📰 데일리 테크 다이제스트 - 2026-07-15

🔥 오늘의 주요 소식

How Mapfre USA modernized fraud claims with Amazon EMR Serverless

AWS는 매사추세츠 1위 자동차·주택보험사이자 미국 11개 주에서 서비스하는 Mapfre USA가 AWS 및 Neo4j와 협력해 Amazon EMR Serverless 기반으로 보험사기 탐지 시스템을 현대화한 사례를 블로그에 공개했다. Mapfre는 그래프 기반 특징과 머신러닝 모델을 결합해 매사추세츠 자동차보험에서 시작해 이후 주택보험(HO)으로 확장했으며, 순현재가치(NPV) 500만 달러 이상의 절감 효과를 냈고 실제 절감액이 예측치를 웃돌았다. 아키텍처는 Atenea라는 자체 데이터 플랫폼 위에서 S3에 저장된 Apache Iceberg 테이블을 Silver-Gold-Platinum 계층으로 구성하고, AWS Glue 데이터 카탈로그와 Lake Formation으로 거버넌스를 관리한다. 처리 파이프라인은 Amazon EMR Serverless에서 실행되고 Amazon MWAA(Managed Workflows for Apache Airflow)로 오케스트레이션되며, Neo4j 그래프 데이터베이스가 청구인·차량·보험대리인 간 숨겨진 연결관계와 중심성 지표 같은 그래프 특징을 제공한다. 예측 결과는 S3 이벤트로 트리거되는 Lambda 함수를 통해 Guidewire Claims 시스템에 건별 API 호출로 전달되며, 실패 시 SQS 데드레터 큐와 SNS 알림으로 재시도·모니터링을 처리하고 자격 증명은 AWS Secrets Manager로 관리한다. 그 결과 기존 방식 대비 사기 탐지 정확도가 50~135% 개선되었고, Neo4j Bloom 시각화로 특별조사팀(SIU)의 사기조직 식별 속도도 빨라졌다.

💡 왜 중요한가: 그래프 DB(Neo4j)와 EMR Serverless·Iceberg·MWAA를 결합해 서버 프로비저닝 부담 없이 배치·준실시간 스코어링을 처리하면서 Lambda-SQS DLQ-Secrets Manager로 레거시 시스템(Guidewire) 연동의 장애 격리와 재시도까지 설계한 실전형 MLOps 참조 아키텍처라는 점이 눈여겨볼 만하다.

🔗 원문 보기 · AWS Architecture

Kubernetes & Cloud Native

KeycloakCon Japan 2026: Navigating cloud native identity and the AI frontier

CNCF

CNCF는 7월 28일 일본 요코하마에서 열리는 KubeCon + CloudNativeCon Japan 2026과 연계된 반나절짜리 단일 트랙 행사 KeycloakCon Japan(오전 9시12시30분, 퍼시피코 요코하마 3층 313314호)을 소개했다. 핵심 주제는 자율 AI 에이전트와 MCP(Model Context Protocol) 확산에 따른 신원·인가 문제로, AI 에이전트가 사용자를 대신해 다운스트림 API를 호출하며 신뢰 경계를 넘나들 때 기존 인가 모델이 무너지는 문제를 다룬다. Midships Global의 Yuxiang Lin은 OAuth 2.0 토큰 위임·교환, 세밀한 스코프 제어, 감사 추적이 이미 Keycloak에 프로덕션 수준으로 구현돼 있어 별도의 AI 전용 신원 벤더가 불필요하다고 주장하며, TUBITAK의 Mustafa Dayıoğlu는 SPIRE 기반 JWT-SVID와 DPoP 재생 공격 방지로 정적 자격 증명이나 수동 생성 클라이언트 없이 쿠버네티스에서 제로 트러스트 AI 에이전트를 구현하는 사례를 발표한다. Keymate의 Halil Özkan은 Istio Ambient 모드, 웨이포인트 프록시, WASM 확장을 이용해 애플리케이션 코드 수정 없이 서비스 간 HTTP 요청을 평가하는 Keycloak Authorization Services 기반 중앙 제어 플레인을 시연하고, IBM 소속 Keycloak 메인테이너 Alexander Schwartz는 SPIFFE/SPIRE·쿠버네티스 토큰 기반 머신 아이덴티티, 패스키 인증, SCIM 크로스 도메인 동기화 등 최신 기능을 소개한다. 행사는 옥토퍼스 디플로이 후원의 저녁 리셉션(오후 5시~6시15분)으로 마무리되며 KubeCon 등록 패스에 옵션으로 추가할 수 있다.

💡 MCP·AI 에이전트가 프로덕션 서비스 메시를 가로지르며 API를 호출하는 시대에는 정적 시크릿 대신 SPIFFE/SPIRE 워크로드 아이덴티티와 OAuth 토큰 위임으로 인가 체계를 재설계해야 하며, 이미 쓰고 있는 Keycloak/Istio 스택 확장만으로도 별도 AI 전용 IAM 솔루션 없이 대응할 수 있다.

