Telexed

AI 분야의 주요 소식 · 솔로 사업자에게 도움 되는 것만14 / 412

FILTER[전체][에이전트·도구][모델·API][생성형 미디어][인프라·SaaS][ASO·그로스][인디 비즈니스][아이디어 시그널][기타][★6+ high-signal]

GeekNews ✕필터 해제

5월 18일 (월)3 dispatches

#0412
#0412기타 GeekNews어제
`rkdebian`, 80달러 `RK3562` Android 태블릿을 Debian 워크스테이션으로 전환
`rkdebian` turns an $80 RK3562 Android tablet into a Debian workstation
40radar
rkdebianDebian 이미지 빌드 시스템 — Doogee U10 전용
버려질 저가 기기를 부팅 가능한 Debian 12 머신으로 바꾸는 경로가 생겼다. 특정 태블릿 전용 프리릴리스라 실전 장비보다는 저비용 실험용에 맞음.
- 대상은 Rockchip RK3562 기반 Doogee U10으로 좁다. 같은 칩셋이라도 바로 재사용 가능하다고 보면 안 됨.
- 출력물은 부팅 가능한 Debian 12 Bookworm 이미지. 앱 개발 도구라기보다 하드웨어 재활용 빌드 시스템에 가깝다.
- 공개 프리릴리스 빌드는 2026년 5월 14일자. 메인 워크스테이션보다는 테스트·키오스크·서브 터미널 용도가 현실적.
출처: news.hada.io/topic?id=29622원문 보기 →
FIG-4121:1
40radar
FIG-4121:1
#0411
#0411기타 GeekNews그저께
텍스트가 필요해질 때까지 `SwiftUI`로 버티기
Stay Native Until Text Forces Your Hand
40radar
SwiftUI만으로 Markdown 채팅 UI 성능은 버틸 수 있지만, 문서 전체 선택에서 한계가 온다. NSTextView 전환은 복잡도와 CPU 비용을 같이 끌고 와 신중해야 함.
- SwiftUI 기반 Markdown 채팅 UI는 기본 성능이 나온다. 문제는 채팅 앱에서 자주 필요한 문서 전체 선택 지원.
- NSTextView와 TextKit 2로 옮기면 텍스트 제어는 좋아지지만, SwiftUI 테스트·성능 작업을 다시 짊어진다.
- 스트리밍 입력에서 CPU 스파이크가 생길 수 있다. LLM 채팅 UI는 증분 렌더링 벤치마크부터 잡는 게 맞다.
출처: news.hada.io/topic?id=29602원문 보기 →
FIG-4111:1
40radar
FIG-4111:1
#0410
#0410기타 GeekNews그저께
`Erlang/OTP` `29.0`, SSH 데몬 기본 보안값 강화
`Erlang/OTP` `29.0` Tightens SSH Daemon Defaults
40radar
Erlang/OTP런타임 플랫폼 — Erlang 앱용 표준 라이브러리·도구 묶음
인증된 SSH 사용자도 기본값만으로는 shell·exec·SFTP를 못 연다. 내장 SSH 데몬을 쓰는 백엔드라면 업그레이드 후 설정 누락 여부를 바로 점검할 만함.
- shell과 exec 서비스가 기본 비활성화되어, 명시 설정 없이는 임의 Erlang 코드 실행 경로가 막힌다.
- SSH 데몬 시작 시 SFTP subsystem도 자동 활성화되지 않는다. 파일 접근 표면을 기본값에서 줄인 셈.
- 영향 범위는 내장 Erlang/OTP SSH 데몬 사용자로 좁다. 일반 웹 스택에는 참고 수준의 보안 변경.
출처: news.hada.io/topic?id=29601원문 보기 →
FIG-4101:1
40radar
FIG-4101:1

