오늘의 흐름
오늘 소식 셋은 모두 ‘내가 맡긴 것이 어디서 어떻게 도는가’를 묻는다. 원격 접속 도구 Tailscale은 이미 접속 권한을 가진 사람이 그 권한을 넘어설 수 있던 결함을 고쳤고, 회계 프로그램 Smart A 10을 만드는 더존비즈온은 외부인이 직원 계정으로 개발 서버에 들어온 정황을 밝혔다. 두 사건 모두 문을 부순 공격이 아니라 이미 나눠 준 열쇠에서 시작됐다.
AI 모델 쪽도 결이 같다. 독립 평가 기관 Artificial Analysis가 채점 방식을 바꾼 v5 순위표에서 1~3위는 1점 차이였지만, 같은 Claude Opus 5.5도 생각을 얼마나 깊게 시키느냐에 따라 점수는 35점에서 58점으로, 과제당 비용은 약 10배로 갈렸다. 어떤 모델을 쓰느냐만큼 어떤 설정으로 쓰느냐를 내가 정해야 한다.
Tailscale 1.104.4 — SSH·Serve 결함 4건 수정
Tailscale은 10월 26일 보안 공지 TS-2026-014~017 네 건을 올리고, 10월 28일 낸 1.104.4에서 모두 고쳤다. Tailscale은 사무실·집의 컴퓨터를 인터넷 너머에서도 한 사내망처럼 잇는 원격 접속 도구이고, Tailscale SSH는 그 망 안의 다른 컴퓨터에 명령창으로 들어가는 기능이다. 가장 무거운 TS-2026-014는 접속 규칙에서 포워딩(두 컴퓨터 사이에 별도 통로를 뚫는 기능)을 허용했을 때, 접속한 사람이 관리자만 쓸 수 있는 내부 통로까지 열 수 있던 결함이다. TS-2026-015는 접속 하나로 메모리를 계속 불려 서비스를 멈추게 할 수 있던 결함이고, 나머지 두 건은 내부 서비스를 망에 공개하는 Serve 기능에서 나왔다.
그제 전한 것은 결함이 수정판 없이 먼저 공개된 단계였다. 이후 Tailscale은 조사 현황 페이지에서 대부분이 권한 상승, 곧 접속이 허용된 사용자가 정해진 계정의 권한을 넘어 작업할 수 있는 문제라고 확인했다. 수정판 전 임시 조치로는 tailscaled 서비스 설정에 TS_SSH_DISABLE_FORWARDING=1을 넣고 다시 시작하라고 안내했고, Tailscale SSH를 모두 끌 필요는 없다고 밝혔다.
AI로 만든 사내 도구를 사무실 컴퓨터나 서버에 올려 두고 밖에서 Tailscale로 접속하는 방식이라면 해당된다. 이 결함은 밖의 아무나가 아니라 이미 접속이 허용된 기기나 사람이 출발점이라, 외주 개발자·퇴사자·공용 노트북이 접속 목록에 남아 있으면 위험이 커진다. 업데이트와 접속 목록 정리를 한 작업으로 묶는 게 맞다.
영향받는 정확한 버전 범위는 공지에 따로 적혀 있지 않다. Tailscale은 확인된 결함과 영향 버전을 담은 추가 권고문과 기술 해설을 내겠다고 했지만 날짜는 밝히지 않았다. 그때까지는 ‘1.104.4 이상인가’ 하나만 기준으로 삼으면 된다.
더존비즈온 Smart A 10·APO백업 유출 가능성 공지
더존비즈온은 10월 18일 회계·인사 프로그램 Smart A 10의 개발 서버에서 침입 정황을 확인했다고 공지했다. 신원을 알 수 없는 사람이 직원의 VPN 계정(회사 밖에서 사내망에 들어오는 전용 통로 계정)으로 내부 시스템에 접속해 데이터를 조회한 기록이 나왔다는 것이다. 유출 가능 항목은 일부 이용사가 관리하는 정보주체의 성명·주민등록번호 뒤 6자리·계좌번호·주소·휴대전화번호·이메일이고, 주민등록번호 뒤 6자리와 계좌번호는 암호화돼 있다고 밝혔다. 10월 23일에는 백업 서비스 APO백업에서도 백업 솔루션 업체 제품의 취약점을 통해 암호화된 데이터 일부가 밖으로 나간 정황을 공지했다.