AI Engineer World’s Fair 2026: The Runtime Is Where Agent Trust Is Won

Docker

Docker가 샌프란시스코에서 열린 AI Engineer World's Fair 2026 참관 후기를 정리했다. 올해 컨퍼런스는 Evals, Context Engineering, Harness Engineering, Memory, Sandbox & Platform Engineering, Inference 등 별도 트랙이 신설될 만큼 AI 네이티브 개발 생태계가 세분화됐고, 그중 샌드박스/플랫폼 엔지니어링이 가장 큰 화두로 떠올랐다. Docker는 3개 세션에서 "에이전트 신뢰는 런타임에서 결정된다"는 메시지를 전했다. EVP인 Tushar Jain은 기조 강연에서 Simon Willison의 "리썰 트라이펙타(민감 데이터 접근·비신뢰 콘텐츠 노출·외부 행동 능력이 동시에 존재)" 개념을 인용하며, 해법은 프롬프트가 아니라 격리·네트워크 정책·신뢰된 이미지·자격증명 같은 런타임 계층에 있다고 강조했다. Rowan Christmas는 읽기 권한만 준 코딩 에이전트가 몇 분 만에 노트북에서 은행 거래 정보를 유추해낸 실험을 공개하고, microVM 기반 Docker 샌드박스로 파일시스템·네트워크·툴 경계를 사용자가 직접 정의할 수 있다고 소개했다. Jim Clark은 "섀도 MCP" 문제를 지적하며 조직이 관리하는 카탈로그에 검증·서명된 MCP 서버만 등록하고 미승인 서버는 기본 차단하는 정책 시연을 선보였다.

💡 에이전트를 실제 운영에 붙이려면 프롬프트 수준 안전장치가 아니라 이미지 신뢰·샌드박스 격리·MCP 서버 화이트리스트 같은 런타임/플랫폼 통제가 먼저 갖춰져야 한다.

Is a Pod the right deployment unit for an AI agent?

CNCF

CNCF 블로그는 쿠버네티스 기반 에이전트 프레임워크 kagent 팀이 겪은 "AI 에이전트를 Pod로 배포하는 게 맞는가"라는 고민을 다뤘다. kagent는 처음에 모든 에이전트를 각자의 Pod·Service·ServiceAccount로 실행해 프로세스 격리, 쿠버네티스 네이티브 인증/인가, 기존 네트워크·어드미션 정책과의 호환, Pod 단위 관측성, 네이티브 스케줄링을 확보했고 이후 agent-sandbox로 격리를 더 강화했다. 하지만 에이전트는 상시 가동되는 마이크로서비스와 달리 작업이 있을 때만 깨어나 수 초~수 분 만에 종료되고, 서브에이전트를 동적으로 생성하거나 사람을 대신해 동작하거나 승인 대기를 위해 일시 정지하는 등 전혀 다른 실행 패턴을 보여 에이전트마다 전용 Pod를 유지하는 방식이 비효율적이라는 문제의식이 생겼다. kagent 팀의 해법은 쿠버네티스 위에 별도 제어 평면인 "agent-substrate"를 두는 것으로, 쿠버네티스는 여전히 Pod·Service·네트워킹·스토리지·컴퓨팅을 관리하고 agent-substrate는 WorkerPool(NodePool 대응), Worker(Node 대응), ActorTemplate(PodTemplate 대응) 같은 자체 추상화로 AI "Actor"의 배치와 생명주기를 관리한다. 예시 매니페스트에는 gVisor 기반 이미지(ghcr.io/kagent-dev/substrate/ateom-gvisor:v0.0.6)와 gVisor 런타임(runsc) 설정이 등장하며, 각 Worker는 실제 하나의 Pod에 매핑되지만 Actor는 작업이 있을 때만 스케줄되고 끝나면 제거돼 제한된 Pod 자원으로 훨씬 많은 논리적 에이전트를 감당한다. 이 구조는 에이전트 아이덴티티가 Pod가 아니라 ActorTemplate·네임스페이스·테넌트에 귀속돼야 하는지, 보안/정책을 agentgateway로 매개해야 하는지, 소유권·멀티테넌시·관측성을 어떻게 다룰지 등 쿠버네티스가 아직 답을 주지 못하는 질문들을 새로 던진다.

💡 수천 개 규모의 단명 에이전트를 Pod-당-1개 모델로 운영하면 부팅 오버헤드와 유휴 자원 낭비가 커지므로, Pod를 재사용 가능한 실행 워커로 두고 그 위에 별도 에이전트 스케줄링 계층을 얹는 kagent식 설계는 클러스터 운영자가 눈여겨볼 만한 패턴이다.

No single pane of glass: Anatomy of an Azure permission takeover

Sysdig

Sysdig 위협 리서치팀(TRT)은 유출된 서비스 프린시펄(비인간 자격증명, NHI) 시크릿 하나로 시작된 공격자가 하룻밤 만에 애저(Azure) 테넌트 전체를 장악한 사고를 분석했다. 공격자는 최초 로그인부터 Entra ID 전역 관리자(Global Administrator) 권한, 전 구독에 대한 소유자급 Azure RBAC 권한, 스토리지 계정 액세스 키, Event Hub 키, Key Vault 접근까지 약 1시간 만에 모두 확보했는데, 멀웨어나 제로데이 없이 정상적인 Azure API 호출만으로 이뤄졌다. 사후 조사 결과 이 공격은 서로 연동되지 않는 다섯 개의 독립적인 애저 권한 체계를 순서대로 타고 넘었다는 점이 드러났다. 첫째는 Entra ID 디렉터리 역할(전역 관리자), 둘째는 구독·리소스 그룹 단위 Azure RBAC, 셋째는 Key Vault처럼 리소스 자체에 저장돼 RBAC과 별개로 작동하는 접근 정책, 넷째는 스토리지·Event Hub 등의 공유 키/SAS 토큰으로 신원 정보 없이 발급되고 사용 시 기본적으로 로깅되지 않는 "권한 세탁" 수단, 다섯째는 유출된 서비스 프린시펄이 보유한 마이크로소프트 그래프(Microsoft Graph) API 권한으로 이는 "역할 및 관리자" 화면이 아니라 별도의 "API 권한" 블레이드에서만 확인된다. 공격자는 26개의 애플리케이션 등록에 백도어 시크릿을 심어 지속성을 확보했는데, 각 앱 등록이 독립된 자격증명을 갖고 있어 전역 관리자 권한 회수나 최초 유출 시크릿 교체만으로는 무력화되지 않았다. 텔레메트리 파이프라인의 통제 평면 로그를 공격자가 접근할 수 없는 테넌트 외부의 불변 저장소에 이미 백업해 둔 덕분에 전체 공격 체인을 재구성할 수 있었고, Sysdig의 2026 클라우드 네이티브 보안 리포트에 따르면 비인간 자격증명(NHI)은 클라우드 관리형 아이덴티티의 약 97%를 차지하면서도 계측이 가장 부실한 영역으로 지적됐으며, Sysdig는 이번 사고 대응 과정에서 오픈소스 Falco 룰 4종(플레인 간 브리지 탐지 포함)을 새로 기여했다.