5월 17일 (일)1 dispatches

#0409
#0409기타 GeekNews그저께
`HTML` 목록은 모양이 아니라 의미로 고른다
Choose `HTML` Lists by Semantics, Not Appearance
40radar
목록 태그는 스타일링 편의가 아니라 상호작용 계약이다. select, datalist, 순서·설명·메뉴 목록을 제대로 나누면 접근성 부채를 초기에 줄인다.
- 고정 선택지는 select/option, 제안형 입력은 datalist가 맞다. 비슷해 보여도 입력 자유도가 다르다.
- 순서·비순서·설명·메뉴·컨트롤 목록은 각자 의미가 다름. 시각 표현은 CSS로 바꾸는 쪽이 안전하다.
- 키보드 조작, 스크린리더, 폼 UX가 태그 선택에 묶인다. 출시 후 고치기보다 컴포넌트 작성 시 잡는 게 싸다.
출처: news.hada.io/topic?id=29588원문 보기 →
FIG-4091:1
40radar
FIG-4091:1

5월 16일 (토)1 dispatches

#0408
#0408기타 GeekNews4일 전
`Tailwind`에서 벗어나며 구조화된 CSS 다시 만들기
Leaving `Tailwind`, Rebuilding a Structured CSS System
40radar
유틸리티 클래스를 버린 게 아니라 오래 쓸 규칙만 남겨 CSS 시스템으로 재조립했다. preflight, 색상 토큰, 폰트 스케일을 변수와 파일 분리로 옮기는 접근이라 중소 규모 서비스엔 꽤 실전적이다.
- Tailwind의 preflight reset, 색상 팔레트, 폰트 스케일은 유지하고 나머지만 걷어냈다. 초기화와 일관성은 챙기면서 마크업 복잡도는 줄인다.
- 시맨틱 HTML로 구조를 되돌리고 바닐라 CSS로 표현을 분리했다. 컴포넌트 책임이 선명해져서 화면 수정 때 추적 비용이 덜 든다.
- CSS 변수와 파일 분리로 디자인 규칙을 재구성했다. 유틸리티 묶음 복붙보다 테마 변경과 점진적 리팩터링에 훨씬 유리하다.
출처: news.hada.io/topic?id=29553원문 보기 →
FIG-4081:1
40radar
FIG-4081:1

5월 15일 (금)1 dispatches

#0407
#0407기타 GeekNews5일 전
`scrcpy` `4.0`, 가상 디스플레이 유연 리사이즈 추가
`scrcpy` `4.0` adds flexible virtual display resizing
50radar
scrcpy안드로이드 미러링 도구 — USB·무선으로 저지연 제어
가상 디스플레이가 --flex-display로 클라이언트 창 크기를 따라가며 함께 바뀐다. SDL3 전환까지 묶여 창 리사이즈 스트레스가 줄어들어 안드로이드 테스트 환경이면 바로 체감된다.
- --flex-display 또는 -x로 가상 디스플레이를 창 크기에 맞춰 동적으로 조절한다. 반응형 UI 확인할 때 손이 훨씬 덜 간다.
- 렌더링 레이어를 SDL2에서 SDL3로 옮겼다. 활성 유지보수 체계에 올라타 업스트림 버그 수정 속도를 기대할 수 있다.
- 창 크기를 자주 바꾸는 디버깅 세션에서 화면 비율이나 표시 영역이 어긋나는 문제가 줄어든다. 데모 준비할 때도 편하다.
- 대형 신기능보다는 품질 개선에 가깝지만, 안드로이드 실기기 미러링을 자주 쓰면 업데이트 우선순위는 높다.
출처: news.hada.io/topic?id=29505원문 보기 →
FIG-4071:1
50radar
FIG-4071:1

