ParticleDB의 Jepsen 보고서, Lenovo 지문 USB 스틱, Karpathy의 HackerTube 및 Linux TCP 버그 CVE-2026-98432: Daily Diff의 4가지 개발자 이야기

이 동영상에서 다루는 내용

• Kyle Kingsbury가 운영하는 데이터베이스 테스트 연구소인 Jepsen은 2026년 10월 31일 ParticleDB에 대한 분석을 발표했습니다. ParticleDB는 AI 에이전트를 위한 Orkes의 Rust 데이터베이스이며, Orkes가 이 작업에 자금을 지원했습니다. Jepsen은 1.1.4부터 1.1.18.11.rc-22 버전까지 단일 노드에서 테스트했으며, 대부분 서버 1개, 클라이언트 1개, 오류 없음이 필요한 96가지 문제를 제시했습니다. 보고서의 예시: WHERE 4 = 5 절이 기본 키 5를 가진 행을 반환하고, WHERE TRUE가 아무것도 일치시키지 못했으며, UPDATE가 여러 행을 동일한 기본 키로 남길 수 있었습니다.
• ParticleDB 홈페이지에는 '완벽한 ACID. 159K TPS.'와 TLA+ 증명이 광고되었지만, Jepsen은 협업 기간 동안 TLA+ 사양이 제공되지 않았으며, '완벽한 ACID' 아래 텍스트에는 스냅샷 격리가 명시되어 있었다고 말합니다. Jepsen이 테스트한 마지막 버전인 1.1.18.11.rc-22에서는 기본 occ 트랜잭션 모드에서도 정상 작동 중에 커밋된 쓰기가 손실되었고, 가장 엄격한 직렬화 가능 모드에서는 프로세스 종료 후 Lost Update가 허용되었습니다. Orkes는 버전 1.1.19-rc.13에서 남아 있는 모든 문제가 해결되었다고 말하지만, Jepsen은 이를 평가하지 않았으며 사용자에게 ParticleDB의 추가 배포를 중단하고 다른 데이터베이스로 마이그레이션할 것을 권장합니다.
• 보안 연구원 Xusheng Li는 AES-256으로 하드웨어 암호화된 것으로 판매된 Lenovo ThinkPlus FU100 지문 USB 스틱에 데이터가 암호화되지 않은 일반 SD 카드가 들어 있었다는 사실을 발견했습니다. 지문 인식기는 USB 연결만 켜는 역할을 했습니다. 그는 2025년 8월 2일에 이 사실을 보고했으며, Lenovo의 첫 번째 해결책은 SD 카드 위에 에폭시 층을 덧대는 것이었습니다. Lenovo는 자사의 권고를 '높음'으로 평가했으며, Tom's Hardware에 따르면 FU100 및 관련 드라이브에 대한 나중의 해결책은 중국의 서비스 라인에 전화한 다음 교체 또는 현장 펌웨어 업그레이드를 받아야 합니다.
• Tom's Hardware가 보도한 후속 기사에서 Li는 자신의 고용주가 만든 역공학 도구와 OpenAI의 Codex를 다른 제조사의 USB 보호 소프트웨어에 사용했습니다. Netac의 소프트웨어는 고정 키가 내장되어 있고 진단 로그에 암호를 기록했기 때문에 약 7분밖에 걸리지 않았으며, 다른 공급업체의 드라이브에는 Li가 백도어라고 부르는 두 개의 숨겨진 계정이 있었습니다. USB 스틱의 데이터의 경우, 장치에 도달하기 전에 제어하는 소프트웨어로 파일을 암호화하십시오.
• 2026년 10월 31일, Andrej Karpathy는 코딩 에이전트를 사용하여 약 2시간 만에 구축한 YouTube 스타일 사이트인 hackertube.org의 HackerTube를 설명했습니다. 이 에이전트는 Hacker News 댓글을 다운로드하여 스팸을 필터링하고 YouTube 동영상을 추천하는 약 40,000개의 댓글을 유지하여 2007년부터 2026년까지 150개 주제에 걸쳐 6,454개의 동영상을 만들었습니다. 이 사이트는 업로드된 썸네일 대신 50% 지점의 프레임을 보여줍니다. Karpathy는 수동 단계로 Google Cloud API 키, 서버 및 도메인을 나열합니다.
• CVE-2026-98432는 Linux 커널의 IPv4 TCP 핸드셰이크에서 발생하는 use-after-free 취약점으로, CVSS 점수는 9.8점이며, 로그인 없이 원격 피어에 의해 접근할 수 있습니다. Eric Dumazet의 수정 사항은 10월 1일자 커밋에서 두 개의 일반 kfree 호출을 kfree_rcu로 대체했습니다. 수정 사항이 포함된 안정적인 커널은 10월 11일과 15일에 출시되었으며, 이 버그는 Linux 4.4로 거슬러 올라갑니다. Red Hat은 10월 30일에 등급을 '중요'에서 '치명적'으로 상향 조정했습니다. 10월 31일 토요일 저녁까지 Ubuntu와 Red Hat Enterprise Linux는 수정된 커널을 아직 나열하지 않았습니다. 컨테이너가 호스트 커널을 공유하므로 컨테이너 호스트를 포함하여 배포판의 수정된 커널을 설치하고 재부팅하십시오.
• Anthropic은 Claude가 멀티패스 TCP 리스너가 있는 Linux 서버에 대한 작동하는 익스플로잇을 작성했으며, 개념 증명에서 커널 포인터를 유출하는 데 48분, 셸 명령을 실행하는 데 5분이 더 걸린다고 말합니다. 이 익스플로잇은 게시되지 않았습니다. Go 보안 팀은 Go 1.24 이후 Go 프로그램이 기본적으로 멀티패스 TCP 리스너를 활성화하며, 이 리스너가 없는 시스템도 유사한 공격에 취약할 수 있다고 경고합니다. Red Hat과 AlmaLinux는 IP 옵션이 있는 IPv4 TCP 패킷을 드롭하는 방화벽 규칙을 게시했는데, Red Hat은 이 규칙이 노출을 줄이지만 익스플로잇을 완전히 방지하지는 못한다고 말합니다.