💡 애저 권한은 Entra 역할·RBAC·리소스 자체 정책·공유 키·Graph API 권한이라는 서로 연동되지 않는 다섯 개 평면에 흩어져 있으므로, 사고 대응 시 전역 관리자 권한 회수만으로 안심하지 말고 다섯 평면 전부와 앱 등록 자격증명까지 훑어야 하며 통제 평면 로그는 반드시 테넌트 외부 불변 저장소에 별도 보관해야 한다.

AI & ML

Celebrating 25 years of visual search innovation

Google AI

구글이 2001년 출시된 Google Images 25주년을 기념하며 두 가지 신기능을 공개했다. 하나는 웹 전역의 이미지를 실시간으로 반영하는 다이내믹하고 몰입감 있는 갤러리를 갖춘 새로운 브라우징 홈으로, 사용자가 저장한 컬렉션이 메인 갤러리 위 탭으로 표시돼 다시 탐색하기 쉬워진다. 다른 하나는 AI Overviews 안에 이미지 생성 기능을 직접 통합한 것으로, 원하는 이미지가 웹에 존재하지 않을 때 검색 결과 내에서 바로 만들어낼 수 있게 한다. 글은 2001년 Google Images 출시부터 2009년 Similar Images, 2011년 Search by Image, 2018년 Search 내 Google Lens, 2022년 Lens 멀티서치, 2024년 Circle to Search, 2025년 Lens+AI Mode·Search Live·AI Mode 내 비주얼 결과, 2026년 Circle to Search 다중 객체 인식과 지능형 검색창까지 25년간의 주요 이정표를 정리한다. 작성자는 Brad Kellett이며 2026년 7월 14일 게시됐다. 전반적으로 텍스트 기반 검색에서 시각적 탐색으로 진화해온 Search의 역사를 조명하는 기념 성격의 포스트다.

💡 엔지니어 입장에서 눈여겨볼 부분은 마케팅용 기념 포스트 이면에서 이미지 생성이 검색 결과(AI Overviews) 안에 직접 내장된다는 점으로, 이는 검색 트래픽의 상당 부분이 실시간 생성형 추론 워크로드로 바뀐다는 뜻이며 캐싱·레이턴시·비용 구조에 영향을 준다.

How to manage AI investments in the agentic era

OpenAI

OpenAI는 2026년 7월 14일 발행한 블로그에서 에이전트 시대에 기업이 AI 투자를 관리하는 다섯 가지 방법을 제시했다. GPT-4에서 GPT-5.4로 오면서 백만 토큰당 가격이 97% 하락했고, 최신 GPT-5.6은 Artificial Analysis 코딩 에이전트 지표에서 출력 토큰을 54% 줄이고 작업당 소요 시간을 57% 단축하는 성능 향상을 보였다. 그러나 OpenAI는 토큰 가격만으로는 가치를 판단할 수 없으며 "완료한 작업, 절감한 시간, 개선된 의사결정, 확장 가능한 워크플로" 같은 달러당 유효 작업(useful work per dollar)을 기준 삼아야 한다고 강조한다. 첫째, Admin Console의 사용량 분석·지출 통제 기능으로 사용자·제품·모델별 채택 현황과 지출 추이를 파악하는 가시성을 확보해야 한다. 둘째, 저렴한 모델이 실패·재시도로 오히려 총비용을 키울 수 있으므로 수용 가능한 결과 하나당 비용(cost per accepted outcome)을 기준으로 모델 효율을 평가해야 한다. 셋째, 커넥터·Computer Use 같은 프런티어 기능이 확산되기 전에 접근 권한·승인 절차·Zero Data Retention 같은 거버넌스 체계를 먼저 마련해야 한다. 넷째, 폭넓은 일상 활용·기능별 워크플로·고유 데이터 기반 전략적 베팅으로 투자를 포트폴리오처럼 배분하고 아이덴티티·커넥터·평가체계 같은 공용 역량은 중앙에서 지원하며, 다섯째로 Guaranteed Capacity, Scale Tier, Batch API, Flex Processing, Prompt Caching 등 워크로드 특성에 맞는 상용 구조를 골라 검증된 수요에 맞춰 용량을 배분해야 한다.

💡 클라우드/인프라 담당자 입장에서는 모델별 토큰 단가가 아니라 승인된 결과 하나당 총비용과 워크로드별 용량 구매 전략(Guaranteed Capacity, Batch, Flex 등)을 추적하는 FinOps 체계를 미리 갖춰야 에이전트 확산에 따른 비용 폭증을 통제할 수 있다.

