📰 데일리 테크 다이제스트 - 2026-09-20

🔥 오늘의 주요 소식

One engineer shipped 2,000 PRs a month to production. Verification is the key.

전 Cursor와 Meta 출신으로 현재 SpaceXAI의 Grok 팀에서 일하는 엔지니어 로런 탠(Lauren Tan)이 자신이 만든 pstack이라는 검증 체계를 통해 한 달에 2,000건의 PR을 프로덕션에 배포하고 있다고 공개했다. 이는 근무일 기준 하루 약 100건에 달하는 수치로, 8월 한 달 동안 누적 2,462건의 PR이 프로덕션에 반영됐다고 밝혔다. 이 시스템의 핵심은 에이전트가 사람 개입 없이 코드를 작성하고, 검증하고, 반복(iterate)하는 전체 루프를 자율적으로 수행한다는 점이다. 즉 속도의 비결은 더 똑똑한 모델이 아니라 변경 사항이 맞는지 스스로 검증하는 체계에 있다는 것이다. 다만 이 수치는 본인 발표에 근거한 것으로, 독립적으로 감사 가능한 저장소나 PR 목록이 공개되지 않아 결함률이나 코드 품질까지 증명하지는 못한다.

💡 왜 중요한가: PR 수 자체보다 각 변경을 자동으로 검증하는 파이프라인 설계가 에이전트 기반 배포 속도의 실질적 병목이라는 점을 시사한다.

🔗 원문 보기 · The New Stack

Kubernetes & Cloud Native

Every regulatory disclosure rule asks the same question. Each calls it something else

Sysdig

Sysdig 블로그는 GDPR, CIRCIA, NIS2, CRA 등 서로 다른 이름을 가진 규제들이 결국 같은 질문, 즉 '언제 보고 시계가 시작되는가'를 묻는다고 지적한다. GDPR은 위반이 발생했을 가능성이 높다고 결론지을 만큼 충분한 정보를 확보한 시점부터 72시간을 부여하고, CIRCIA도 사고가 발생했다고 합리적으로 믿는 시점부터 72시간을 준다. NIS2는 중대한 사고를 인지한 시점부터 24시간을, CRA는 취약점이 실제로 악용되고 있다는 것을 인지한 시점부터 24시간을 각각 규정한다. 글은 진짜 어려운 부분은 마감을 추적하는 일이 아니라, 사고가 '중대한지(material)', '주요한지(major)', '심각한지(significant/severe)'를 시계가 시작되기도 전에 판단해야 한다는 점이라고 강조한다. 특히 CRA와 관련해, 정적 스캐너는 제품에 취약점이 존재한다는 사실은 알려줄 수 있어도 그 취약점을 누군가 실제로 악용하고 있는지는 알려주지 못한다는 차이가 CRA 보고 의무에서 핵심이라고 설명한다. 또한 규제 기관들이 "인지 시점" 판단 단계 자체를 미루는 식으로 시간을 버는 허점을 의도적으로 막아뒀다는 점도 짚는다.

💡 취약점 존재 여부만 알려주는 정적 스캐너로는 CRA의 '실제 악용 인지' 기준을 충족할 수 없으므로, 런타임 탐지·EDR 신호까지 결합해 인지 시점을 정의하는 프로세스를 별도로 갖춰야 한다.

OpenTelemetry everywhere: Migrating a metrics platform at scale

CNCF

Atlassian이 CNCF 블로그에 10년 넘게 운영해온 gostatsd 기반 메트릭 파이프라인을 OpenTelemetry(OTel) Collector로 전환한 사례를 공개했다. 이 파이프라인은 14개 리전에 걸쳐 약 10만 대 호스트 규모를 처리하는데, 팀은 서비스 소유자들이 기존처럼 StatsD-over-UDP 인터페이스로 메트릭을 계속 전송할 수 있게 유지하면서, 그 뒤단의 수집·인제스트·집계·전달 단계를 모두 목적에 맞게 제작한 OTel Collector 배포판으로 새로 구축했다. gostatsd 사이드카는 트레이싱 팀이 이미 배포해 쓰고 있던 것과 동일한 OTel Collector 배포판으로 대체해, 애플리케이션 쪽 코드는 전혀 건드리지 않고도 기존 UDP 전송 방식을 그대로 유지했다. 메트릭 기능을 트레이싱 사이드카에 통합하고 별도 StatsD 사이드카를 없앤 결과, 비용이 가장 큰 마이크로서비스 기준 서비스당 평균 약 3.9%의 CPU를 절감했고, 플릿 전체로는 사이드카 비용을 약 30% 줄였다. 팀이 직접 작성해 atlassian-labs로 오픈소스화한 델타(delta) 집계 프로세서는 분당 약 48억 개였던 수신 데이터포인트를 약 2억 2천만 개로, 즉 약 96% 줄이면서도 집계 계층의 CPU 사용량은 절반 수준으로 낮췄다.

💡 서비스 코드를 건드리지 않고 사이드카 뒤편만 OTel Collector로 교체하는 전략은, 대규모 조직이 수천 개 서비스의 계측 코드를 전부 다시 쓰지 않고도 벤더 종속을 벗어날 수 있는 현실적인 관측성 마이그레이션 경로를 보여준다.

Getting started with runtime security and Falco

Sysdig

Sysdig 블로그는 자사가 만들어 CNCF에 그래주에이션(졸업) 프로젝트로 기부한 오픈소스 런타임 보안 도구 Falco를 처음 시작하는 방법을 소개한다. Falco는 커널 수준에서 시스템콜(syscall) 이벤트를 관찰하고 커스텀 룰에 따라 실시간으로 비정상 행위와 잠재적 위협을 탐지하는 에이전트로, 컨테이너 런타임과 Kubernetes 메타데이터를 이벤트에 결합해 어떤 컨테이너에서 무슨 일이 일어났는지 맥락 있게 보여준다. 예를 들어 Redis 컨테이너가 네트워크 바깥으로 예상 밖의 연결을 시도하거나 Apache 서버에서 파일이 변경되는 것처럼, 워크로드별 비정상 프로세스·파일 변경·네트워크 활동을 실시간으로 잡아낼 수 있다. 원래 Kubernetes 환경을 염두에 두고 설계됐지만 Falco는 Kubernetes에 국한되지 않고 다른 컨테이너 오케스트레이션 플랫폼이나 단독 컨테이너 배포 환경에서도 런타임 보안 모니터링을 제공한다. SIEM이나 데이터 레이크 시스템과 연동할 수 있어, 탐지 결과를 더 넓은 인시던트 대응 워크플로에 통합하는 기반으로도 활용할 수 있다.