번역된 스크립트

원래 영어 내레이션에서 번역되었습니다. 사용 가능한 오디오 및 캡션은 YouTube에서 제어합니다.

오프닝: where 절이 어떻게 4는 5와 같다고 말할 수 있을까요?

0:00 Full ACID를 광고하는 데이터베이스는 사용자가 작성한 내용을 유지해야 합니다. Jepsen은 하나를 테스트했고 96가지 문제를 발견했는데, 그중에는 where 절이 4는 5와 같다고 말하면서도 행을 반환하는 문제가 있었습니다. 이 비디오에는 네 가지 이야기가 있습니다. Jepsen은 Full ACID를 주장하는 데이터베이스에서 무엇을 발견했을까요? 암호화되었다고 판매된 지문 USB 스틱 안에는 무엇이 있었을까요? Andrej Karpathy는 어느 날 아침 무엇을 만들었을까요? 그리고 Linux 네트워킹 버그에 대해 무엇을 패치해야 할까요?

0:26 그 버그 중 하나는 스톱워치와 함께 제공됩니다. 마지막에 읽어드리겠습니다. 오늘은 11월 1일 일요일이고, 이것은 The Daily Diff입니다. Jepsen은 Kyle Kingsbury의 테스트 연구소입니다. 실제 워크로드와 오류를 통해 데이터베이스를 실행하고 웹사이트의 보장이 유지되는지 확인합니다. 냉장고를 실제로 여는 검사관을 생각해보세요.

첫 번째 이야기: Jepsen은 ParticleDB에서 무엇을 발견했는가?

0:44 첫 번째 이야기. 토요일에 Jepsen은 ParticleDB에 대한 보고서를 발표했습니다. Orkes의 Rust 데이터베이스로 AI 에이전트를 대상으로 합니다. Orkes가 작업 비용을 지불했습니다. 홈페이지에는 Full ACID, 초당 159,000 트랜잭션이라고 적혀 있었습니다. Jepsen은 ParticleDB를 첫 번째 1.1 빌드부터 후기 릴리스 후보까지 테스트했습니다. 사이트에서는 TLA 플러스 증명을 통해 정식으로 입증되었다고 주장했습니다. Jepsen은 작업 기간 동안 TLA 플러스 사양을 사용할 수 없었다고 말합니다.