5월 14일 (목)1 dispatches

#0406
#0406기타 GeekNews6일 전
`Quack`: `DuckDB` 클라이언트-서버 프로토콜
`Quack`: Client-Server Protocol for `DuckDB`
50radar
Quack프로토콜 — DuckDB에 멀티프로세스 공유 쓰기 추가
여러 프로세스가 같은 DuckDB 파일을 수정할 때 필요한 상태 동기화를 원격 프로토콜로 푼다. 임베디드 DB와 서버형 DB 사이의 빈칸을 메워서, 멀티프로세스 앱 설계에서 꽤 실용적인 선택지가 된다.
- 여러 동시 작성자가 같은 데이터베이스를 쓸 수 있게 해 DuckDB의 약점이던 단일 프로세스 제약을 정면으로 건드린다.
- 핵심은 별도 서버 엔진이 아니라 원격 상태 동기화다. 인프로세스 구조를 유지해 기존 DuckDB 사용 감각을 크게 안 바꾼다.
- 작은 SaaS나 내부 도구에서 분석용 저장소를 Postgres로 바로 넘기지 않고, 공유 쓰기 요구를 더 늦게까지 버틸 여지가 생긴다.
출처: news.hada.io/topic?id=29477원문 보기 →
FIG-4061:1
50radar
FIG-4061:1

5월 13일 (수)1 dispatches

#0405
#0405기타 GeekNews7일 전
`goshs`, 개발자용 멀티프로토콜 단일 바이너리 파일 서버
`goshs`, a multi-protocol single-binary file server for developers
50radar
goshs파일 서버 도구 — HTTP·SFTP·SMB를 단일 바이너리로 제공
python3 -m http.server 급 임시 서버를 넘어서 HTTP/S, WebDAV, SFTP, SMB, LDAP/S를 한 바이너리로 바로 띄운다. Apache급 설정 없이 인증·HTTPS·파일 공유를 한 번에 처리해, 급한 배포물 전달이나 사설 공유용으로 지금 써볼 만함.
- 로컬 파일 서빙을 위해 여러 데몬을 깔 필요가 없다. 단일 바이너리라 테스트 머신이나 임시 서버에 올리기 빠르다.
- HTTPS와 인증을 한 명령으로 붙일 수 있어, 개발 빌드나 자산 파일을 급히 공유할 때 설정 비용을 크게 줄인다.
- WebDAV·SFTP·SMB를 함께 지원해 맥 파인더, 서버 셸, 모바일 파일 앱 등 접근 경로를 하나로 묶기 좋다.
- 상시 운영용 플랫폼이라기보다 ad-hoc 유틸리티 성격이 강하다. 내부 전달, QA 기기 전송, 폐쇄망 공유에서 특히 실용적이다.
출처: news.hada.io/topic?id=29445원문 보기 →
FIG-4051:1
50radar
FIG-4051:1

5월 12일 (화)2 dispatches

#0404
#0404기타 GeekNews지난주
`Mini Shai-Hulud` 귀환: 자가 전파형 `npm` 공급망 공격, CI/CD까지 뚫었다
`Mini Shai-Hulud` returns: self-propagating npm supply-chain attack hits CI/CD
80radar
정상 npm 패키지를 숙주로 삼아 CI/CD를 장악하고 시크릿을 빼간다. 패키지 배포 자동화와 토큰 권한이 넓게 열려 있으면 연쇄 감염 지점이 되니, 지금 바로 시크릿 회전과 권한 축소부터 해야 한다.
- StepSecurity가 공식 @tanstack 패키지에서 처음 포착했다. 신뢰하던 네임스페이스도 공급망 공격 경로가 될 수 있다.
- 문제는 단일 패키지 감염이 아니라 전파 구조다. CI 토큰, 레지스트리 자격증명, 배포 워크플로 전체가 다음 감염 고리가 된다.
- GitHub Actions나 배포 봇에 장기 토큰을 넣어뒀다면 이미 횡적 확산 조건을 갖춘 셈. 저장소 하나 털리고 끝나지 않는다.
- 당장 볼 체크포인트는 단순하다. 시크릿 전면 교체, 퍼블리시 권한 최소화, 자동 배포 잡 점검이 우선이다.
출처: news.hada.io/topic?id=29427원문 보기 →
FIG-4041:1
80radar
FIG-4041:1
#0403
#0403기타 GeekNews지난주
사후 분석: `TanStack` npm 공급망 침해
Postmortem: `TanStack` npm Supply-Chain Breach
60radar
TanStack오픈소스 패키지 모음 — 프런트엔드 상태·데이터 관리 도구군
불과 6분짜리 CI 침해가 pull_request_target, 캐시 오염, OIDC 토큰 탈취를 거쳐 악성 npm 배포로 이어졌다. @tanstack/*를 쓰고 있다면 GitHub Actions 권한 축소와 의존성 사고 대응을 운영 기본값으로 올릴 시점이다.
- 영향 범위는 42개 @tanstack/ 패키지, 악성 버전은 84개였다. 짧게 열려도 프런트엔드 배포 파이프라인은 바로 오염된다.
- 공격 체인은 pull_request_target의 Pwn Request, GitHub Actions 캐시 오염, 러너 메모리의 OIDC 토큰 추출이 이어졌다. 워크플로 한 군데가 배포 권한까지 뚫린 셈.
- npm publish 권한이 털리면 신뢰하던 UI·데이터 패키지가 바로 공격 표면이 된다. lockfile만 믿는 운영은 방어선이 너무 낮다.
- 지금 필요한 대응은 화려한 보안 도구가 아니다. Actions 권한 최소화, 캐시 격리, 패키지 사고 시 롤백 절차 정리가 먼저다.
출처: news.hada.io/topic?id=29413원문 보기 →
FIG-4031:1
60radar
FIG-4031:1