💡 syscall 단위로 탐지하는 Falco를 Kubernetes 외의 오케스트레이터나 단독 컨테이너에도 붙일 수 있다는 점은, 멀티 런타임 환경을 운영하는 조직이 클러스터마다 서로 다른 런타임 보안 도구를 중복 도입하지 않고 하나의 탐지 규칙 세트로 통합할 수 있게 해준다.

AI & ML

MilleMiglia: A realistic instance generator for middle-mile logistics

Google Research

구글 리서치가 이탈리아 브레시아 대학교(UniBrescia), 프랑스 ENPC 파리와 공동으로 미들마일 물류를 위한 현실적인 인스턴스 생성기 'MilleMiglia'를 공개했다. C++로 작성된 이 도구는 실제와 유사하면서도 개인정보를 보호하는 벤치마크 데이터를 생성해, 차량 경로 문제(VRP) 커뮤니티의 CVRPLIB에 해당하는 표준화된 벤치마크 모음을 미들마일 물류 영역에도 마련하기 위한 첫걸음이라고 설명한다. 생성된 인스턴스는 서로 다른 미들마일 최적화 기법을 비교·평가하거나, 물류 운영을 예측·최적화하는 모델을 학습시키는 데 활용할 수 있다. 규모와 구조가 다양한 인스턴스를 폭넓게 다루도록 설계돼, 여러 현실 시나리오를 반영한다. 소스 코드와 문서는 GitHub(or-tools/millemiglia)에 공개돼 있다.

💡 표준화된 미들마일 벤치마크가 생기면, 사내에서 쓰는 물류·라우팅 최적화 알고리즘을 외부 공개 기준과 비교 검증할 수 있는 길이 열린다.

New experts join Google’s AI & Economy team

Google AI

구글이 AI와 경제 연구를 다루는 'AI & Economy' 팀에 저명한 학자들을 새로 영입했다. 2025년 노벨 경제학상 수상자이자 INSEAD와 콜레주 드 프랑스의 필리프 아기옹(Philippe Aghion) 교수가 학술 자문위원으로 합류했으며, 역시 노벨상 수상자인 마이클 스펜스와 케임브리지대의 다이앤 코일 교수도 함께한다. 에이제이 아그라왈은 방문연구원(Visiting Fellow)으로 합류해 MIT 경제학과장인 데이비드 오터와 협업한다. 팀은 맥킨지 글로벌 인스티튜트 출신의 아누 마드가브카와 와튼스쿨의 대니얼 록이 이끌며, 구글 딥마인드의 AGI 경제학 디렉터인 알렉스 이마스, 구글 수석 이코노미스트실의 AI & Economy 리드인 잔나 이센코도 함께한다. 이 팀의 연구 목표는 AI가 장기적으로 거시경제에 미치는 영향을 모델링하고, 프론티어 모델의 텔레메트리 데이터를 계량경제학과 결합해 기업 생산성, 노동 재편, 과학적 발견에 미치는 영향을 분석하는 것이다.

💡 빅테크가 자체 모델 텔레메트리를 계량경제 분석에 직접 활용하기 시작했다는 것은, 인프라 팀이 수집하는 사용량·비용 로그가 이제 제품 개선뿐 아니라 정책·경제 연구의 원천 데이터로도 소비된다는 의미다.

Co-creating the future of fashion with Google

Google AI

구글이 뉴욕 패션위크 준비 과정에서 디자이너 제인 웨이드, 세르지오 허드슨과 손잡고 AI 크리에이티브 스튜디오 '구글 플로우(Google Flow)'로 맞춤 도구 두 가지를 만든 사례를 소개했다. 제인 웨이드를 위한 스타일링 도구는 디지털 모델 위에 헤어, 메이크업, 액세서리, 신발, 의상을 조합해 실제 샘플을 제작하기 전에 머리부터 발끝까지 완성된 룩의 균형을 미리 점검할 수 있게 해준다. 세르지오 허드슨을 위한 '런웨이 비주얼라이제이션' 도구는 무대를 실제로 세우기 전에 행사장 규모, 조명, 소품, 모델 동선, 예산 제약까지 시뮬레이션해 쇼를 기획할 수 있게 돕는다. 지속가능한 패션을 지향해온 웨이드와 비욘세, 카멀라 해리스 등을 고객으로 둔 허드슨은 각각 업계에서 영향력이 큰 인물로, 패션 산업의 AI 도입을 이끄는 상징적 파트너로 소개됐다. 구글 엔지니어들이 두 디자이너와 나란히 앉아 각자의 구체적 문제에 맞춰 도구를 설계했다는 점이 이번 협업의 핵심이다.

💡 제품을 범용으로 먼저 만들고 나중에 다듬는 대신 핵심 사용자 한 명의 실제 작업 흐름에 맞춰 도구를 함께 설계하는 방식은, 사내 플랫폼 팀이 특정 팀 전용 내부 도구를 만들 때도 참고할 만한 접근이다.

Introducing the Australian Youth Safety Blueprint

OpenAI

OpenAI가 호주에서 청소년을 위한 AI 안전 로드맵인 '호주 청소년 안전 청사진(Australian Youth Safety Blueprint)'을 공개했다. 이 청사진은 AI 리터러시, 연령에 맞는 기술적 안전장치, 프라이버시를 보호하는 연령 확인 체계, 위기 상황 시 실제 지원 서비스로의 연결, 접근하기 쉬운 부모 통제 기능 등 여섯 개 기둥으로 구성돼 있다. OpenAI는 이 청사진이 기업들이 단순히 연령을 확인하는 데 그치지 않고, 위험 신호를 조기에 포착해 적절한 지원으로 연결하는 체계까지 갖추도록 요구한다고 강조했다. 목표는 책임 있는 AI가 청소년을 위해 어떻게 작동해야 하는지, 그리고 기업이 청소년에 대한 위험을 식별하고 대응하는 데 어떻게 책임을 져야 하는지를 정의하는 것이다. 앞서 8월 OpenAI는 호주에서 13~17세로 확인된 사용자에게 기본 적용되는 'ChatGPT for Teens'를 출시해, 해당 연령대의 발달 특성에 맞춘 안전장치를 도입한 바 있다. 이번 청사진은 그 연장선에서 정책·규제 차원의 프레임워크를 제시한 것으로 볼 수 있다.

💡 연령 확인·안전장치를 사후 기능으로 붙이는 대신 애초에 정책 프레임워크로 설계했다는 점은, 규제 대응형 AI 제품을 만드는 팀이라면 컴플라이언스 요구사항을 아키텍처 초기 단계부터 반영해야 함을 시사한다.

