼성 앱 대부분, 유튜브, 넷플릭스, 구글 지도, 메시지 따로 설치할 것 없음 커버 화면에서 바로 사용
    사전 탑재 서드파티 앱 페이스북, 스포티파이, 인스타그램 처음부터 올라와 있음 리뷰에서 원치 않는 앱(블로트웨어)으로 지적
    그 밖의 서드파티 앱 위 목록에 없는 앱 전부 굿락 설치 → 멀티스타 플러그인 → 앱 선택 굿락은 기본 탑재가 아님

    리뷰어가 특히 문제 삼은 건 표의 세 번째 줄이다. 삼성 앱은 거의 다 커버 화면에 넣어 두고 사용자가 원하지도 않은 서드파티 앱까지 미리 올려놓았으면서, 정작 원하는 앱을 추가하는 도구는 기본으로 넣지 않았다는 지적이다. 비싼 폰에 불필요한 앱을 끼워 넣은 것 자체도 비판 대상이 됐다. 굿락이 삼성이 직접 만든 도구라는 점을 생각하면 이 지적은 설득력이 있다. 불편하긴 해도 경로만 알면 한 번 설정하고 끝나는 일이다. 순서는 아래와 같다.

    굿락보다 먼저 열어 볼 곳, 설정 → 커버 화면

    굿락부터 설치할 필요는 없다. 원하는 앱이 기본 지원 목록에 이미 들어 있다면 따로 깔 게 없어서다. 기본 지원 앱을 커버 화면에 꺼내 두는 것이 첫 단계. One UI는 업데이트 때마다 항목이 자주 자리를 옮기므로, 아래 경로는 큰 흐름 위주로 보면 된다.

    1. 설정 → 커버 화면(영문 Cover screen)으로 들어간다.
    2. ‘커버 화면에서 사용할 앱’ 항목을 연다. 이 항목 이름은 확실하지 않다(영문 Apps on cover screen. 예전 플립 기종에서는 설정 → 유용한 기능 → 실험실 안에 있었다).
    3. 접은 채로 쓰고 싶은 앱의 스위치를 켠다.
    4. 커버 화면을 좌우로 넘겨 위젯 목록으로 간 다음 앱 위젯을 추가하고, 방금 켠 앱을 실행한다. 위젯 편집으로 들어가는 방법은 확실하지 않다(보통은 위젯을 길게 눌러 편집 화면으로 들어간다).

    목록에 원하는 앱이 없으면 다음 단계인 굿락으로 넘어가면 된다. 반대로 기본 목록에서 해결되는 앱을 멀티스타에 또 등록할 이유는 없다. 기본 지원 앱은 커버 화면에 맞춰 다듬어진 상태라 그대로 쓰는 쪽이 낫다.

    멀티스타로 목록 밖 앱 올리기, 여섯 단계

    굿락(Good Lock)은 삼성이 직접 만든 커스터마이징 도구 모음이다. 그 안의 플러그인 가운데 멀티스타(MultiStar)가 커버 화면에 띄울 앱을 고르는 역할을 맡는다. 순서는 이렇다.

    1. 갤럭시 스토어 → 검색창에 ‘굿락’ 또는 ‘Good Lock’ 입력 → 설치.
    2. 굿락 실행 → 하단의 ‘라이프 업(Life up)’ 탭 → 멀티스타 설치. 탭 이름은 확실하지 않으니 목록에서 MultiStar를 찾으면 된다.
    3. 멀티스타 실행 → ‘I ♡ Galaxy Foldable’ 메뉴로 들어간다.
    4. ‘커버 화면 런처 위젯'(영문 Launcher Widget)을 고르고 스위치를 켠다. 이 항목의 한국어 표기는 확실하지 않다.
    5. 커버 화면에 띄울 앱을 체크한다.
    6. 설정 → 커버 화면의 위젯 목록에서 방금 만든 런처 위젯을 켜고(위젯 이름은 확실하지 않음), 기기를 접어 그 위젯으로 앱을 실행한다.

    단계는 여섯 개. 헷갈리게 만드는 건 개수보다 구조다. 굿락 안에서 플러그인을 받고, 그 플러그인에서 위젯을 만들고, 다시 시스템 설정으로 나와 그 위젯을 켜야 한다. 세 겹을 오가는 셈이라 처음엔 길을 잃기 쉽다. 리뷰어도 이 과정을 쓸데없이 복잡하다고 표현했다. 이 기능이 왜 처음부터 깔려 있지 않은지 모르겠다는 지적이 나온 것도 같은 이유에서다.