5월 11일 (월)3 dispatches

#0402
#0402기타 GeekNews지난주
`3GB SQLite` 사전을 `10MB FST` 바이너리로 교체
Replacing a `3GB` `SQLite` dictionary with a `10MB` `FST` binary
50radar
FST정적 검색 포맷 — 대규모 후보를 초소형 바이너리로 압축
접두사 검색처럼 후보가 수천만 개로 불어나는 데이터는 SQLite FTS보다 정적 FST가 배포 비용에서 훨씬 유리하다. 읽기 전용 검색이라면 앱 번들급 크기로 줄여 모바일·엣지 배포에 바로 써먹을 수 있다.
- 핀란드어 굴절형 확장으로 항목 수가 4천만~6천만 개까지 불어나며, 순수 트라이 구조는 메모리와 크기 한계에 걸렸다.
- 임시 해법으로 SQLite FTS를 붙여 검색 속도는 확보했지만, 첫 다운로드가 3GB라 설치 장벽이 너무 컸다.
- 정적 FST 바이너리로 바꾸자 결과물이 약 10MB까지 줄었다. 검색 엔진이 아니라 배포 포맷을 바꾼 셈이다.
- 변경이 드문 사전·태그·지역명 자동완성처럼 읽기 비중이 압도적인 데이터라면 같은 압축 전략을 그대로 이식할 만하다.
출처: news.hada.io/topic?id=29379원문 보기 →
FIG-4021:1
50radar
FIG-4021:1
#0401
#0401기타 GeekNews지난주
`CVE-2024-YIKES`, 의존성 탈취가 다중 언어 공급망으로 번진 사고
`CVE-2024-YIKES`: dependency hijack leaked cross-ecosystem registry creds
60radar
vulpine-lz4패키지 — 설치 단계 실행으로 CI 시크릿 탈취
자바스크립트 패키지 탈취가 Rust·Python까지 번지며 .npmrc, .pypirc, Cargo 자격 증명 유출로 이어졌다. CI가 빌드 중 배포 시크릿을 읽을 수 있으면 한 번 뚫린 의존성이 연쇄 전파한다. 지금 바로 토큰 범위와 릴리스 잡 분리가 맞다.
- 피해 범위가 npm에 그치지 않았다. .pypirc, Cargo, RubyGems 자격 증명까지 노려 멀티 레지스트리 운영일수록 연쇄 타격이 커진다.
- 악성 vulpine-lz4의 build.rs가 CI 호스트에서 실행됐다. 설치 단계 코드 실행만으로도 시크릿 유출이 가능하다는 뜻이다.
- left-justify식 피싱이 다시 통했다. 인프라 침해 없이도 패키지 신뢰 체인만 흔들면 공급망 공격이 성립한다.
- 테스트 잡과 배포 잡이 같은 시크릿을 공유하면 한 번의 감염으로 퍼블리시 권한까지 상실한다. 워크플로 분리가 우선이다.
출처: news.hada.io/topic?id=29374원문 보기 →
FIG-4011:1
60radar
FIG-4011:1
#0400
#0400기타 GeekNews지난주
`Bifrost` - 초고속 엔터프라이즈 AI 게이트웨이
`Bifrost`: ultra-fast enterprise AI gateway
50radar
BifrostAI 게이트웨이 — OpenAI 호환 멀티벤더 초저지연 프록시
여러 LLM 공급자를 OpenAI 호환 API 하나로 묶고, 프록시 오버헤드를 100µs 미만까지 낮췄다. 멀티벤더 라우팅이 필요하면 LiteLLM 대안으로 바로 검토할 만하다.
- 벤더별 SDK를 걷어내고 OpenAI 호환 API로 OpenAI·Anthropic·Bedrock·Vertex 등 15개 이상을 붙인다. 앱 코드는 단순해진다.
- LiteLLM 대비 50배 빠름, 5k RPS에서 100µs 미만 오버헤드 주장. 고트래픽 서비스면 프록시 병목을 줄일 카드다.
- 적응형 로드밸런서·클러스터 모드·가드레일·1,000개 이상 모델 지원까지 묶었다. 운영 복잡도를 한 레이어에 모으는 설계다.
출처: news.hada.io/topic?id=29373원문 보기 →
FIG-4001:1
50radar
FIG-4001:1