The future of practice: Enabling teachers to create learning interactives with generative UI

Google Research

Google Research는 2024년 공개한 교육 특화 생성형 AI 모델군 LearnLM을 기반으로, 교사가 직접 학습 인터랙티브 콘텐츠를 만들 수 있게 하는 제너레이티브 UI 시스템을 소개했다. 교사가 다루고 싶은 주제를 입력하면 시스템은 먼저 학습 목표(learning objectives)를 제시하고, 교사가 이를 수정·승인하면 그 목표가 이후 생성되는 인터랙티브 활동의 내용과 진행 방식을 이끈다. 이어 시스템이 여러 후보 시뮬레이션을 만들면 교사가 자신의 수업 의도에 가장 잘 맞는 것을 골라 학생에게 제공하는 구조로, 자동 생성 과정에서도 교사의 통제권을 유지한다. 결과물은 단순히 정답만 알려주는 방식이 아니라 난이도 레벨, 힌트, 공식, 피드백, 풀이 과정을 포함한 제너레이티브 UI 형태로 제공되며, 이는 학생이 직접 실험하고 문제를 풀 때 더 완전한 사고 모델을 형성한다는 인지과학 연구에 근거를 둔다. 교사가 승인한 인터랙티브 모음은 research.google.com/p/learning-interactives에서 직접 체험할 수 있고, Google은 현재 Google Workspace for Education 학교를 대상으로 이 teacher-in-the-loop 시스템의 파일럿 신청을 받고 있다.

💡 교사가 목표를 승인한 뒤에만 콘텐츠가 생성되는 human-in-the-loop 구조는, 프로덕션에 생성형 UI를 배포할 때 출력 자체를 검증하기보다 생성 파이프라인 중간에 승인 게이트를 두는 편이 더 안전한 제어 지점이 될 수 있음을 보여주는 사례다.

Making global data easier to explore

Google AI

Google과 UN 시스템은 2026년 9월 17일, 전 세계 통계를 하나의 AI 친화적 지식 그래프로 통합한 개방형 플랫폼 UN System Data Commons를 data.un.org에서 공개했다. 이 플랫폼은 Google의 Data Commons 기술 위에 구축됐으며, 그동안 UN 산하 각 기구마다 서로 다른 포맷으로 흩어져 있던 통계 데이터를 분석가가 수개월씩 수작업으로 정리해야 했던 문제를 해결하려는 목적이다. 현재까지 UN 산하 26개 기구가 참여를 약속했고, 그중 약 20개 기구의 데이터가 출시 시점에 이미 연동돼 있으며, Google은 2027년까지 UN 시스템 통계 데이터셋의 80%를 포함하는 것을 목표로 삼고 있다고 밝혔다. 플랫폼은 Model Context Protocol(MCP)을 지원해, AI 에이전트가 이 데이터를 자율적으로 조회하고 여러 도메인의 데이터를 서로 연결해 차트·그래프·인포그래픽이나 초안 보고서 형태로 바로 활용할 수 있도록 설계됐다. Google.org는 이 플랫폼의 핵심 인프라 구축을 위해 200만 달러 규모의 역량 강화 자금과 기술 지원을 제공했다.

💡 MCP를 표준 인터페이스로 채택했다는 점은, 이 데이터셋을 조직 내부 에이전트 워크플로에 연결할 때 별도의 커스텀 커넥터를 만들지 않고 기존 MCP 클라이언트를 그대로 재사용할 수 있다는 뜻이라 통합 비용이 크게 줄어든다.

How Cooley is accelerating IPO work with ChatGPT

OpenAI

로펌 Cooley가 자사 자본시장 전문 변호사와 리걸 엔지니어들이 개발한 GO Public이라는 자체 AI 서비스를 ChatGPT Enterprise(ChatGPT Work) 기반으로 출시했다고 OpenAI 블로그가 소개했다. 첫 GO Public 기능은 기업공개(IPO) 서류의 핵심인 Form S-1 초안 작성 과정을 목적에 맞게 설계된 여러 AI 에이전트로 강화하는 것이다. 고객사 정보와 에이전트 기반 리서치, Cooley의 실무 노하우와 판단력을 결합해 정형화된 템플릿이 아니라 고객사에 맞춘(bespoke) 초안을 만들어낸다. 그 결과 기존에는 며칠씩 걸리던 최초 S-1 초안 작성이 몇 분 안에 끝나게 됐고, 변호사들은 초안 작성이 아니라 더 중요한 전략적 판단이 필요한 이슈를 더 일찍 찾아내는 데 집중할 수 있다. Cooley는 2025년 한 해 전 세계 180건, 515억 달러 이상 규모의 거래를 자문했고, 지난 20여 년간 벤처 투자를 받은 기업의 IPO에서 발행사 측을 가장 많이 자문해온 로펌이라는 배경을 갖고 있다.

💡 S-1 초안 생성 시간이 며칠에서 몇 분으로 줄었다는 건, 규제 문서 초안 작성처럼 구조가 정형화된 법률 워크플로일수록 에이전트 자동화의 ROI가 크다는 뜻이라, DevOps 조직도 자사 컴플라이언스 문서·런북 초안화에 유사한 에이전트 패턴을 적용해볼 만하다.

Introducing Astra for Law

OpenAI

OpenAI가 GPT-6 Astra 모델을 기반으로 법률 업무에 특화한 Astra for Law를 공개했다. 미국 판례법, 제정법, 규정, 법원 규칙, 행정 결정을 아우르는 법률 전용 검색 인덱스를 갖췄으며, 일반 웹 검색을 붙인 GPT-6 Astra와 비교했을 때 리서치 답변 정확도가 40% 높고, 참조 판례를 24% 더 많이 찾아내며, 올바른 법원 의견서에서 관련 구절을 54% 더 많이 검색해낸다고 OpenAI는 밝혔다. 또한 로펌들이 쓰는 전문 도구와 ChatGPT를 연결하는 26개의 신규 생태계 플러그인을 함께 추가해 커스터마이징 여지를 넓혔다. Harvey와 Legora 같은 API 고객사가 Astra for Law 위에 자체 제품을 구축할 수 있게 되며, Latham & Watkins, Ropes & Gray, Cooley, Sullivan & Cromwell 등이 초기 도입 로펌으로 참여하고 있다. OpenAI는 우선 ChatGPT와 Codex의 Trusted Access 프로그램을 통해 선별된 로펌에 Astra for Law를 제공하고, 이후 API로도 확장할 계획이라고 설명한다.

💡 동일 모델에 도메인 특화 검색 인덱스만 붙였을 뿐인데 정확도가 40%, 관련 구절 검색이 54% 개선됐다는 수치는, 범용 LLM에 웹 검색을 붙이는 것과 큐레이션된 도메인 인덱스를 RAG로 연결하는 것 사이의 격차가 여전히 크다는 것을 보여준다.

