오늘의 흐름
오늘 소식은 두 갈래다. 하나는 AI로 서비스를 빨리 만드는 사이 쌓인 서버·네트워크 도구의 보안 빚이다. Tailscale은 고친 판이 나오기 전에 결함이 먼저 공개됐고, Node.js는 고친 판이 이미 나와 있다. 둘 다 업데이트 한 번으로 끝나지 않고, 내 설정이 어떤 조건에 해당하는지부터 봐야 한다.
다른 갈래는 같은 돈으로 더 많이 얻는 방법이다. 이미 가진 RTX 4090의 AI 계산 속도를 끌어올리는 도구, 기간 한정으로 열린 코딩 AI 모델, 입찰가만으로 순위를 사지 못하게 바뀌는 네이버·당근 검색광고가 그렇다. 셋 다 공개된 숫자와 내 작업에서의 실제 효과 사이에 틈이 있어, 직접 재 보는 일이 남는다.
Tailscale 결함 11건 공개 — 패치 전엔 SSH 규칙부터
보안 연구소 Cyberdione Labs가 10월 25일 ‘Tailworm’ 보고서로 Tailscale 1.104.2와 headscale 0.29.5의 결함 11건을 공개했다. Tailscale은 회사 컴퓨터·서버를 인터넷 위에서 하나의 사설망(tailnet)으로 묶어 주는 도구이고, headscale은 그 관리 서버를 직접 운영하는 오픈소스판이다. 가장 무거운 결함은 Tailscale SSH(원격 접속 기능)의 포트 포워딩, 즉 접속 통로를 다른 곳으로 이어 주는 기능이 관리자 권한(root)으로 돌아가는 문제다. 망 안의 기기 하나를 이미 장악한 공격자가 다른 서버의 관리자 권한까지 얻을 수 있다는 것이 보고서의 주장이다.
연구자는 회사와 공개 일정을 맞추지 않고 먼저 발표했다. 이 글을 쓰는 시점까지 Tailscale 공식 변경 기록의 최신판은 10월 21일 나온 1.104.2이고, 보안 결함에 붙는 공용 번호인 CVE도 아직 없다. Tailscale은 보고서를 받았고 같은 영역을 외부 전문가와 검토하며 고치는 중이라고 밝혔다. 보고서에 따르면 수정 코드 일부는 이미 공개 저장소에 합쳐졌고, Tailscale은 테스트를 거쳐 27일 안에 수정판을 내는 것을 목표로 한다.
조건이 좁다는 점이 핵심이다. 인터넷 어디서나 뚫리는 결함이 아니라, 접속 규칙으로 허용된 기기 하나가 먼저 장악돼야 하고 그 규칙이 포워딩을 허용해야 한다. 그래서 Tailscale SSH를 켠 적이 없다면 주된 결함의 영향은 작다. 반대로 모든 기기가 모든 서버에 접속하는 식의 넓은 규칙이 걸려 있다면 지금 좁혀야 하고, 포워딩을 끌 수 없는 headscale 0.29.5에서는 SSH 허용 하나하나를 관리자 권한과 같은 무게로 봐야 한다.
보고서가 권하는 임시 대응은 SSH 규칙을 어느 기기에서 어느 서버로처럼 짝 단위로 쪼개고, 포워딩 항목을 거부로 두고, root 계정을 접속 대상에서 빼는 것이다. 보고서는 Tailnet Lock(새 기기가 망에 들어오려면 믿는 기기의 서명을 받게 하는 기능)이 꺼진 기본 설정에서는 공격자가 가짜 기기를 끼워 넣을 수 있다고도 적었다. Tailnet Lock은 관리 콘솔의 Device management에서 켜며 서명 기기를 2대 이상 골라야 하고, 안드로이드는 아직 서명 기기가 될 수 없다. 켤 때 한 번만 보여 주는 해제용 비밀값 10개를 잃으면 망을 복구할 수 없으니 비밀번호 관리자에 먼저 보관한다. 결과는 연구자의 실험실 재현이며 제3자 검증은 아직 없다.
