본문 바로가기

전체 글48

클로드 스킬 설치 전 보안 점검, NVIDIA SkillSpector로 직접 스캔해 봤습니다 (API 키 없이) 클로드 스킬은 Claude Code 같은 에이전트가 필요할 때 불러 쓰는 SKILL.md와 스크립트 묶음입니다.남이 만든 스킬을 설치하는 일은 남의 코드와 지시문을 에이전트 권한째 들이는 일이라 설치 전에 스캔해 볼 이유가 있습니다. 10월 27일(KST) GitHub Trending에는 SkillSpector와 스킬 저장소들이 함께 올라왔습니다.LiteLLM 악성 버전 사태 정리 글에서 다룬 pip 패키지 공급망 문제는 스킬에도 이어집니다.스킬도 공급망의 일부인 만큼 설치 전 점검 도구가 필요하지만,점수 하나를 믿어도 되는지는 실제로 돌려 확인할 필요가 있습니다. 이번에는 API 키 없이 --no-llm 정적 분석만으로 어디까지 잡는지 확인했습니다.실험용 스킬 여섯 개와 공개 저장소 두 곳을 스캔하고,.. 2026. 10. 27.
UML 다이어그램 종류 정리, 주문 서비스 하나로 클래스/시퀀스/유스케이스까지 Mermaid로 직접 그려봤습니다 UML(Unified Modeling Language) 종류를 정의로만 외우면 실제 설계에서는 손이 잘 가지 않습니다.이름은 알아도 어떤 문제 앞에서 어떤 그림을 꺼내야 하는지 연결하기 어렵기 때문입니다.주문 서비스 하나를 여러 관점으로 그려 보면,같은 코드에서도 다이어그램마다 드러내는 정보가 다르다는 점이 보입니다.다이어그램별 정의는 친절한 3님의 UML 다이어그램 종류 및 특징 글에 정리돼 있어서,이번 글은 예제를 직접 그리고 실행 결과와 비교하는 쪽에 집중합니다. 결론부터구조와 행위: 정적인 관계를 보는 그림과 시간에 따른 동작을 보는 그림으로 구분우선 그려 볼 다섯 가지: 클래스, 시퀀스, 유스케이스, 액티비티, 상태 다이어그램Mermaid 유스케이스: 전용 문법이 없어 flowchart로 대체 .. 2026. 10. 26.
컨텍스트 엔지니어링이란? 대화가 길어지면 AI가 지시를 무시하는 이유, 로컬 LLM으로 직접 재봤습니다 컨텍스트 엔지니어링이란 LLM이 답을 만들 때 보는 Context Window 안에 무엇을, 얼마나, 어떤 순서로 넣을지 설계하는 일입니다.프롬프트 엔지니어링이 한 번의 지시문을 잘 쓰는 법이라면,컨텍스트 엔지니어링은 시스템 프롬프트, 도구 정의, 대화 기록, 검색 결과까지 모델이 보는 전체를 관리하는 일입니다. 10월 24일 게시된 Drew Breunig의 「The State of Context Engineering」이 HN 1면에 올라왔습니다.그 글에 인용된 「Do as I Say, Not as I Do」는 지시를 줘도 기록 속 예시를 따라가는 현상을 다룹니다.이번 글에서는 이 실험을 로컬 소형 모델로 축소 재현해 보면서,지시를 한 번 써 두는 것보다 그 뒤에 무엇이 쌓이는지가 답을 더 크게 좌우하는.. 2026. 10. 26.
Brotli 취약점 CVE-2026-111497(HTTP2Shell), 내 Node.js와 파이썬 환경 직접 점검해 봤습니다 Aikido의 “Node2Shell evolves to HTTP2Shell” 글이 HN 1면에 오르고,google/brotli가 GitHub Trending에 오르면서 Brotli 압축 해제 경로가 점검 대상으로 떠올랐습니다.처음에는 Node.js 문제인 Node2Shell로 알려졌지만, 파이썬 패키지와 HTTP 라이브러리 전반으로 범위가 넓어지면서 HTTP2Shell로 이어졌습니다.실행 중인 환경의 영향 여부를 확인하는 기준과 패치 전에 차단할 동작을 실습 결과로 정리합니다. 결론부터Node.js: Brotli 문자열 대신 런타임 버전으로 수정 여부 판단 필요파이썬: 가상환경에 설치된 Brotli와 brotlicffi 버전 확인 필요임시 조치: br 자동 해제 중단 또는 선택 의존성 패키지 제거 필요배.. 2026. 10. 25.
UUIDv7 정말 시간순일까? PostgreSQL 18과 Python 3.14로 직접 확인해 봤습니다 HN에서 화제가 된 Robert Alexander의 글은 10월 19일 공개한 “UUIDv7 doesn't have the properties you think it does”로,UUIDv7을 둘러싼 단조 증가, 생성 시각, 추측 불가라는 세 가지 통념을 짚습니다.시간순이라 기본키에 좋다는 설명이 어디까지 맞는지 확인하려면,정렬에 유리한 구조와 실제 생성 순서를 보장하는 범위를 나눠 살펴봐야 합니다. 결론부터정렬 범위: 한 생성기 안에서는 생성 순서와 정렬 순서가 잘 맞음인덱스 효과: 실습에서 v7의 INSERT 시간이 약 27% 짧고 기본키 인덱스가 약 20% 작음시간 해석: UUID에서 꺼낸 타임스탬프만으로 실제 생성 시각을 입증할 수 없음여러 생성기: 같은 밀리초 안에서는 순서가 섞이고, 추측 불가.. 2026. 10. 24.