클라우드 업데이트

ReadyOn’s Four Walls of tenant isolation on Amazon EKS

AWS Architecture

ReadyOn은 민감한 기업 데이터를 다루는 멀티테넌트 플랫폼을 Amazon EKS 위에서 운영하며, 'Four Walls'라 부르는 네 겹의 독립적인 테넌트 격리 계층을 구축했다. 첫 번째 벽은 테넌트별 전용 쿠버네티스 네임스페이스로, 엄격한 RBAC 정책과 리소스 쿼터, 어드미션 컨트롤을 적용한다. 이후 Karpenter 노드 풀을 통한 컴퓨트 계층 분리, Amazon VPC 보안 그룹을 통한 네트워크 계층 분리가 이어진다. 마지막 벽은 데이터 계층으로, 테넌트마다 전용 Amazon Aurora 데이터베이스 클러스터를 두고 AWS Secrets Manager의 테넌트 범위 시크릿과 IAM Roles for Service Accounts(IRSA)를 통한 단기 자격 증명을 사용한다. 이 심층 방어 구조는 공격자가 테넌트 경계를 넘으려면 쿠버네티스 API, 노드 스케줄러, AWS 소프트웨어 정의 네트워크, 데이터 계층을 동시에 뚫어야 하도록 설계됐다.

💡 네임스페이스만으로 멀티테넌시를 처리하고 있다면, 이 사례는 컴퓨트(Karpenter)·네트워크(VPC 보안 그룹)·데이터(테넌트별 Aurora + IRSA) 계층까지 격리를 확장할 가치가 있다는 참고 아키텍처가 된다.

Saving another 100TB of RAM with math (and Rust)

Cloudflare

클라우드플레어가 내부 로드밸런싱 서비스인 Pingora Backend Router(PBR)에서 예상보다 훨씬 많은 메모리를 소비하던 문제를 수학과 러스트(Rust)로 해결해 전 세계에서 100TB 이상의 RAM을 추가로 확보했다. 원인은 오픈소스 컨시스턴트 해싱 라이브러리인 pingora-ketama의 해시 링 구조에 있었다. 엔지니어들은 확률론을 적용해 해시 링의 가상 포인트 수를 약 90% 줄이면서도 부하 분산의 균등성은 유지하는 방법을 찾아냈다. 이 개선은 압축된 저장 포맷, 더 빠른 정렬 방식, 노드당 기본 해시 수를 조정할 수 있는 기능을 갖춘 pingora-ketama v2 크레이트로 공개됐다. 이번 확보분은 앞서 DNS 캐시 항목을 줄여 100TB를 아꼈던 개선에 이어진 것으로, 서버를 한 대도 추가하지 않고 두 차례에 걸쳐 총 약 200TB의 메모리를 회수한 셈이다.

💡 컨시스턴트 해싱을 쓰는 대규모 분산 시스템에서는 가상 노드 수를 줄이는 확률적 튜닝만으로도 하드웨어 증설 없이 큰 메모리 절감을 얻을 수 있다는 사례다.

Announcing Native BM25 Ranking in AlloyDB and Cloud SQL

Google Cloud

구글 클라우드가 PostgreSQL 17 이상을 지원하는 AlloyDB와 Cloud SQL에 네이티브 BM25 랭킹 기능을 프리뷰로 공개했다. 이 기능은 Tiger Data가 만든 오픈소스 확장 pg_textsearch를 기반으로 하며, 벡터 검색이 개념적 의미 파악에는 강하지만 정확한 영숫자 ID나 제품 SKU 번호 같은 검색에는 약하다는 한계를 보완한다. AlloyDB에서는 벡터 검색과 BM25 키워드 검색 결과를 상호 순위 융합(Reciprocal Rank Fusion, RRF) 알고리즘으로 결합하는 내장 UDF를 제공하며, Cloud SQL에서도 CTE와 RRF 점수를 이용해 하이브리드 검색을 구현할 수 있다. BM25는 PostgreSQL 기본 랭킹 함수인 ts_rank와 달리 역문서빈도(IDF), 용어빈도 포화, 문서 길이 정규화를 반영해 대규모 환경에서 더 나은 랭킹 품질을 낸다. 구글은 AlloyDB의 벡터 검색이 ScaNN과 HNSW 인덱스를 활용해 표준 PostgreSQL 대비 6~10배 더 빠르다고 밝혔다.

💡 별도의 검색 엔진을 두지 않고도 AlloyDB/Cloud SQL 한 곳에서 벡터+키워드 하이브리드 검색을 구현할 수 있게 되므로, RAG 파이프라인에서 데이터 동기화 지연과 이중 운영 부담을 줄일 수 있다.

Reimagining service delivery in the agentic era with Google Public Sector

Google Cloud

구글 퍼블릭 섹터는 에이전틱 시대의 행정 서비스 혁신을 소개하며, NASCIO 조사에서 처음으로 AI가 주 정부 CIO들의 최우선 과제로 꼽혔다는 점을 배경으로 제시했다. 유타주 교통국은 BigQuery 통합 데이터 플랫폼을 통해 5만 2천여 개 부동산 필지 지도화 작업을 1년 이내에 끝냈는데, 이는 기존 예상 소요기간인 33.5년과 비교된다. 하트포드시는 AI 실시간 번역을 도입해 80개 언어를 지원하면서 130만 달러의 비용을 절감했고, 채터누가시는 사고 데이터에 AI 분석을 적용해 고위험 교차로를 찾아내고 신호 체계를 최적화했다. 인디애나주 교통국은 문서 분석 모델로 규정 준수 감사를 자동화해 고급 엔지니어 인력의 360시간을 절약했으며, LA시는 2026년 월드컵과 2028년 올림픽 대비를 위해 45개 부서에 Gemini를 내장해 2만 7,500명의 직원과 224개 이상의 언어, 1,500만 명의 방문객을 지원하고 있다. 메릴랜드주는 Gemini와 Gemini Notebook을 활용해 5주 만에 수질 관리 앱을 배포했다.

💡 이 사례들의 공통점은 새 시스템을 밑바닥부터 구축하지 않고 기존 데이터 플랫폼(BigQuery) 위에 에이전트를 얹었다는 점으로, 레거시 시스템 통합 비용이 여전히 공공 부문 AI 도입의 실질적 병목임을 보여준다.