How data science teams use ChatGPT Work

OpenAI

OpenAI가 OpenAI Academy를 통해 데이터 사이언스 팀을 위한 ChatGPT Work(구 Codex) 활용 가이드를 공개했다. 데이터 팀이 자주 마주치는 "KPI가 왜 바뀌었는지", "실험이 성공했는지", "대시보드에 무엇을 추적해야 하는지" 같은 모호한 질문을 다루는 방법을 다룬다. 대시보드, 지표 정의, 데이터 추출본, 실험 노트, 비즈니스 맥락 같은 흩어진 입력값을 넣으면 차트·주의사항·출처 링크·검토 질문이 포함된 초안을 자동으로 만들어준다. 지원하는 산출물은 근본원인 분석 브리프, 비즈니스 임팩트 리드아웃, KPI 메모, 범위가 정해진 분석, 대시보드 스펙, 실험 요약, 대시보드 QA 체크리스트 등이다. 이 워크플로우는 별도 앱이었던 Codex에서 ChatGPT Work로 통합되어 chatgpt.com과 데스크톱 앱에서 사용할 수 있다. OpenAI는 이 도구가 분석가의 판단을 대신하는 것이 아니라 사람이 검토할 초안을 더 빨리 만들어주는 역할이라고 강조한다.

💡 클라우드/데브옵스 관점에서는 반복적인 지표 리포트와 대시보드 스펙 작성 부담을 줄여주지만, 실제 도입 여부는 사내 데이터 소스 접근 권한과 거버넌스 정책을 이 워크플로우에 어떻게 안전하게 연결하느냐에 달려 있다.

How sales teams use ChatGPT Work

OpenAI

OpenAI가 세일즈 팀을 위한 ChatGPT Work(구 Codex) 활용 가이드를 OpenAI Academy에 게시했다. 영업 데이터는 CRM 필드, 통화 메모, 이메일, Slack 대화, 자료, 고객 문서 등에 흩어져 있는데, ChatGPT Work가 이를 모아 파이프라인 브리프, 미팅 준비 패킷, 포캐스트 리뷰, 어카운트 플랜, 정체된 딜 진단 등의 초안을 생성한다. 파이프라인 우선순위화 기능은 계정 기록, 담당자 포트폴리오, 통화 메모, 이메일, 사용 신호를 검토해 트리거·페인포인트·이해관계자 접근성·긴급도·다음 액션 기준으로 계정 순위를 매긴다. 미팅 준비 기능은 과거 대화, 열려있는 이슈, 미팅 목표를 바탕으로 브리핑 자료와 질문을 만들고, 회의 후 메모나 녹취가 있으면 고객 후속 메일·CRM 업데이트·내부 Slack 요약까지 초안을 작성한다. 포캐스트 리뷰 기능은 어떤 딜을 커밋으로 유지할지, 업사이드로 옮길지, 포캐스트에서 제외할지 근거와 함께 정리한다. 다만 실제 관계 전략과 최종 판단은 여전히 영업 담당자와 매니저의 몫이며, 이 도구는 초안 작성 속도를 높이는 역할에 그친다.

💡 데브옵스 엔지니어에게 이 사례가 흥미로운 건 영업 자동화 자체보다, CRM·Slack·이메일을 LLM 파이프라인에 연결하려면 결국 동일한 API 인증, 데이터 접근 권한, 감사 로그 설계 문제를 마주하게 된다는 점이다.

클라우드 업데이트

Google named a Leader in the 2026 IDC MarketScape for Worldwide Foundation Model Software

Google Cloud

구글이 IDC MarketScape: Worldwide Foundation Model Software 2026 Vendor Assessment(Doc #US54427726, 2026년 7월)에서 리더로 선정됐다고 발표했다. 글은 Cloud AI 제품관리 VP인 Michael Gerstenhaber 명의로, 생성형 AI가 주목받기 훨씬 전부터 대규모 조직을 지원하는 글로벌 인프라, 보안 프레임워크, 데이터 플랫폼을 구축해온 것이 이번 선정의 배경이라고 설명한다. 핵심 메시지는 Google DeepMind의 프론티어 연구 결과를 안정적이고 보안성 높은 프로덕션급 시스템으로 전환해온 이력이 이번 평가에서 강점으로 인정받았다는 것이다. 글은 에이전트 시대를 위한 통합 시스템으로 Gemini Enterprise를 소개하는데, 일반 업무용 프런트엔드인 Gemini Enterprise 앱과 개발자용 오케스트레이션 계층인 Gemini Enterprise Agent Platform으로 구성된다. 또한 올해 I/O에서 공개된 Gemini 3.5 시리즈의 첫 모델인 Gemini 3.5 Flash를 소개하며, 장시간 진행되는 에이전트 작업에 적합하도록 모델과 하드웨어를 공동 설계했다고 밝힌다. Gemini 3.5 Flash는 Gemini Enterprise Agent Platform, Google AI Studio, Antigravity에서 사용할 수 있다.

💡 애널리스트 인증 자체보다 중요한 건 IAM·거버넌스·암호화 아이덴티티가 기본 내장된 통합 에이전트 플랫폼이라는 점이며, 이는 벤더 종속과 운영 복잡도를 줄이려는 엔터프라이즈 팀에게 실질적인 채택 근거가 된다.