[책리뷰] 핸즈온 머신러닝, 이번엔 파이토치로 LLM 내부까지 요즘은 API 키 하나로 LLM 서비스를 만들 수 있습니다.그런데 vLLM 설정을 만지다 KV 캐시라는 말이 나오고,파인튜닝 문서를 열면 LoRA, MoE, 플래시 어텐션이 쏟아지면이게 정확히 무슨 일을 하는지 막히는 순간이 옵니다. 오늘 소개할 책은 한빛미디어의 "핸즈온 머신러닝 with 사이킷런, 파이토치" 입니다.주황색 원숭이 표지로 유명한 시리즈가이번에는 텐서플로 대신 파이토치로 새로 쓰였습니다.부제도 "머신러닝 기본기부터 트랜스포머·LLM까지 직접 구현하며 배우기"입니다. 한눈에 보기저자 / 역자 : 오렐리앙 제롱 / 박해선출간 : 2026년 9월, 1,112쪽, 난이도 초중급구성 : 1부 머신러닝(사이킷런) 8장, 2부 신경망과 딥러닝(파이토치) 11장, 부록 5개실습 : 주피터 노트북 제공.. 2026. 10. 23.
OpenShell 사용법, 엔비디아가 만든 AI 에이전트 샌드박스에 직접 가둬 봤습니다 (API 키 없이) AI 에이전트가 파일과 네트워크에 넓게 접근하면,잘못 실행한 명령이 소스 코드 유출이나 API 키 노출로 이어질 수 있습니다.NVIDIA OpenShell은 에이전트가 접근할 수 있는 범위를 Policy로 제한하는 런타임입니다.이번 실습에서는 API 키 없이 curl을 실행해 기본 차단과 허용 후 동작을 직접 확인했습니다. 결론부터OpenShell의 네트워크 접근은 default-deny에서 출발합니다.허용 규칙이 없는 상태에서는 GitHub API에 연결하지 못했고,특정 호스트를 허용한 뒤에는 같은 curl 요청이 정상 응답을 받았습니다. 호스트를 열었다고 모든 요청이 통과하지는 않았습니다.이번에 적용한 read-only 규칙에서는 GET이 통과했지만,이슈를 만드는 POST는 L7에서 차단됐습니다.다른.. 2026. 10. 23.
LiteLLM 악성코드 사태, pip install 한 번에 키가 털리는 원리와 내 파이썬 환경 점검법 LLM 프록시로 많이 쓰는 LiteLLM의 PyPI 1.107.0에 자격 증명 탈취 코드가 들어갔습니다.문제는 LiteLLM을 import하지 않아도 파이썬을 시작하면 실행됐다는 점입니다.악성 패키지는 내려받거나 설치하지 않고,안전한 예제로 실행 원리와 환경 점검, 예방 설정을 직접 돌려봤습니다. 결론부터인터넷에 연결된 환경에 1.107.0을 설치했다면 감염된 것으로 보고,깨끗한 환경에서 자격 증명을 폐기하고 교체하는 작업부터 진행해야 합니다.패키지만 지워서는 이미 전송된 비밀값이나 실행 중인 백도어를 해결할 수 없습니다. 실행 조건: .pth의 import 줄은 파이썬 시작만으로 실행됨대응 우선순위: 노출 가능한 키 교체와 감염 환경 격리예방 설정: 명시적 버전 고정, 해시 검증, 업로드 대기 함께 적.. 2026. 10. 22.
tsrs 사용법, Rust로 옮긴 TypeScript가 tsc보다 정말 빠른지 직접 재봤습니다 타입스크립트 컴파일 속도가 느려지면,코드를 수정한 뒤 결과를 기다리는 시간도 길어집니다.타입 연산이 많은 라이브러리에서는 타입 체크 속도가 개발 흐름에 직접 영향을 줍니다. Cloudflare가 공개한 tsrs는 TypeScript 7 타입 검사기를 러스트(Rust)로 옮긴 도구입니다.zod와 hono에서 실행 시간과 메모리를 측정하고,오류 메시지와 빌드 통과 여부까지 비교했습니다. 결론부터zod 기본 설정에서 tsrs는 tsc 7.0.2보다 7.0배 빨랐습니다.최대 상주 메모리(Max RSS)는 1,865MB에서 496MB로 줄었습니다.검사 작업자(Type Check Worker)를 4개로 맞춰도 4.9배,단일 스레드(Single Thread)에서도 4.2배 차이가 났습니다. 다만 tsrs로 교체하면서.. 2026. 10. 21.
Timestral 사용법, 미스트랄 시계열 예측 모델을 CPU에서 ARIMA와 직접 비교했습니다 ARIMA 같은 기존 모델로 시계열을 예측하려면,데이터가 몇 개월 주기로 반복되는지(Seasonality)와 로그 변환 같은 전처리를 사람이 먼저 정해야 합니다.시계열 Foundation Model은 이런 설정 없이 과거 값만 넣어 예측하므로,이 과정을 얼마나 줄여 주는지 궁금했습니다. 미스트랄(Mistral)의 Timestral을 CPU에서 실행하고,월별 항공 승객 시계열 데이터로 ARIMA와 비교했습니다.평균 오차뿐 아니라 예측 구간이 실제 값을 얼마나 포함하는지도 확인했습니다. 결론부터이번 실습에서는 Timestral-209M의 예측 오차가 가장 작았습니다.MAE는 34.10천 명으로,Seasonality를 반영한 SARIMA(log)의 39.44천 명보다 약 13.5% 낮았습니다.모델 차수나 로그.. 2026. 10. 20.

티스토리툴바