The DevFest Community Workshop Experience: Building Real Agents Together

Google Cloud

구글 클라우드는 뉴욕 허드슨 스퀘어에서 진행된 북미 데브페스트 시즌 개막 워크숍을 소개했다. 완성된 저장소를 나눠주고 코드를 그대로 붙여넣게 하는 기존 방식 대신, 아키텍처와 멘탈 모델 이해에 집중하는 'Workbench' 형식을 도입해 80명의 엔지니어가 참여했다. 참가자들은 Agent Development Kit(ADK), Veo 3.1, Gemini Enterprise Agent Platform의 Memory Bank와 RAG Engine, BigQuery를 활용해 장시간 실행되는 자기진화형 멀티 에이전트 시스템을 구축했다. 오전 세션은 애니 왕과 크리스티나 린이 진행했으며 유휴 컴퓨팅 비용 없이 워크플로를 일시정지·재개하는 상태 관리를 다뤘고, 오후 세션은 로건 헤네시와 카르틱 데라사리가 진행해 BigQuery로 경매 이력 데이터를 통합하고 지출 이상 탐지를 위한 자가 패치 하니스를 갖춘 자율 데이터 엔지니어링 파이프라인을 구축했다. 이 워크숍은 2026년 9~11월 사이 서니베일, 워싱턴 DC, 애틀랜타, 시애틀, 보스턴 등 5개 도시에서 추가로 열릴 예정이다.

💡 장시간 실행되는 에이전트 워크플로에서는 상태를 컴퓨트와 분리해 저장하는 설계가, 일시정지 구간마다 컴퓨팅 비용이 계속 청구되는 것을 막는 핵심 비용 최적화 포인트가 된다.

How CSIRO built scalable, cost-optimized genomic variant querying on AWS

AWS Architecture

호주 국립과학기구 CSIRO가 유전체 변이 데이터를 안전하게 조회할 수 있는 확장 가능한 서버리스 솔루션 sBeacon(Serverless Beacon)을 구축한 사례를 AWS 아키텍처 블로그가 소개했다. sBeacon은 GA4GH(Global Alliance for Genomics and Health)가 정한 Beacon 프로토콜 표준을 Amazon S3, AWS Lambda, Amazon DynamoDB, Amazon Athena로 구현했다. 성능 면에서 sBeacon은 Beacon의 참조 구현체인 Elixir 기반 구현보다 300배 저렴하고 17배 빠르다고 밝혔다. 표준 VCF 데이터에 대한 준실시간 조회를 지원하며, 메가 바이오뱅크 규모의 코호트까지 확장 가능하고 데이터 적재 작업도 최소화했다. 프라이버시 보호와 제로 트러스트 보안을 함께 지원하며 누구나 사용할 수 있도록 공개돼 있다.

💡 서버리스 아키텍처(S3+Lambda+DynamoDB+Athena)가 상시 가동 서버 기반 구현보다 훨씬 저렴하면서도 빠를 수 있다는 구체적 수치 근거로, 간헐적 조회 패턴을 가진 대규모 과학 데이터 워크로드에 참고할 만하다.

Friday Five — September 18, 2026 | Red Hat

Red Hat

레드햇의 주간 다이제스트 'Friday Five' 9월 18일자는 레드햇이 2026년 가트너 매직 쿼드런트 서버 가상화 플랫폼 부문에서 리더로 선정됐다는 소식을 첫머리에 실었다. 레드햇은 이 평가가 오픈시프트(OpenShift)가 VM 관리 기능을 쿠버네티스 기반 플랫폼에 직접 통합해 레거시 하이퍼바이저를 대체할 수 있는 현대적 대안을 제공하고, 자체 관리형 환경과 클라우드 호스팅 환경 전반에서 일관된 경험을 제공한다는 점을 보여준다고 평가했다. 이번 호에는 레드햇의 마이크 맥그래스가 'Destination Linux' 팟캐스트 482회에서 오픈소스 프로젝트 라이트웰(Lightwell)에 관해 이야기한 소식도 담겼다. 또한 하이브리드 클라우드 환경에서 AI 도구로 애플리케이션 배포를 단순화하면서 보안 위험은 낮추는 방법을 다룬 전자책도 소개됐다. 이 코너는 원래 한 주간 레드햇 안팎에서 나온 다섯 가지 주요 소식과 아이디어를 소개하는 형식이지만, 이번에 확인된 자료에서는 매직 쿼드런트 인정, 라이트웰 관련 팟캐스트 출연, AI 기반 하이브리드 클라우드 배포 전자책 세 가지 항목만 구체적으로 확인됐다.

💡 쿠버네티스 플랫폼에 VM 관리를 통합하는 오픈시프트 방향은, 레거시 하이퍼바이저 기반 워크로드를 컨테이너 플랫폼으로 단계적으로 옮기려는 조직에 별도의 가상화 스택을 유지할 필요를 줄여준다.

Beyond OCR: Achieving 98% billing accuracy with GroundX and Red Hat OpenShift AI

Red Hat

기업의 문서 처리는 지난 20년간 OCR로 텍스트를 뽑고 템플릿으로 항목을 찾은 뒤 사람이 손으로 검수하는 구조에 갇혀 있었고, 이 방식은 평균 약 30%의 오류율을 안고 있었다. Red Hat 블로그는 GroundX와 Red Hat OpenShift AI를 결합해 이 문제를 벗어나 청구서(billing) 처리에서 98%의 정확도를 달성한 사례를 소개한다. GroundX는 비전 모델과, 의료·보험·금융·공급망·건설 등 여러 업종에 걸친 약 100만 페이지 규모의 기업 문서로 파인튜닝한 시각언어모델(VLM)을 결합해 시맨틱 문서 추출을 수행한다. 즉 OCR과 고정 템플릿에 의존하는 대신 문서의 의미 구조를 직접 이해해 필드를 추출하는 방식이다. Red Hat OpenShift AI는 MLOps, GenAIOps, AgentOps 기능을 하나로 묶은 하이브리드 클라우드 플랫폼으로, 이런 에이전틱 AI 애플리케이션의 배포를 가속화하는 역할을 한다. 이 사례는 문서 자동화가 단순 OCR 대체를 넘어 정확도 기준 자체를 끌어올릴 수 있음을 보여준다.

💡 온프레미스·하이브리드 환경에서 VLM 기반 문서 추출 파이프라인을 운영하려면 GPU 자원 스케줄링과 모델 버전 관리를 MLOps 체계 안에 편입시켜야 하므로, 단순 OCR 도입보다 훨씬 무거운 플랫폼 엔지니어링 역량이 요구된다.

How Equinix cut operational overhead with a shared services architecture on Amazon EKS

AWS Architecture

Equinix는 자체 관리형 Kubernetes 환경이 팀마다 제각각으로 운영되며 생기던 운영 부담을 줄이기 위해, Amazon EKS 위에 'North Star'라 불리는 멀티 계정 공유 서비스 아키텍처를 구축했다. 이 아키텍처는 애플리케이션 팀과 클라우드 운영팀의 책임을 명확히 분리하는 멀티 계정 구조로, 거버넌스와 공용 서비스를 중앙에서 관리한다. GitHub Runner를 중앙 집중화하고 네임스페이스를 셀프서비스 방식으로 프로비저닝할 수 있게 해 CI/CD 워크플로를 표준화했고, 그 결과 애플리케이션 팀이 클라우드 운영팀의 개입 없이도 독립적으로 배포할 수 있게 됐다. 네트워크 관측성 측면에서는 Hubble을 도입해 여러 클러스터에 걸친 네트워크 플로우 가시성을 팀별로 파편화됐던 기존 모니터링 대신 하나로 통합했다. AWS 블로그에 따르면 이 아키텍처 전환으로 배포 속도는 4배 빨라졌고 운영 오버헤드는 40% 줄었다.