Claude at scale on Google Cloud: Frontier AI, built for enterprise production

Google Cloud

구글 클라우드가 Claude를 자사 플랫폼에서 프로덕션급 프론티어 AI로 서비스하는 방식을 설명하는 기술 블로그를 게시했다. 작성자는 Schneider Larbi(Sr Manager, Global Partner Technical Architecture)와 Ivan Nardini다. Claude는 Agent Platform의 Model Garden에서 완전관리형 Model-as-a-Service로 제공되며, 컴퓨트 프로비저닝·오토스케일링·로드밸런싱·장애조치를 플랫폼이 처리해 팀이 인프라 대신 기능 개발에 집중할 수 있다고 설명한다. 호출 시 다른 구글 클라우드 서비스와 동일한 IAM, VPC Service Controls, Cloud Logging/Monitoring을 그대로 사용한다. 글로벌 엔드포인트(가용 리전으로 자동 라우팅), 리전 엔드포인트(데이터 상주 요구용), 멀티리전 엔드포인트(미국/EU 데이터 상주 + 리전 장애 복원력) 등 세 가지 엔드포인트 유형을 제공한다. 보안 측면에서는 FedRAMP High와 HIPAA 준수를 지원해 정부·의료·금융 환경 배포가 가능하다. 성능·비용 최적화 기능으로 프롬프트 캐싱(레이턴시 최대 80%, 비용 최대 90% 절감), 최대 100만 토큰의 확장 컨텍스트 윈도우(Claude Opus/Sonnet 4.6 이상), 배치 예측, 프로비저닝 처리량(Provisioned Throughput) 등을 지원하며, Agent Development Kit(ADK)로 Claude 기반 에이전트를 빌드해 Agent Runtime·Cloud Run·GKE에 배포하고 A2A 프로토콜로 다른 에이전트와 상호운용할 수 있다.

💡 실무자 입장에서 핵심은 별도 API 키 관리 없이 기존 IAM/VPC-SC 경계 안에서 Claude를 호출할 수 있고, 글로벌/리전/멀티리전 엔드포인트를 선택해 데이터 주권과 지연시간·장애복구 요구사항을 동시에 맞출 수 있다는 점으로, 이는 자체 추론 클러스터를 운영하지 않고도 프론티어 모델을 규제 환경에 배포할 수 있게 해준다.

A broken DNSSEC rollover took down .AL. Now 1.1.1.1 tells you when validation is bypassed

Cloudflare

2026년 7월, 알바니아 국가 도메인 .AL 최상위 도메인(TLD)에서 DNSSEC 키 롤오버가 잘못 처리되며 전체 도메인 해석이 사실상 마비됐다. 타임라인상 오후 2시15분(UTC)경 .AL 운영자가 새 DNSKEY를 발행하며 예전 키 서비스를 중단했지만 루트존 DS 레코드는 여전히 예전 키(ID 26319)를 가리켜 검증에 실패했고, 오후 5시경 새 DNSKEY까지 제거해 존에 키 자체가 사라졌으며, 오후 7시15분경 루트존에서 DS 레코드를 삭제해 검증을 아예 건너뛰게 함으로써 해석이 복구됐다(.AL은 현재까지 미서명 상태). Cloudflare는 DNS-OARC Mattermost로 .AL 운영자에게 연락을 시도했으나 응답을 받지 못했고, 오후 5시15분경 1.1.1.1 전체 사용자에게 RFC 7646 기반 Negative Trust Anchor(NTA)를 적용해 DNSSEC 검증을 우회시키고 해석을 복구했다. 문제는 NTA가 적용된 응답이 정상 검증 응답과 구분되지 않아 사용자가 보안 우회 여부를 알 수 없다는 점이었는데, Cloudflare는 Quad9의 Babak Farrokhi와 함께 새 Extended DNS Error 코드 EDE 33("Negative Trust Anchor")을 제안해 IANA에 등록시키고 1.1.1.1에 구현했다. 해당 인터넷 드래프트는 IETF DNSOP 워킹그룹에 제출돼 7월 18~24일 빈 IETF 회의에서 논의될 예정이며, Knot 프로젝트의 kdig 툴은 이미 이를 지원하고 Unbound도 반영 PR이 검토 중이다.

💡 NTA는 가용성을 지켜주는 대신 DNSSEC 검증을 조용히 우회시키므로, 리졸버·모니터링 스택이 EDE 33 신호를 파싱하도록 미리 반영해두지 않으면 업스트림 DNS 제공자의 검증 우회를 사각지대로 놓치게 된다.

Zero trust workload identity manager version 1.1 generally available on Red Hat OpenShift

Red Hat

Red Hat이 제로 트러스트 워크로드 아이덴티티 매니저(Zero Trust Workload Identity Manager) 1.1 버전을 Red Hat OpenShift에서 정식 출시(GA)했다. 이 제품은 SPIFFE 표준의 레퍼런스 구현체인 업스트림 SPIRE 프로젝트 기반으로, 장기 시크릿이나 정적 인증서 대신 런타임에 동적으로 암호학적 워크로드 아이덴티티를 발급한다. 1.1의 핵심 신기능은 세 가지다. 첫째, 네이티브 SPIFFE Helper 통합으로 SPIRE Workload API와 직접 통신할 수 없는 레거시 애플리케이션에도 자격증명 자동 페칭·로테이션·핫 리로드를 코드 수정 없이 지원한다. 둘째, Istio 기반 Red Hat OpenShift Service Mesh와 통합해 멀티클러스터 SPIRE 페더레이션을 자동화하고 서로 다른 클러스터·리전·클라우드 간에도 엄격한 상호 TLS(mTLS)를 가능하게 한다. 셋째, cert-manager와 Vault 플러그인을 통한 UpstreamAuthority 커스터마이징을 지원해 기업이 자체 PKI를 그대로 연결할 수 있다. 또한 기존에는 Red Hat OpenShift Platform Plus에서만 제공되던 이 오퍼레이터가 이제 표준 Red Hat OpenShift Container Platform 엔타이틀먼트로도 제공되며, Red Hat은 에이전틱 AI 워크로드에도 같은 SPIFFE/SPIRE 원칙을 적용해 사람과 AI 에이전트 모두의 추적성·책임성을 확보할 수 있다고 강조한다.