    짚어 둘 점이 하나 더 있다. 멀티스타로 올린 앱은 4.1인치 화면을 고려하지 않고 만든 경우가 많다. 버튼이 카메라 렌즈 쪽에 가리거나 글자가 작게 보일 수 있다는 얘기인데, 이 대목은 추정이다. 기본 지원 목록은 커버 화면에서 쓰라고 고른 앱들이고, 멀티스타는 일반 앱을 작은 화면에 그대로 띄우는 우회로다. 그 구조 차이에서 나온 판단이다. 자주 쓰는 앱 몇 개만 넣고, 불편한 앱은 펼쳐서 쓰는 편이 현실적이다.

    유튜브 세워 보기 세 가지 모드와 ‘펼쳐서 전화 받기’ 스위치

    기본 지원 앱 가운데 쓸모가 큰 건 유튜브다. 플립8을 접은 채 책상에 세워 두면 커버 화면만으로 영상을 볼 수 있다. 화면 아래쪽 작은 전환 버튼으로 세 가지 모드를 오간다.

    • 전체 화면: 커버 화면을 영상으로 꽉 채워 보기
    • 렌즈 위쪽 영역: 카메라 렌즈를 피해 위쪽에만 영상 띄우기
    • 세로 형식: 일반 앱처럼 스크롤하며 목록 보기

    주로 쓰는 화면은 결국 안쪽일 것이다. 다만 다른 일을 하면서 영상을 틀어 두는 용도라면 이렇게 세워 보는 방식이 꽤 괜찮다는 게 리뷰의 평가였다.

    전화에도 플립만의 동작이 있다. 통화하다가 기기를 탁 접어서 끊는 맛은 리뷰에서도 질리지 않는다고 했다. 반대 방향은 사정이 다르다. 펼쳐서 전화를 받는 기능은 따로 켜야 하는 옵션이다.

    1. 전화 앱 실행 → 오른쪽 위 점 세 개(⋮) → 설정.
    2. ‘플립 옵션'(영문 Flip options)으로 들어간다. 한국어 표기는 확실하지 않다.
    3. 펼쳐서 전화 받기 스위치를 켠다.

    카메라도 커버 화면 덕을 본다. 안쪽 화면의 펀치홀 셀피 카메라는 10MP. 기기를 접고 커버 화면을 미리보기 창으로 쓰면 바깥쪽 50MP 메인 카메라로 셀카를 찍을 수 있다. 화상 통화가 아니면 펀치홀 카메라를 쓸 일이 별로 없다는 게 리뷰의 시각이고, 10MP와 50MP라는 화소 차이만 봐도 수긍이 가는 대목이다. 기본 설정을 바꾸지 않았다면 측면 버튼을 두 번 눌러 카메라를 바로 켤 수 있다. 이 단축 동작은 설정 → 유용한 기능 → 측면 버튼에서 바꾼다(측면 버튼 메뉴 위치는 확실하지 않음).

    카카오톡은 리뷰 속 커버 화면 기본 목록에 없다

    리뷰에 나온 기본 지원 목록에는 카카오톡이나 네이버 같은 국내 앱이 없다. 달러 가격을 기준으로 쓴 미국 매체 리뷰여서 국내판 목록은 다를 수도 있다. 원문에는 이에 관한 설명이 없으니 어디까지나 추측이다. 국내판에서도 목록에 없다면 카카오톡을 접은 채로 쓰는 방법은 멀티스타 하나뿐이다.

    설치 단계에서 막힐 걱정은 덜어도 된다. 굿락은 국내 갤럭시 스토어에서 받을 수 있다. 지역 제한을 피해 다른 경로로 설치해야 하나 고민할 필요가 없다는 뜻이다.

    사전 탑재 앱도 한번 확인해 볼 만하다. 리뷰 제품의 커버 화면에는 페이스북, 스포티파이, 인스타그램이 미리 올라와 있었다. 국내판 구성은 다를 수 있다(추측). 안 쓰는 앱이 커버 화면에 떠 있다면, 앞에서 본 ‘커버 화면에서 사용할 앱’ 목록에서 끌 수 있는지부터 보는 게 순서다.

    하드웨어에서는 물리 SIM 슬롯이 남아 있다는 점이 국내 사용자에게 의미가 있다. 쓰던 유심을 그냥 옮겨 끼우는 익숙한 방식이 그대로 통한다. 지문 센서는 전원 버튼 안에 들어가 있고, 인식도 괜찮다는 평가였다.