💡 네임스페이스 프로비저닝을 셀프서비스로 넘기고 클러스터 간 네트워크 가시성을 Hubble로 통합한 구조는, 플랫폼팀 규모를 늘리지 않고도 EKS 운영 부담을 낮추려는 조직에 참고할 만한 청사진이다.

From data residency to digital control: Why the Middle East’s cloud future depends on the ecosystem

Red Hat

Red Hat 블로그는 걸프 지역 CIO들에게 클라우드 논의가 이제 단순 도입 단계를 지나섰다고 진단하며, 정부와 기업이 클라우드 플랫폼, 인공지능(AI), 국가 디지털 인프라에 대규모로 투자하고 있는 흐름을 짚는다. 제목이 시사하듯 논의의 축이 데이터가 어디에 저장되는지를 따지는 '데이터 레지던시'에서, 그 데이터와 시스템을 누가 실질적으로 통제하는지를 따지는 '디지털 컨트롤'로 옮겨가고 있다는 점을 다룬다. 아울러 중동 지역의 클라우드 미래가 특정 벤더 하나가 아니라 지역 생태계 전반에 달려 있다는 주장을 펼친다. '생태계'라는 표현은 특정 클라우드 사업자에 대한 종속을 피하고 현지 파트너사·규제 체계·기술 스택을 아우르는 구조를 갖추는 것이 통제력 확보의 관건이라는 의미로 읽힌다. 이 기사는 접속이 차단돼 본문 전체를 확인하지 못했으며, 제목과 발췌문만으로 요약한 내용이다.

💡 데이터 레지던시에서 디지털 컨트롤로 논의가 이동한다는 건, 클라우드 아키텍트에게는 데이터가 어느 리전에 있는가뿐 아니라 어느 주체가 암호화 키와 운영 권한을 쥐고 있는가까지 설계 요건에 포함해야 한다는 뜻이다.

DevOps & 인프라

“Dormant deployments were quietly consuming storage”: Why Vercel tightened its free-tier rules

The New Stack

Vercel이 무료 Hobby 플랜의 배포 보관 정책을 강화했다. 기존에는 10GB 배포 스토리지 한도를 넘긴 프로젝트라도 오래된 미보호 배포가 30일 유예 기간을 거친 뒤 삭제됐지만, 이제는 즉시 삭제된다. 보호 대상도 줄어들어 이전에는 프로덕션 배포 중 최신 10개를 보존했지만, 지금은 프로젝트당 최신 프로덕션 배포 3개와 유형에 상관없는 최신 배포 3개만 남기며, 프리뷰 배포는 별도 보호를 받지 못한다. Vercel은 이 변경이 방치된 배포가 조용히 스토리지를 잡아먹는 문제 때문이라며, 1년 전보다 훨씬 늘어난 Hobby 사용자들의 배포량을 감당하려면 무료 티어를 유지 가능한 상태로 지켜야 한다고 설명했다. 실수로 삭제된 배포는 Settings > Security > Recently Deleted에서 30일 이내에 복구할 수 있다.

💡 무료 티어에 방치된 사이드 프로젝트를 CI/CD로 자주 배포하고 있다면, 프로덕션 배포 보존 정책이 3개로 줄었으므로 롤백용 배포를 별도로 태그하거나 백업해 둘 필요가 있다.

This week’s news from Zed, Anthropic, and OpenRouter shows why better harnesses matter more than better models

The New Stack

이번 주 더뉴스택은 Zed, Anthropic, OpenRouter의 소식을 통해 AI 에이전트에서는 모델 자체보다 그 주변을 감싸는 '하니스(harness)'가 더 중요해지고 있다고 분석했다. Zed는 풀 리퀘스트 대신 공유 스레드를 중심으로 코드 협업을 재구성한 신제품 Delta를 퍼블릭 베타로 출시했다. Anthropic은 Claude Chat과 Cowork를 하나의 인터페이스로 통합하기 시작해, 어떤 모드로 작업할지 미리 정해야 하는 부담을 없앴다. OpenRouter는 기업들이 요청이 처리되는 위치를 더 세밀하게 제어할 수 있도록 라우팅 기능을 확장했다. 배경에는 경제적 변화도 있는데, 토큰당 평균 가격이 8월에 23.2% 하락해 3개월 연속 하락세를 이어갔다. 기사는 컨텍스트를 제공하고 도구를 연결하며 작업을 라우팅하고 결과를 검증하는 '모델 주변의 소프트웨어'가 이제 실제 경쟁의 무대라고 결론짓는다.

💡 모델 API를 갈아끼우는 전략보다, 컨텍스트 주입·도구 연동·결과 검증을 담당하는 자체 하니스 계층에 투자하는 편이 장기적으로 더 큰 차별화 요인이 될 것이다.

Leave the Class Path in the Rearview Mirror

Netflix

넷플릭스 JVM 생태계 팀의 대니 토머스(Danny Thomas)가 클래스패스를 벗어나 모듈 시스템 네이티브이면서 컴포저블하고 에이전트 친화적인 자바 커맨드라인 도구를 소개하는 글을 넷플릭스 테크블로그에 올렸다. 글은 자바 접근 옵션에서 'ALL-UNNAMED'가 불필요하게 흔해진 이유가 여전히 클래스패스에 크게 의존하는 관행 때문이라고 지적한다. 이런 관행은 자바가 강한 캡슐화를 기본값으로 하는 'Integrity by Default' 방향으로 나아가는 과정에서 드러나야 할 기술 부채를 오히려 가려버린다고 설명한다. 이는 모듈 시스템(JPMS)을 온전히 활용하지 못한 채 클래스패스에 계속 의존하면, 향후 JDK 버전에서 강제되는 캡슐화 정책과 충돌할 위험이 커진다는 경고이기도 하다. 넷플릭스는 이런 문제를 피하기 위해 모듈 시스템을 전제로 한 새로운 CLI 도구 체계를 제안하고 있다.

💡 대규모 자바 서비스를 운영 중이라면 클래스패스 의존을 방치할수록 향후 JDK의 강제 캡슐화 정책으로 마이그레이션 비용이 눈덩이처럼 불어날 수 있으므로, 지금부터 모듈 시스템 전환 계획을 세워야 한다.

Should you read the code, is RAG dead, and did Skills kill MCP?