💡 클러스터 운영자 입장에서는 정적 인증서·시크릿 순환 관리 부담을 줄이고 멀티클러스터 mTLS 페더레이션과 자체 PKI 연동을 표준 OpenShift 엔타이틀먼트만으로 쓸 수 있게 된 점이 실질적인 보안 운영 개선이다.

Why the future of telco depends on open, ecosystem-led architectures

Red Hat

Red Hat이 5G와 AI 시대의 통신사(telco)들이 과거의 벤더 종속형 수직 스택 아키텍처에서 벗어나 개방형 생태계 기반 아키텍처로 전환해야 한다고 주장하는 블로그를 게시했다. 기존 "도메인당 하나의 벤더" 방식은 자동화가 불가능한 사일로를 만들고 유지보수 비용을 과도하게 높인다는 것이 핵심 문제의식이다. 대안으로 플랫폼과 애플리케이션을 분리한 공통의 수평적 클라우드 네이티브 아키텍처를 제시하며, 리서치에 따르면 사일로화된 수직 스택에서 공통 수평 클라우드로 전환 시 운영 비용을 30~40% 절감하고 총소유비용(TCO)도 두 자릿수 개선이 가능하다고 밝혔다. 실제 사례로 Red Hat·Ericsson·HPE·Intel이 협력해 Ericsson의 Cloud RAN을 Red Hat OpenShift 위에서 네이티브로 구동하는 프로젝트, Telstra가 Red Hat·Dell·Cisco와 구축한 자율(셀프힐링) 네트워크 솔루션이 소개된다. AI 영역에서는 NVIDIA와의 Red Hat AI Factory가 Nokia 등과 함께 하이브리드 클라우드 전반의 자율 에이전트를 지원하고, Mavenir는 Red Hat OpenShift AI와 통합해 통신사 전용 온프레미스 대화형 AI와 서비스 어슈어런스를 제공한다. Verizon과 KDDI(삼성과 협업)도 5G 과금 및 OpenRAN 영역의 생태계 기반 도입 사례로 언급됐으며, Red Hat은 단일 벤더로는 현대 엣지의 엔지니어링 난제를 해결할 수 없다고 결론짓는다.

💡 인프라 운영자 관점에서 벤더 종속 수직 스택을 OpenShift 기반 공통 플랫폼으로 통합하면 자동화 범위와 멀티벤더 상호운용성은 넓어지지만, 실제 이득은 표준화된 플랫폼 위에 얼마나 많은 파트너 워크로드를 실제로 통합 운영할 수 있는지에 달려 있다.

Storage processing accelerates VM migrations in the migration toolkit for virtualization 2.12

Red Hat

Red Hat이 가상화 마이그레이션 툴킷(Migration Toolkit for Virtualization, MTV) 2.12를 발표했다. Red Hat OpenShift 4.22와 함께 제공되며 고급 스토리지 처리, 소스 프로바이더 확장, AI 최적화에 초점을 맞췄다. 가장 큰 신기능은 NetApp Shift Toolkit 통합으로, NetApp ONTAP 스토리지 위의 VM을 스토리지 가상화 계층에서 같은 어레이 내 인스턴트 클론으로 변환해 네트워크를 거치지 않는 제로카피 콜드 마이그레이션을 가능케 하며, 원본 하이퍼바이저는 원본 VM과 계속 상호작용할 수 있어 다운타임이 거의 없다. 웜 마이그레이션용 스토리지 오프로드 기능도 정식 출시(GA)됐는데, 스냅샷 처리를 지원 스토리지 어레이로 넘겨 하이퍼바이저 부담을 줄이고 최종 컷오버 창을 최소화한다. 신규 소스 프로바이더로 Microsoft Hyper-V와 Amazon EC2가 테크놀로지 프리뷰로 추가되어 Hyper-V 이탈 및 AWS 퍼블릭 클라우드 내 마이그레이션 경로가 열렸다. AI 측면에서는 Red Hat OpenShift Lightspeed와의 통합이 진행 중이라 자연어로 마이그레이션 문제를 트러블슈팅할 기반을 마련하고 있고, MTV용 Model Context Protocol(MCP) 서버가 개발자 프리뷰로 제공되어 LLM 기반 AI 어시스턴트가 마이그레이션 계획과 분석을 지원할 수 있게 됐다.

💡 대규모 VM 마이그레이션을 수행하는 인프라 팀 입장에서는 네트워크를 거치지 않는 스토리지 계층 제로카피 콜드 마이그레이션과 웜 마이그레이션 스토리지 오프로드 GA가 실제 다운타임과 컷오버 창을 줄여주는 실질적인 개선이다.

DevOps & 인프라

“We did not adapt and move quickly enough”: What IBM’s earnings miss says about enterprise AI spending

The New Stack

IBM은 2분기 잠정 실적을 발표하며 월가 예상치를 크게 밑도는 수치를 공개했고, 그 여파로 주가가 하루 만에 25% 폭락해 1987년 10월 19일(-23.7%) 기록을 넘어서는 역대 최악의 하루 낙폭을 기록했다. CEO 아빈드 크리슈나는 실적 부진의 주요 원인으로 고객사들이 IBM 제품 지출을 줄이고, 예상되는 가격 인상에 대비해 서버·스토리지·메모리 구매 등 AI 인프라 쪽으로 자본지출을 재배분한 점을 꼽았다. 크리슈나는 "우리는 충분히 빠르게 적응하고 움직이지 못했고, 다수의 대형 거래가 예상했던 일정에 성사되지 못한 것이 실적 부진의 대부분을 차지했다"고 인정했다. 이번 사태는 개별 기업의 부진을 넘어, AI 인프라 구축 붐 속에서 기업들이 IT 예산을 서버·메모리 등 하드웨어로 빠르게 옮기고 있고 IBM 같은 기존 벤더들이 이 속도를 따라가지 못하고 있다는 업계 신호로 해석된다. The New Stack은 이를 기업들이 소프트웨어 예산을 깎아 AI 하드웨어 구매 자금을 마련하는 흐름으로 요약하며, 개발팀들이 오픈소스 도구로 직접 커스텀 통합을 구축하도록 내몰리고 있다고 짚었다.