Node.js 10월 보안판 — 결함 10건, 22·24·26 모두 대상
Node.js가 10월 21일 26.12.1, 24.22.1, 22.23.4를 내고 보안 결함 10건(높음 4·중간 3·낮음 3)을 고쳤다. Node.js는 자바스크립트로 만든 웹 서비스와 자동화 스크립트를 서버에서 돌리는 실행기로, AI로 만든 사내 도구도 많이 쓴다. 가장 무거운 것은 압축 형식 Brotli를 푸는 부분의 결함으로, 조작된 압축 데이터를 받으면 프로그램이 죽거나 메모리 내용이 새거나 원격에서 명령이 실행될 수 있다.
나머지 높음 등급 3건은 인증서 확인과 주소 조회에서 나왔다. 전각 숫자나 앞자리 0이 붙은 IP 주소를 다르게 읽어 엉뚱한 인증서를 통과시키거나, 이름 중간에 특수 문자가 들어간 주소를 잘라 다른 곳으로 연결하는 식이다. Node.js는 지원이 끝난 판은 보안판이 나올 때마다 늘 영향을 받는다며 지원되는 판으로 옮기라고 권한다.
AI로 빠르게 만든 사내 도구는 처음 설치한 Node.js 판 그대로 몇 달씩 도는 경우가 많다. 서버에서 node -v를 쳐 보고 26.12.1·24.22.1·22.23.4보다 낮으면 올린다. 외주로 받은 서비스라면 업체에 이 세 번호를 그대로 보내 적용 일정을 묻는 편이 빠르다.
gpu-unlock-ada, RTX 4090 AI 계산 2배 — 실작업은 12~34%
그래픽카드의 AI 계산 제한을 푸는 리눅스 도구가 RTX 40 계열로 넓어졌다. 공개 저장소 gpu-unlock-ada는 엔비디아 기본 드라이버가 올라오기 전에 카드 설정을 바꾸는 리눅스 커널 모듈, 즉 운영체제 핵심부에 끼워 넣는 부품이다. 제작자 측정으로 RTX 4090의 FP16 텐서 연산은 초당 165.6조 회에서 331.6조 회로, BF16은 165.5조 회에서 330.6조 회로 두 배가 됐다. 텐서 연산은 AI 모델이 돌 때 대부분을 차지하는 행렬 곱셈이고, FP16·BF16은 그 계산에 쓰는 숫자 형식이다.
어제 소개한 gpu-unlock은 RTX 30 계열이 대상이었고, 이번 저장소는 RTX 4090을 주 대상으로 삼으며 4070 Ti SUPER 등은 실험 단계로 따로 켜야 한다. 다른 소유자의 측정도 FP16 기준 초당 160.4조 회에서 320.4조 회로 비슷했다. 다만 이 값은 계산 명령을 내보내는 속도의 최대치이고, 실제 행렬 곱셈 라이브러리(cuBLAS) 측정에서는 행렬 모양에 따라 12~34% 빨라지는 데 그쳤다. 용량을 줄인 대형 모델을 실제로 돌리는 시험에서는 빨라지지 않았다.
사무실에 RTX 4090을 두고 AI 모델을 직접 돌리는 팀이라면, 새 카드를 사기 전에 시험해 볼 만한 선택지다. 효과가 작업마다 크게 다르니 지금 쓰는 작업 하나를 정해 적용 전후 시간을 재 보고 판단해야 한다.
한계도 분명하다. 제작자가 연구용이라고 밝혔고, 카드 종류마다 한두 대에서만 확인한 결과다. 첫 시도 전에 전원을 완전히 끄는 냉부팅이 필요하고, 원래 상태로 부팅하는 항목을 따로 남겨 두라고 권한다. 모듈은 GPL-2.0 라이선스지만 엔비디아 펌웨어는 엔비디아 조건을 따르므로, 회사 장비라면 사내 정책부터 확인한다.
네이버·당근 검색광고, 11월부터 입찰가보다 클릭 가능성
네이버 광고주센터가 11월 4일 이름과 로고를 네이버애즈(N Ads)로 바꾼다. 주소·계정·광고·예산·비즈머니·쿠폰은 그대로이고, AI 상담 챗봇은 ‘애즈 어시스턴트’로 바뀌며 처음 광고하는 광고주를 위한 안내도 나온다. 11월 25일부터는 쇼핑검색광고의 쇼핑몰 상품형·제품 카탈로그형 소재에 클릭기대지수가 들어간다. 과거 클릭률을 바탕으로 소재마다 1~10점을 매기고, 이 유형의 기존 품질지수 제공은 끝난다.