GitHub

깃허브 블로그는 팟캐스트 최신 에피소드에서 다룬 세 가지 AI 관련 화두를 정리했다. 첫 번째는 '코드를 직접 읽어야 하는가'라는 질문으로, 답은 '그렇다'이지만 리뷰의 깊이는 위험도에 따라 달라져야 한다고 결론짓는다. 두 번째는 'RAG는 죽었는가'로, RAG는 죽지 않았으며 단지 더 이상 화제의 중심이 아닐 뿐 여전히 근거 확보(grounding)를 개선하고 불필요한 토큰 낭비를 줄여준다고 설명한다. 세 번째는 'Skills가 MCP를 대체했는가'인데, 둘은 서로 다른 문제를 풀기 때문에 대체 관계가 아니라 함께 쓰일 때 잘 맞으며, 이는 마치 'GitHub Actions가 Bash를 죽였다'는 말처럼 부정확한 비유라고 지적한다. 글은 이런 '핫테이크'가 한 문장으로 복잡한 주제를 단정해버려 참여는 끌지만 정확한 이해에는 오히려 방해가 될 수 있다며, 주장이 성립하는 맥락과 조건을 따져봐야 한다고 강조한다.

💡 RAG나 MCP를 유행 여부로 폐기하지 말고, 컨텍스트 검색 비용을 줄여야 하는 상황과 도구 프로토콜 표준화가 필요한 상황을 구분해 필요한 만큼만 조합해서 써야 한다.

사용자를 위해 일부러 어렵게 만드는 경험, 어디까지 괜찮을까?

토스

토스뱅크가 어린이 대상 계좌인 아이통장의 '이자 받는 저금통'에 잠금 기능을 추가한 배경과 UX 설계 철학을 다룬 글이다. 아이가 목표 금액을 설정하고 저금통 잔액을 잠그면, 목표 금액에 도달하거나 아이가 직접 잠금을 해제하기 전까지는 인출이 제한된다. 잠금을 풀려면 화면의 버튼을 60초 동안 계속 눌러야 하는 '명상 시간(meditation time)'을 거쳐야 하는데, 이는 충동적인 인출을 막기 위한 의도적인 장치다. 특히 보호자조차 아이가 설정한 잠금을 대신 해제할 수 없도록 설계해, 아이가 스스로 세운 저축 목표와 규칙을 끝까지 지키도록 유도한다. 이는 사용성을 무조건 쉽게 만드는 대신, 목적에 맞게 의도적으로 불편함을 설계에 남겨두는 '좋은 불편함'의 기준을 탐구한 사례다.

💡 모든 UX 마찰을 제거하는 것이 항상 옳은 목표는 아니며, 사용자의 장기적 목표(저축, 실수 방지 등)를 지켜주는 지점에서는 의도적인 지연이나 확인 단계를 설계에 남겨두는 편이 오히려 제품 신뢰를 높인다.

LLM에게 어디까지 맡길 것인가: AI 에이전트 기반 광고 분석 리포트 자동화

LINE

LINE Ads에서 데이터 분석 플랫폼을 개발하는 이종우, 이운열 두 엔지니어가 AI 에이전트 기반으로 광고 분석 리포트를 자동화한 과정을 소개했다. 이 에이전트는 LINE 공식계정(OA) 광고와 디스플레이 광고의 매출 데이터를 분석해 전일·전월·전년 대비 변화량을 계산하고, 주요 변화 요인과 성장·이탈 신호를 식별한 뒤 슬랙 메시지와 이메일로 리포트를 발송한다. 이전에는 담당자가 여러 시스템에 직접 접속해 데이터를 수집하고 원인을 파악해야 했지만, 도입 후에는 자동 생성된 일간 리포트로 주요 변화 요인을 즉시 확인하고 변화의 의미를 해석하거나 후속 조치를 정하는 데 더 집중할 수 있게 됐다. 글의 핵심 고민은 LLM에게 어디까지 맡길 것인가였는데, 팀은 수치 계산은 결정론적 로직에 맡기고 해석과 원인 탐색만 LLM에 맡기는 방식으로 역할을 분리했다. 이런 분리를 통해 분석 품질을 높이는 방법과, 분석 에이전트가 원인 탐색 범위를 점진적으로 확장해 나가는 설계도 함께 소개했다.

💡 수치 계산은 결정론적 코드로, 해석·원인 탐색은 LLM으로 역할을 분리하는 패턴은 정확도가 필요한 데이터 파이프라인에 LLM을 붙일 때 환각 위험을 통제하는 실용적인 기준이 된다.

Enforce custom rules in Datadog IaC Security scanning

Datadog

Datadog가 IaC 시큐리티 스캐닝에 커스텀 규칙 기능을 추가해, 기본 규칙 카탈로그로는 커버할 수 없는 조직 내부 정책을 코드 배포 전에 강제할 수 있게 됐다. 규칙은 Open Policy Agent(OPA)의 정책 언어인 Rego로 직접 작성하거나, 자연어로 원하는 정책을 설명하면 AI가 Rego 코드를 생성해주는 방식, 또는 기존 규칙을 복제하는 방식으로 만들 수 있다. 빌트인 에디터에서 샘플 인프라 파일에 대해 즉시 테스트하고 초안(draft) 상태로 저장해 검증할 수 있으며, 게시된 규칙은 버전 이력을 남겨 비교와 롤백이 가능하다. 지원 대상은 Ansible, AWS CloudFormation, Dockerfile, Kubernetes, Terraform, GitHub Actions로, 예시로 든 규칙은 aws_s3_bucket_versioning 리소스의 상태가 Suspended로 설정된 경우를 탐지한다. 게시된 커스텀 규칙의 탐지 결과는 PR 댓글, IDE 확장, IaC findings 탐색기, PR 게이트, 자동화 파이프라인 등 기존 Datadog 워크플로에 그대로 통합돼 별도 도구 도입 없이 시행할 수 있다.

💡 Rego 기반 커스텀 규칙과 PR 게이트 통합 덕분에 조직 고유의 태깅·인스턴스 타입 정책을 코드 리뷰가 아니라 파이프라인 단계에서 강제할 수 있어, 컴플라이언스 준수를 사람의 실수에 덜 의존하게 만든다.