💡 실사용 조직들이 IT 예산을 AI 하드웨어·인프라로 빠르게 옮기고 있다는 신호이므로, DevOps/플랫폼 조직은 상용 벤더 소프트웨어 갱신 대신 오픈소스 기반 자체 통합 구축과 클라우드 컴퓨트·GPU 확보 우선순위를 다시 점검할 필요가 있다.

OpenAI hits 8 million Codex users — what developers need to know

The New Stack

OpenAI는 지난주 GPT-5.6(코드명 Sol)을 출시하면서 Codex를 통합 ChatGPT 데스크톱 앱 안으로 편입시켰고, 이후 Codex와 ChatGPT Work 사용자 수가 며칠 만에 800만 명을 돌파했다고 밝혔다. 성장 속도는 7월 12일 600만 명, 그로부터 약 24시간 뒤 700만 명, 그리고 그 다음 일요일까지 800만 명에 도달할 정도로 가팔랐다. 이 같은 급격한 사용량 증가는 OpenAI의 컴퓨팅 인프라에 상당한 부담을 줬고, 회사는 전체 사용자에 대해 사용량 제한을 초기화했으며 기존 5시간 단위 요청 제한도 당분간 적용하지 않기로 했다. 벤치마크에서 GPT-5.6 Sol은 경쟁 모델 대비 코딩 성능에서 1퍼센트포인트 이내로 근접하면서도 비용은 절반, 소요 시간은 절반을 약간 넘는 수준에 그쳤다고 보고됐다. The New Stack은 이번 급성장이 AI 코딩 도구 시장의 경쟁 구도를 다시 짜고 있으며 Anthropic 등 경쟁사에도 대응 압박을 주고 있다고 분석했다.

💡 코딩 어시스턴트 트래픽이 며칠 만에 수백만 명 단위로 튀는 사례이므로, 이를 사내 CI/CD나 내부 도구에 연동하는 DevOps 팀은 벤더 쪽의 속도 제한·쿼터 정책 변경과 API 가용성 변동에 대비한 폴백 전략을 미리 마련해둘 필요가 있다.

AWS will now watch Microsoft’s cloud for you

The New Stack

AWS는 7월 14일 보안 운영 서비스 Security Hub를 확장해 기존 AWS 리소스뿐 아니라 마이크로소프트 Azure 리소스까지 모니터링할 수 있도록 발표했다. 새 기능은 Azure 가상머신(VM), Azure Container Registry(ACR)의 컨테이너 이미지, Azure Function Apps, Azure ID(identity)를 자동으로 탐지해 설정 오류, 인터넷 노출, 소프트웨어 취약점을 평가한다. AWS와 Azure에서 나온 보안 발견 사항(finding)은 동일한 포맷으로 하나의 통합 대기열에 표시되며 동일한 자동화 워크플로로 처리할 수 있어, 보안팀이 도구를 오가지 않고 한 콘솔에서 트리아지할 수 있게 된다. Azure 리소스 과금은 동일 유형의 AWS 리소스와 같은 요율로 책정되며 멀티클라우드 추가 요금은 없고, Azure 커버리지만을 위한 별도의 30일 무료 체험도 제공된다. 이번 업데이트에는 Bedrock·SageMaker 대상 GuardDuty AI Protection, AI 자산 인벤토리, AI 기반 조사(프리뷰) 등 AI 워크로드 보호 기능도 함께 추가되어, AWS는 이를 통해 Microsoft Defender for Cloud와 Wiz가 주도해온 멀티클라우드 보안 시장에 본격적으로 뛰어들고 있다.

💡 멀티클라우드 환경을 운영하는 보안/플랫폼 팀은 별도 Azure 전용 도구 없이 기존 Security Hub 워크플로 하나로 AWS·Azure 취약점과 노출을 통합 트리아지할 수 있게 돼 도구 파편화와 알림 피로를 줄일 수 있다.

Shipping Is Your Company's Heartbeat: A Letter from a CTO

Honeycomb

Honeycomb 블로그에 게재된 이 글은 Fin의 CTO 겸 엔지니어링 총괄인 Darragh Curran이 전 세계 엔지니어링 리더들에게 보내는 공개서한 형식이다. 핵심 메시지는 "출시(shipping)가 회사의 심장박동"이라는 것으로, 소프트웨어는 실제 고객에게 배포되기 전까지는 힘들게 쌓은 가정과 비용의 집합체에 불과하다는 관점을 담고 있다. Curran은 AI를 "마법 지팡이"가 아니라 "증폭기"로 규정하며, AI는 기존 엔지니어링 관행이 좋으면 그 좋은 점을, 나쁘면 그 나쁜 점을 그대로 증폭시킬 뿐이라고 주장한다. 이 때문에 AI 도입이 늘어날수록 코드 리뷰, 테스트, 관측성 같은 엔지니어링 규율(rigor)의 중요성은 줄어드는 것이 아니라 오히려 커진다는 것이 글의 결론이다. Curran은 Fin에서의 실무 경험을 바탕으로 이 주장을 전개하며, Honeycomb이 최근 낸 "Observability Engineering" 개정판과도 맥이 닿는 내용으로 소개된다. 전반적으로 AI 시대에도 배포 속도와 엔지니어링 기본기를 동시에 지켜야 한다는 경영진 대상 메시지다.