5월 10일 (일)1 dispatches

#0399
#0399기타 GeekNews지난주
`NixOS` 비밀값, `Nix store`에 넣는 순간 읽힌다
`NixOS` Secrets: Plaintext in `Nix store` Is Readable
40radar
NixOS리눅스 배포판 — 설정을 선언형으로 관리하는 OS
비밀값을 Nix 설정이나 비공개 Git에 숨겨도 배포 뒤엔 Nix store에 남아 머신 접근자가 읽는다. NixOS로 운영 중이면 sops-nix를 기본값으로 깔아야 할 수준이며, 아니면 서버 비밀관리부터 다시 봐야 한다.
- Nix 설정에 박아 넣은 비밀값은 배포 후 Nix store로 흘러가고, 여기선 머신 사용자 누구나 읽을 수 있다.
- 비공개 저장소에 두거나 git-crypt로 관리해도 빌드·배포 시 평문이 store에 남으면 소용없다. 문제 지점이 저장소에서 런타임으로 옮겨갈 뿐.
- sops-nix는 .sops.yaml 규칙과 sops 편집 흐름을 붙여 비밀파일을 관리한다. NixOS 운영 스택이면 우선 채택할 만하다.
출처: news.hada.io/topic?id=29328원문 보기 →
FIG-3991:1
40radar
FIG-3991:1

`rkdebian`, 80달러 `RK3562` Android 태블릿을 Debian 워크스테이션으로 전환

텍스트가 필요해질 때까지 `SwiftUI`로 버티기

`Erlang/OTP` `29.0`, SSH 데몬 기본 보안값 강화

`HTML` 목록은 모양이 아니라 의미로 고른다

`Tailwind`에서 벗어나며 구조화된 CSS 다시 만들기

`scrcpy` `4.0`, 가상 디스플레이 유연 리사이즈 추가

`Quack`: `DuckDB` 클라이언트-서버 프로토콜

`goshs`, 개발자용 멀티프로토콜 단일 바이너리 파일 서버

`Mini Shai-Hulud` 귀환: 자가 전파형 `npm` 공급망 공격, CI/CD까지 뚫었다

사후 분석: `TanStack` npm 공급망 침해

`3GB SQLite` 사전을 `10MB FST` 바이너리로 교체

`CVE-2024-YIKES`, 의존성 탈취가 다중 언어 공급망으로 번진 사고

`Bifrost` - 초고속 엔터프라이즈 AI 게이트웨이

`NixOS` 비밀값, `Nix store`에 넣는 순간 읽힌다