1:10 Full ACID 라인 아래, 같은 페이지에는 스냅샷 격리라고 적혀 있었습니다. 완전히 격리된 것은 아닙니다. 버그는 미묘하지 않았습니다. 대부분 서버 1개, 클라이언트 1개, 그리고 오류 주입 없음이 필요했습니다. 4는 5와 같다고 말하는 where 절이 행을 반환했습니다. true라고 말하는 where 절은 아무것도 일치시키지 못했습니다. 업데이트는 동일한 기본 키를 가진 두 개의 행을 남겼습니다. Jepsen이 테스트한 마지막 릴리스, 릴리스 후보 22는

1:36 훨씬 더 안전했습니다. 그럼에도 불구하고 기본 트랜잭션 모드에서는 정상 작동 중에 커밋된 쓰기가 손실되었습니다. 가장 엄격한 모드에서도 프로세스 종료 후 손실된 업데이트가 허용되었습니다. Orkes는 다음 릴리스에서 이 모든 것을 해결한다고 말합니다. Jepsen은 아직 테스트하지 않았습니다. 그래서 마지막 릴리스에서는 Full ACID를 약속한 데이터베이스가 이미 커밋한 쓰기를 잃을 수 있었습니다. 속도는, 제 생각에, 훌륭했습니다.

2:00 Jepsen의 조언은 명확합니다. ParticleDB의 추가 배포를 중단하고 가능한 한 빨리 다른 데이터베이스로 마이그레이션하십시오. Orkes는 봄 리팩토링을 비난하며, 이전 버전을 사용하는 자체 고객은 영향을 받지 않았을 것이라고 말합니다. 저장 프로시저 문서에는 Kyle Kingsbury의 이메일 주소까지 만들어냈습니다. 두 번째 이야기. Lenovo ThinkPlus FU100은 지문 USB 스틱입니다.

두 번째 이야기: Lenovo 지문 USB 스틱 안에는 무엇이 있었나?

2:21 AES-256으로 하드웨어 암호화된 것으로 판매됩니다. 보안 연구원 Xusheng Li는 하나를 분해하여 일반 SD 카드를 발견했습니다. 아무것도 암호화되지 않았습니다. 지문 인식기는 스틱이 컴퓨터에 연결되는지 여부만 결정했습니다. 카드에 있는 파일은 그것에 의존하지 않았습니다. Li는 2025년 8월에 이 결함을 Lenovo에 보고했습니다. 첫 번째 해결책은 SD 카드 위에 에폭시 층을 덮는 것이었습니다. 그래서 파일은 전혀 암호화되지 않았습니다.

2:47 잠깐, 그냥 SD 카드라고요? 항상 그랬습니다. Lenovo는 자체 권고 등급을 '높음'으로 평가했습니다. FU100과 세 가지 관련 드라이브에 대한 나중의 해결책은 중국의 서비스 라인에 전화한 다음 드라이브를 반납하거나 현장 펌웨어 업그레이드를 받는 것을 의미합니다. Lenovo는 먼저 드라이브를 지울 것을 권고합니다. 지난주 Li는 OpenAI의 Codex와 그의 고용주의 역공학 도구를 사용하여

3:09 다른 제조사의 USB 보호 소프트웨어를 대상으로 했습니다. Netac의 소프트웨어는 고정 키가 내장되어 있고 암호를 진단 로그에 기록했기 때문에 약 7분밖에 걸리지 않았습니다. 한 드라이브에는 Li가 백도어라고 부르는 두 개의 숨겨진 계정이 있었습니다. 드라이브의 보안이 하드웨어라면 직접 확인하십시오. 파일이 스틱에 도달하기 전에 제어하는 소프트웨어로 파일을 암호화하고, 지문을 편의성으로 취급하십시오.

세 번째 이야기: Karpathy는 어느 날 아침 무엇을 만들었나?

3:31 세 번째 이야기, 가벼운 이야기. 금요일 밤 Andrej Karpathy는 YouTube를 열고 그가 말하는 끔찍한 쓰레기 더미를 보았습니다. 그리고 토요일 아침에 그의 코딩 에이전트에게 Hacker News가 추천하는 것으로 대체품을 만들라고 지시했습니다. 에이전트는 Hacker News 댓글을 다운로드하고 스팸을 필터링했으며, YouTube 동영상을 추천하는 약 4만 개를 유지했습니다. 그 결과 2007년부터 현재까지 150개 주제에 걸쳐 6,454개의 동영상이 남았습니다.