💡 AI 코딩 어시스턴트를 도입했다고 관측성·리뷰·테스트 게이트를 느슨하게 풀면 그만큼 사고와 배포 실패가 증폭되어 돌아온다는 경고이므로, 배포 파이프라인의 가드레일을 오히려 더 촘촘하게 유지해야 한다.

Automated Incident Remediation with AWS DevOps Agent and Kiro CLI

AWS DevOps

AWS DevOps 블로그의 이 글은 AWS DevOps Agent와 Kiro CLI를 결합해 장애 대응을 조사부터 수정 배포까지 자동화하는 방법을 다룬다(원문 전체 페치는 접근 제한으로 실패해, 웹 검색으로 확인한 공개 정보와 제목·발췌 수준에서 정리함). 핵심은 분산 워크로드를 운영하는 팀이 겪는 "다음 과제"로 자동화된 장애 복구(automated incident remediation)를 제시하는 것으로, 조사 결과를 수동 작업 없이 배포된 수정으로 전환하는 것을 목표로 한다. AWS DevOps Agent가 근본 원인을 도출하면 엔지니어가 "Generate mitigation plan"을 선택해 구조화된 복구 계획을 만들거나, aws devopsagent create-backlog-task / update-backlog-task 같은 CLI 명령으로 조사 트리거와 완화 계획 승인을 프로그래밍 방식으로 자동화할 수 있다고 소개된다(관련 AWS 블로그 시리즈 기준). 각 복구 계획은 Prepare, Pre-Validate, Apply, Post-Validate의 4단계로 구성되며, 인프라 코드(IaC) 템플릿 수정이나 설정 변경을 위한 구체적 명령을 에이전트가 제안한다. 코드 수준 수정이 필요하면 에이전트가 만든 스펙을 Kiro CLI로 넘겨 코딩 에이전트가 실제 코드베이스에 변경을 구현하는 방식으로, 장애 진단에서 코드 수정까지 하나의 흐름으로 이어진다.

💡 근본 원인 도출과 완화 계획 승인까지는 CLI로 자동화할 수 있지만 실제 코드/인프라 변경(Apply 단계)을 사람이 직접 검토·승인하지 않고 그대로 자동 적용하면 잘못된 근본 원인 추정이 곧바로 프로덕션 장애로 이어질 수 있으므로, 어느 단계까지 자동 승인을 허용할지 팀의 운영 정책으로 명확히 그어둘 필요가 있다.

Building Service Topology at Scale: Architecture, Challenges, and Lessons Learned

Netflix

Netflix 테크블로그가 대규모 실시간 서비스 토폴로지(Service Topology) 시스템을 프로덕션에 구축하며 겪은 아키텍처 결정과 장애 대응 과정을 상세히 공유했다(저자: Parth Jain, Rakesh Sukumar, Yingwu Zhao, Renzo Sanchez-Silva, Nathan Fisher). 이 시스템은 eBPF 네트워크 플로우, IPC 메트릭, 분산 트레이싱을 물리적으로 분리된 그래프 레이어에 스트리밍 방식으로 수집해, 배치 처리 대비 수 시간~수일이 아닌 수십 분 이내의 근실시간 토폴로지를 제공한다. 로드밸런서·NAT 게이트웨이 같은 중개 노드를 거친 네트워크 홉을 실제 애플리케이션 간 의존관계로 해석하기 위해 3단계 분산 집계 파이프라인(초기집계·중개자 해석·최종집계 및 저장)을 설계했고, 단계 간 통신은 gRPC 대신 서버센트이벤트(SSE)와 백프레셔를 써서 CPU 부담을 줄였다. 프로덕션 전환(V1) 과정에서 카프카 컨슈머 랙, 일부 인스턴스가 평균의 100배 트래픽을 받는 핫노드 현상, 가비지컬렉션이 비즈니스 로직보다 CPU를 더 쓰는 메모리 압박 문제를 겪었다. 핫노드 문제는 3단계 파이프라인으로 부하를 두 차례 재분산해 해결했고, 메모리 압박은 Scala의 불변 객체 관행을 의도적으로 깨고 핫패스에 가변(mutable) 자료구조를 채택해 힙 할당을 50% 이상 줄여 해결했다. V2에서는 불필요한 객체 변환 제거, JSON 직렬화 표준화, 스트림 병렬성 튜닝, 그래프 DB 쓰기 배치화로 계속 최적화했고, 5분 단위 집계 스냅샷과 속성 단위 뮤테이션 추적을 결합해 특정 시점의 과거 토폴로지를 재구성하는 "타임트래블" 기능도 구현했다. 현재 이 시스템은 초당 수백만 건의 플로우 레코드를 처리하며 서브초 단위 쿼리 응답을 제공하고, Netflix 내 여러 팀이 장애 조사와 블라스트 반경 분석에 매일 사용한다.

💡 대규모 분산 옵저버빌리티 시스템을 설계하는 SRE/플랫폼 엔지니어에게는, 파워로우 분포 트래픽에서 컨시스턴트 해싱만으로는 핫노드를 막을 수 없고 다단계 재분산·백프레셔·실측 기반의 관행 이탈 결정이 실제 프로덕션 안정성을 좌우한다는 구체적 참고 사례다.

이 다이제스트는 RSS 피드에서 수집한 뒤 AI(Claude)가 요약·정리했습니다. 자세한 내용은 원문 링크를 확인하세요.