    확인된 것과 아직 불확실한 것

    확인된 것

    • 커버 화면은 4.1인치 AMOLED(60·120Hz), 메인 화면은 6.9인치 AMOLED(1~120Hz 가변)이고 최대 밝기는 2,600니트다. 화면 구성은 전작과 같다.
    • 커버 화면 기본 지원 앱은 삼성 앱 대부분(헬스·캘린더·브라우저 등), 유튜브, 넷플릭스, 구글 지도, 메시지다.
    • 그 밖의 서드파티 앱은 굿락과 멀티스타 플러그인을 거쳐야 하고, 굿락은 기본으로 깔려 있지 않다.
    • 리뷰 제품 커버 화면에는 페이스북·스포티파이·인스타그램이 미리 올라와 있었다.
    • 펼쳐서 전화 받기는 전화 앱 설정의 플립 옵션에서 켜야 한다.
    • 물리 SIM 슬롯이 있고, 지문 센서는 전원 버튼에 들어 있다.

    아직 불확실한 것

    • 국내판 커버 화면 기본 목록에 카카오톡 같은 국내 앱이 들어가는지, 사전 탑재 앱 구성이 같은지
    • 플립 옵션, 런처 위젯 같은 메뉴의 정확한 한국어 표기
    • 삼성전자가 갤럭시 Z 플립8을 국내에서 얼마에, 어떤 용량으로 파는지(이 글의 근거 자료 밖이라 확인하지 못함)
    • 새 힌지가 더 튼튼해졌다는 설명이 오래 써도 맞는지
    • 삼성이 플립 라인을 접을 거라는 이야기는 아직 소문 수준

    플립7 사용자는 설정으로 충분, 첫 플립이라면 따질 여섯 가지

    커버 화면 크기도, 앱 지원 방식도 전작과 같다. 플립7 사용자가 플립8로 갈아탈 이유는 크지 않다. 리뷰도 플립7에서 바꿀 가치는 없다고 잘라 말했다. 두께가 0.55mm, 무게가 8g 줄고 프로세서가 새것으로 바뀐 정도라는 이유에서다. 커버 화면이 불만이었다면 기기를 바꿔도 해결되지 않는다. 앞의 멀티스타 설정부터 해 보는 게 맞다.

    폴더블이 처음이라면 볼 게 달라진다. 아래 항목을 하나씩 대 보면 판단이 빨라진다.

    • 휴대성: 플립형 가운데 가장 얇고 가벼운 모델이 플립8이다. 작은 가방에 쏙 들어가는 폰을 찾는다면 먼저 볼 만하다.
    • 성능: 윗급 폴드 모델과 같은 스냅드래곤 8 엘리트 Gen 5 for Galaxy가 들어갔고, RAM은 12GB로 고정이다. 저장 공간은 기본 256GB이며 512GB로 올리면 200달러가 더 붙는다. 무거운 게임을 1시간 넘게 돌리면 열 때문에 성능이 다소 떨어질 수 있다.
    • 배터리·충전: 4,300mAh 실리콘-카본 배터리는 가볍게 쓰기엔 충분하다. 폰을 많이 쓰는 편이라면 보조배터리가 필요할 수 있다. 충전은 유선 25W, 무선 15W. Qi2 자석 기능이 없어 자석으로 붙는 액세서리는 바로 쓰지 못한다.
    • 카메라: 50MP 메인과 12MP 초광각만 있고 망원은 없다. 2배는 크롭으로 화질 손실 없이 찍히고, 10배까지는 밝은 곳에서 그럭저럭 쓸 만하다는 평가다. 사진이 가장 중요하다면 같은 돈으로 살 수 있는 더 좋은 안드로이드 폰이 많다.
    • 연결성: 5G(mmWave 미지원), 와이파이 7, 블루투스 5.4를 지원하지만 UWB는 없다. UWB를 쓰는 정밀 위치 찾기가 필요하다면 UWB와 블루투스 6을 갖춘 폴드8 쪽이 맞다.
    • 내구성: IP48 등급이라 물에 빠뜨리는 정도는 견딘다. 1mm보다 작은 먼지나 모래 알갱이에는 손상될 수 있다는 점은 감안해야 한다.

    플립형만 놓고 보면 대안은 사실상 모토로라 레이저 시리즈뿐이다. 미국 판매가 기준으로, 성능을 낮춘 대신 저렴한 레이저가 800달러다. 카메라·RAM·저장 공간·충전 속도가 더 좋은 레이저 울트라는 1,500달러. 그 사이의 레이저+는 1,100달러인데 프로세서가 구형이고 소프트웨어 지원 기간도 짧다. 중간 가격을 내고도 오래 쓰기 어려운 구성이라 굳이 고를 이유는 약하다. 할인 중인 플립7 재고를 찾아보는 것도 방법이다.

    삼성이 폴드8에 힘을 싣고 플립 라인을 접을 거라는 소문도 계속 나온다. 삼성 플립을 원한다면 플립8이 마지막 기회일 수 있다는 전망이 붙는 배경이다. 하지만 아직은 소문일 뿐이다. 구매를 서두를 근거로 삼기엔 이르다.

    출처: Wired