3:58 사이트는 hackertube.org입니다. 업로더가 선택한 썸네일 대신 중간 지점의 프레임을 보여주는데, 이것은 약간 아쉬운 점입니다. Karpathy는 전체 구축에 약 2시간이 걸렸다고 말합니다. 그의 유일한 수동 단계는 Google API 키, 서버 및 도메인이었습니다. 10월 12일에 Karpathy는 액세스와 작업이 사람들이 이러한 도구를 이해하는 방식에 격차를 만든다고 생각한다고 말씀드렸습니다. 2시간의 작업은 괜찮은 데이터 포인트입니다.

4:21 네 번째 이야기, 행동해야 할 이야기.

네 번째 이야기: CVE-2026-98432에 대해 무엇을 패치해야 하는가?

4:23 CVE 2026, 98432는 Linux 커널의 IPv4 TCP 핸드셰이크에서 발생하는 use-after-free 취약점으로, 10점 만점에 9.8점입니다. 로그인 없이 원격 피어가 접근할 수 있습니다. Eric Dumazet은 10월 1일에 수정 사항을 작성했습니다. 수정 사항은 10월 11일과 15일에 안정적인 커널에 도달했으며, 이 버그는 Linux 4.4로 거슬러 올라갑니다. Red Hat은 10월 30일에 등급을 '중요'에서 '치명적'으로 상향 조정했습니다. 토요일 저녁까지 Ubuntu와 Red Hat Enterprise Linux는 아직 수정된

4:52 커널을 나열하지 않았습니다. Anthropic은 Claude가 멀티패스 TCP 리스너가 있는 서버에 대한 작동하는 익스플로잇을 작성했으며, Go 프로그램은 Go 1.24 이후 기본적으로 이를 열었다고 말합니다. Go 팀은 해당 리스너가 없는 시스템도 유사한 공격에 취약할 수 있다고 경고하며, 최고의 해결책은 패치된 커널이라고 말합니다. 아직 수정된 커널이 없는 배포판의 경우, Red Hat과 AlmaLinux는 IP 옵션이 포함된 IPv4 TCP 패킷을 드롭하는 방화벽 규칙을 게시했습니다. Red Hat은 이것이 노출을 줄이지만 완전히 방지할 수는 없다고 말합니다.

5:23 그 후에는 기다려야 합니다. 오늘 할 일. 컨테이너가 호스트 커널을 공유하므로 컨테이너 호스트와 Kubernetes 노드에도 배포판의 수정된 커널을 설치하고 재부팅하십시오. Debian, Suse 및 Amazon Linux는 이미 수정 사항을 가지고 있습니다. 아직 패치할 수 없다면, 멀티패스 TCP 리스너를 실행하는 호스트부터 시작하십시오. 이제 약속했던 스톱워치입니다.

스톱워치로 돌아가서: 익스플로잇은 얼마나 걸렸나?

5:44 Anthropic의 자체 개념 증명에서는 커널 포인터를 유출하는 데 48분, 셸 명령을 실행하는 데 5분이 더 걸립니다. Anthropic은 이 익스플로잇을 게시하지 않았습니다. 제가 말하는 것을 듣는 것보다 읽고 싶으시다면, 매일 아침 무료로 thedailydiff.dev로 메일함에 배달됩니다. 아래 링크를 참조하세요.

결론: REVERT

6:02 그래서 오늘의 평결은 REVERT입니다. Jepsen의 조언이 배포를 중단하라는 것이므로 ParticleDB를 REVERT할 것이고, 스톱워치가 함께 제공되므로 해당 커널을 패치할 것입니다. 그리고 오늘의 차이점은 이것입니다. Axrisi의 Niko입니다. 책임감 있게 병합하세요.

출처

1. Jepsen: ParticleDB 1.1.4 (Kyle Kingsbury, October 31, 2026)Jepsen
2. Lenovo's 'encrypted' fingerprint USB drive is just an unencrypted SD card in a fancy caseTom's Hardware
3. Lenovo ThinkPlus Fingerprint USB Drive Sold as Encrypted Was a Plain SD Card InsideHackingPassion
4. HackerTubeAndrej Karpathy
5. CVE-2026-98432Ubuntu Security
6. RHSB-2026-016: Use-after-free - kernel IPv4 (CVE-2026-98432)Red Hat
7. ipv4: free inet_opt and ireq_opt after an RCU grace periodLinux kernel (Eric Dumazet)
8. Discovering and exploiting vulnerabilities in critical, real-world software with ClaudeAnthropic
9. Protecting against CVE-2026-98432 when using Go programsGo Security Team via oss-security
10. Linux's October 2026 TCP Use-After-Free: CVE-2026-98432Atlas