당근도 11월 9일부터 간편모드·전문가모드 검색광고 전체의 노출 순위 방식을 바꾼다. 지금까지 본 광고 품질·입찰가·검색어 관련성에 더해, 그 이용자가 광고에 실제로 반응할 가능성을 반영한다. 그래서 같은 검색어라도 사람마다 다른 광고가 보일 수 있고, 입찰가를 올려도 원하는 순위가 보장되지 않는다. 클릭 한 번에 실제로 내는 돈은 설정한 입찰가를 넘지 않는다.
두 변화의 방향은 같다. 돈을 더 써서 자리를 사는 것보다, 사람이 누를 만한 상품명·사진·가격과 클릭 뒤 도착하는 페이지가 더 중요해진다. 네이버 클릭기대지수는 노출 여부나 순위를 직접 정하지 않는 참고 점수라, 여러 소재 중 무엇을 먼저 고칠지 고르는 데 쓰면 된다. AI로 상품명·설명 문구를 여러 벌 만들어 시험하던 판매자에게는 그 결과를 읽을 숫자가 하나 생긴다.
당근은 구체적인 점수 산정 방식을 공개하지 않았다. 광고비가 줄지, 노출이 늘지는 시행 뒤 실제 성과로만 알 수 있으니 바뀌기 전 2주치 클릭률과 클릭당 비용을 지금 적어 둔다.
opencode, DeepSeek V4.1·GLM-5.3 Flash 기간 한정 무료
오픈소스 AI 코딩 도구 opencode의 모델 서비스 Zen이 DeepSeek V4.1 Flash Free와 GLM-5.3-Flash Free를 기간 한정 무료 모델로 올려 두고 있다. 모델 이름은 각각 deepseek-v4.1-flash-free, glm-5.3-flash-free이고 종료일은 적혀 있지 않다. opencode는 Claude Code처럼 터미널, 즉 글자로 명령을 치는 창에서 AI에게 코드를 짜게 하는 도구다.
공식 문서는 두 모델이 대화 내용을 보관하지 않고 제공사가 학습에 쓰지 않는다고 적었다. 반면 같은 목록의 Big Pickle·MiMo-V2.6-Flash Free 등은 무료 기간 동안 모은 데이터를 모델 개선에 쓸 수 있다고 밝혀, 같은 무료 모델이라도 조건이 다르다. 무료 모델을 아예 숨기려면 환경변수(프로그램에 미리 주는 설정값) OPENCODE_DISABLE_FREE_MODELS=1을 둔다.
구독 사용량이 빠듯한 사람에게는 간단한 화면 수정이나 스크립트 초안을 이쪽으로 돌려 유료 한도를 아끼는 방법이 된다. 다만 회사 코드나 고객 자료를 넣기 전에는 모델별 데이터 조건을 문서에서 다시 확인한다.
무료 모델이 어디서 처리되는지는 문서에 따로 적혀 있지 않고, 기간이 언제 끝날지도 모른다. 무료 기간에 맞춰 업무 흐름을 굳히기보다 언제든 다른 모델로 바꿀 수 있게 설정을 남겨 둔다.
오늘 해 볼 것
Tailscale 관리 콘솔의 접속 규칙에서 SSH 항목을 열어, 모든 기기에서 모든 서버로 넓게 열린 줄과 root를 대상으로 한 줄이 있는지 확인한다. Tailscale SSH를 쓴 적이 없다면 그 항목이 비어 있는지만 보면 된다.
서비스가 도는 서버에서 node -v를 실행해 26.12.1·24.22.1·22.23.4 이상인지 본다. 외주 서비스라면 이 세 번호를 업체에 보내 적용 날짜를 받아 둔다.
네이버·당근 광고를 쓴다면 최근 2주 클릭률과 클릭당 비용을 표 하나에 적어 둔다. 11월 9일·25일 이후 같은 표로 비교하면 바뀐 기준의 효과를 숫자로 볼 수 있다.
opencode를 쓴다면 /models 목록에서 두 무료 모델이 보이는지 확인하고, 회사 코드가 아닌 연습 프로젝트 하나로 먼저 시험한다.