회사는 두 공지 모두 유출이 확정된 것이 아니라 가능성을 미리 알리는 것이며, 어느 고객사의 어떤 정보인지는 아직 특정하지 못했다고 적었다. 백업 데이터는 모두 암호화돼 있었고 암호화 키가 새어 나간 정황은 없다는 설명이다. 과학기술정보통신부는 10월 26일 이를 중대한 사고로 보고 민관합동조사단을 꾸렸고, Smart A 10 이용 기업이 11만 곳을 넘는다는 회사 측 설명이 보도됐다.
작은 회사와 세무회계 사무소는 직원 급여·인사 기록을 이런 클라우드 프로그램에 맡겨 둔다. 내가 직접 뚫리지 않아도 맡긴 곳이 뚫리면 우리 직원 정보가 나갈 수 있고, 직원에게 알리고 사칭 연락에 대비하는 일은 이용 회사 몫으로 남는다. 더존비즈온은 회사나 침입자를 사칭해 돈을 요구하거나 파일·링크를 열게 하는 연락에 응하지 말라고 당부했다.
실제 유출 범위, 공격 주체, 정확한 침입 시점은 아직 조사 중이다. 회사는 업무 플랫폼 WEHAGO는 영향이 없다고 밝히면서도 예방 차원에서 2단계 인증을 켜라고 권했다. 조사 결과가 나오면 대상 고객사와 항목을 다시 알리겠다고 했다.
Artificial Analysis v5 — 1~3위가 1점 차
독립 평가 기관 Artificial Analysis는 10월 27일 여러 시험을 묶어 AI 모델에 종합 점수를 매기는 Intelligence Index를 v5로 바꿨다. 첫 발표에서는 Claude Opus 5.5가 58점, GPT-6 Astra가 57점, GPT-6.1 Sol이 55점이었고, 모두 가장 깊게 생각하게 하는 설정 기준이다. 다음 날 Google의 Gemini 4 Carbon이 59점으로 1위에 올랐는데, 이 모델은 아직 일부 사용자에게만 열려 있다.
v5에서는 시험의 약 60%를 공개되지 않은 문제나 정답을 가린 문제로 채웠다. 공개된 시험 문제는 모델이 학습 중에 미리 봤을 수 있어서, 처음 보는 문제로 실력을 재려는 변화다. 지식 업무·코딩·과학·일반을 25%씩 반영하도록 구성도 바꿨으니 이전 버전 점수와 바로 비교하면 안 된다.
실무에 더 쓸모 있는 숫자는 설정별 차이다. Claude Opus 5.5는 생각을 가장 깊게 시키면 58점에 과제당 10.04달러가 들었고, 가장 얕게 시키면 35점에 0.98달러였다. Claude의 effort, ChatGPT의 추론 수준처럼 ‘얼마나 오래 생각할지’ 고르는 메뉴가 바로 이 값이라, 1위 모델로 갈아타는 것보다 이 설정을 일에 맞게 고르는 쪽이 비용을 더 크게 움직일 수 있다.
종합 점수가 모든 일의 순위는 아니다. Carbon은 9개 시험 중 4개에서 1위였지만, 코딩 작업을 맡기는 평가에서는 Claude Code와 함께 쓴 Opus 5.5가 62점으로 Carbon(59점)보다 높았다. 과제당 비용도 Carbon은 7.76달러로 Opus 5.5 최고 설정(10.04달러)보다 낮고 GPT-6 Astra 최고 설정(6.25달러)보다 높았다.
오늘 해 볼 것
Tailscale을 쓰는 컴퓨터마다 명령창에서 tailscale version을 쳐 버전을 확인하고 1.104.4 이상으로 올린다. 당장 못 올리는 서버는 tailscaled 서비스 설정에 TS_SSH_DISABLE_FORWARDING=1을 넣고 다시 시작한다.
Smart A 10이나 APO백업을 쓰는 회사라면 더존비즈온의 개별 안내를 받았는지 확인하고, 직원에게 사칭 문자·전화 주의를 알린다. 개인은 금융감독원 개인정보노출자 사고예방시스템, 명의도용 휴대폰 개통을 막는 엠세이퍼, 내 이름의 계좌를 한 번에 보는 계좌정보통합관리서비스를 쓸 수 있다.
사내 VPN·원격 접속 계정 목록을 열어 퇴사자·외주 인력·안 쓰는 기기 계정을 지운다. 오늘 두 보안 사건 모두 이미 발급된 계정이 출발점이었다.
자주 맡기는 업무 하나를 골라 같은 모델의 생각 깊이 설정을 낮음·중간·높음으로 바꿔 돌려 보고, 결과 품질과 걸린 시간·사용량을 적어 둔다. 순위표의 1점 차보다 내 업무에서 생기는 차이가 모델과 설정을 고르는 기준이 된다.