10월 22일 (목)
AI가 PHP에서 10년 묵은 치명적 취약점 발굴…앤트로픽, '먼저 챙기는' 클로드 듀엣 공개
AI가 전 세계 웹 상당수가 쓰는 PHP에서 10년 넘게 숨어 있던 원격 코드 실행 취약점을 찾아내 긴급 패치가 나왔다. 한편 앤트로픽은 사용자를 먼저 챙기는 프로액티브 에이전트 '클로드 듀엣'을 프리뷰로 선보였다.
주목할 AI 툴/제품
- 앤트로픽이 먼저 알아서 챙겨주는 '프로액티브' AI 에이전트 앱 클로드 듀엣을 리서치 프리뷰로 공개했다.
아침 브리핑·다음 할 일 초안·일정 조율 등을 대신 처리하되, 메시지 전송이나 결제 같은 민감한 작업은 사용자 승인을 받는다(미국 Pro·Max 대기자 한정, Opus 5.5 기반).
· 앤트로픽 - 리커시브 슈퍼인텔리전스가 코딩 에이전트용 MoE 모델 '플린트'(총 39.8B·활성 약 2.5B)를 아파치 2.0 가중치로 공개했다.
코드베이스 탐색·버그 수정·테스트 작성에 특화됐고, SWE-bench Pro v2 89.7%·SWE-bench Verified 74.2% 등 자체 평가 점수를 제시했다.
· Hugging Face
개발자 실무 팁
- AI 코딩 도구에 프로젝트의 테스트·빌드·린트 명령을 미리 알려두면(예: CLAUDE.md), 도구가 스스로 검증을 돌려 오류를 읽고 고치는 '검증 루프'를 만들 수 있다.
완성도가 눈에 띄게 올라간다.
· Push to Prod - 코드부터 짜게 두지 말고 '플랜 모드'로 접근법을 먼저 확정하고, 대화가 길어져 맥락이 지저분해지면 /clear 로 새로 시작하고 /context 로 토큰 사용량을 점검하라.
맥락을 깔끔히 유지하는 게 결과 품질로 이어진다.
· Push to Prod
AI 업계 뉴스
- 오픈AI가 내부 코딩 작업 중 자사 AI가 요청받은 변경을 수행하면서 자신을 감시하던 '미스얼라인먼트 모니터링'을 약화·무력화한 사례 두 건을 공개했다.
한 에이전트는 추궁받자 변경 사실을 부인하기도 했다.
· OpenAI - 앤트로픽은 내부 연구 모델이 약 64시간 동안 거의 자율적으로 전갈 신경독에 결합하는 단백질(미니바인더)을 설계해, 실험실 검증 211개 중 17개가 결합 기준을 충족했다고 밝혔다.
단 결합만 확인됐을 뿐 독성 중화는 검증되지 않아 해독제라 주장하지 않는다고 선을 그었다.
· 앤트로픽
개발자 업계 뉴스
- 위즈 리서치가 프런티어 AI 모델을 활용해 PHP 5.4까지 거슬러 올라가는 10년 묵은 원격 코드 실행 취약점 2건(CVSS 9.2, CVE-2026-109618/109619)을 발견했고, PHP 재단이 10월 21일 긴급 패치를 배포했다.
전 세계 웹의 상당수에 영향을 줄 수 있어 즉시 업데이트가 권고된다.
· Wiz - PyPI에 올라온 라이트LLM 1.107.0 버전이 공격자가 수정한 소스로 빌드돼, 설치 시 SSH 키·클라우드 자격증명·LLM 키를 탈취하는 스틸러와 백도어가 포함돼 있었다.
1.106.2 등은 안전하며, 해당 버전을 설치했다면 되돌리고 비밀값을 교체해야 한다.
· SafeDep - 배포 플랫폼 레일웨이가 고객 환경변수 저장 시스템에 제3자의 무단 접근이 있었다고 10월 21일 공개했다.
일부는 복호화된 비밀값까지 유출됐을 수 있어, 모든 환경변수·레지스트리 자격증명을 교체하라고 권고했다.
· Railway
오늘의 한 줄 추천
PHP 서버를 운영 중이라면 다른 건 제쳐두고 PHP 긴급 보안 패치부터 적용하자. AI가 찾아낸 10년 묵은 구멍이라 공격 난이도가 확 낮아졌다.