Securing the software factory at machine speed

GitLab

GitLab CISO Chaim Mazal는 이 글에서 AI 모델이 취약점을 찾아 악용하기까지 걸리는 시간과 비용을 급격히 압축하고 있다고 주장하며 근거로 몇 가지 수치를 제시한다. GitLab 자체 CVE 건수가 2025년 181건에서 2026년 317건으로 늘었고, 버그 바운티 제보도 급증했으며, NIST의 CVE enrichment(취약점 상세 정보 보강) 처리는 오히려 줄었다는 것이다. 여기에 Verizon DBIR 보고서에서 취약점 악용이 자격증명 탈취를 제치고 최초 침투 경로 1위로 올라섰다는 조사 결과도 인용한다. 그는 '머신 스피드' 방어를 위한 3계층 모델을 제안하는데, 코드·인프라·배포 경로 전반에서 프런티어 모델로 취약점을 선제적으로 찾아내고, GitLab Duo Agent Platform으로 지속적인 에이전틱 트리아지와 수정을 수행하며, 짧은 수명의 범위 제한 시크릿·개발자 토큰과 분리된 에이전트 아이덴티티·고위험 작업에 대한 귀속 가능한 승인 경계 같은 거버넌스를 갖추는 것이다. GitLab은 이런 자동화 이전에는 대상 MR 중 약 1%만 보안 리뷰를 받았던 것이 자동화 도입 후에는 97%까지 커버된다고 밝힌다. 향후 몇 달 안에 이 운영 청사진을 공개할 계획이라고 덧붙인다.

💡 MR 보안 리뷰 커버리지를 1%에서 97%로 끌어올렸다는 수치는, 시크릿 수명 관리와 에이전트 전용 아이덴티티 체계가 갖춰지지 않으면 이 자동화 자체가 새로운 공격 표면이 될 수 있다는 경고이기도 하다.

Analyzing rising fraud attempts among travel and leisure businesses on Stripe

Stripe

Stripe가 자사 플랫폼에서 활동하는 20만 개 이상의 여행·레저 업종 가맹점 결제 데이터를 분석한 결과, 이 업종을 노린 사기 시도가 4년 만에 최고치를 기록했다고 밝혔다. 사기는 예약(booking), 부가서비스·여행 크레딧, 프로모션·신규 계정 혜택, 여행 후 이의제기(디스퓨트) 등 네 가지 영역에서 주로 발생한다. 지역별로는 APAC과 EMEA의 사기 시도율이 전년 대비 5배 넘게 뛰었고 LATAM은 37% 증가한 반면, 북미는 2024년에서 2025년 사이 오히려 사기 시도율이 감소해 예외적인 흐름을 보였다. Stripe Radar는 이 기간 30억 달러 이상의 의심스러운 사기성 거래를 차단했고, 2023년 이후 실제 결제까지 도달하는 사기 비중을 3분의 2 이상 줄였다고 설명한다. 이 데이터는 여행·레저 가맹점이 특히 예약 단계와 프로모션 남용에 대한 방어를 강화해야 한다는 점을 시사한다.

💡 결제 인프라를 운용하는 입장에서는 이 데이터가 지역별 리스크 스코어링 규칙을 정적으로 두지 말고, APAC·EMEA처럼 사기 시도율이 급등한 지역에 맞춰 Radar 같은 룰셋을 주기적으로 재튜닝해야 한다는 신호로 읽힌다.

Simplify compliance with the native pre-written policy experience in HCP Terraform

HashiCorp

HashiCorp가 HCP Terraform에 사전 작성된(pre-written) 정책을 바로 검색해 적용할 수 있는 네이티브 경험을 퍼블릭 베타로 공개했다. 기존에는 팀이 컴플라이언스 요구사항을 정책 코드로 직접 번역해야 했지만, 이제는 클라우드 프로바이더·서비스·컴플라이언스 프레임워크별로 필터링해 HashiCorp가 관리하는 정책을 찾아 정책 세트에 추가하고 조직·프로젝트·워크스페이스 단위로 바로 부착할 수 있다. 정책을 적용하기 전 상세 내용을 검토할 수 있고, Advisory(권고) 또는 Mandatory(강제) 중 시행 모드를 선택할 수 있으며, HashiCorp가 관리하는 정책은 읽기 전용으로 유지돼 임의 수정으로 무결성이 깨지지 않는다. 초기 지원 범위는 AWS Foundational Security Best Practices(FSBP)와 AWS CIS Foundations Benchmark이며, Microsoft Azure와 Google Cloud용 CIS Foundations Benchmark 정책은 곧 추가될 예정이다. 이 기능은 기존 Sentinel 정책과 새로운 Terraform 정책 프레임워크를 같은 워크플로 안에서 함께 지원하며, Sentinel 사전 작성 정책은 에이전트 실행 모드를 사용하는 조직에서 이용할 수 있다.

💡 정책을 처음부터 작성하지 않고 HashiCorp가 관리하는 읽기 전용 AWS FSBP/CIS 정책을 그대로 끌어와 붙일 수 있게 되면서, 신규 워크스페이스마다 컴플라이언스 가드레일을 세우는 데 드는 초기 셋업 시간이 크게 줄어든다.

HCP Vagrant deprecation: important dates and migration guidance

HashiCorp

HashiCorp가 HCP Vagrant를 단계적으로 폐지한다고 발표하며 세 가지 핵심 일정을 제시했다. 2026년 10월 1일부터는 신규 Vagrant 박스나 레지스트리를 생성할 수 없고, 11월 2일에는 지원과 유지보수가 종료되며, 12월 31일에는 남아 있는 모든 배포가 완전히 폐기(decommission)된다. 다만 Vagrant CLI와 GitHub 소스 저장소 자체는 계속 운영되므로, 사용자는 로컬에서 박스를 빌드하고 다른 저장소를 통해 배포하는 핵심 기능은 그대로 유지할 수 있다. 마이그레이션을 돕기 위해 HashiCorp는 박스를 로컬로 다운로드할 수 있는 내보내기 기능, Amazon S3에 박스를 호스팅하는 방법을 다루는 튜토리얼, 여러 아키텍처를 지원하는 폴더 구조 문서, URL 리다이렉트를 활용한 정적 아카이브 구성 가이드를 제공할 예정이다. 대체 호스팅 플랫폼은 버전·프로바이더 정보·체크섬을 보존하면서 .box 파일과 카탈로그 메타데이터를 Vagrant CLI에 그대로 노출해야 한다는 요구 조건도 명시됐다. 조직은 사용 중인 HCP Vagrant 현황과 참조 중인 Vagrantfile, CI/CD 워크플로, 하위 의존성을 먼저 파악한 뒤 대체 방안을 선택해야 한다.

💡 10월 1일 신규 박스 생성 중단이 11월 2일 지원 종료보다 먼저 오기 때문에, S3 등 대체 호스팅으로의 전환 작업은 9월 안에 끝내야 CI/CD 파이프라인이 끊기지 않는다.

Migrating the GitHub Copilot runtime to Rust, using Copilot

GitHub

GitHub은 Copilot을 구동하는 에이전트 런타임을 TypeScript·Node.js·V8 기반에서 80만 줄이 넘는 프로덕션 Rust 코드로 전환했다고 밝혔다. 원래 43만 줄이던 TypeScript 코드가 변환 후 80만 줄 규모의 Rust 코드가 됐으며, 이 작업의 대부분은 AI 에이전트의 도움으로 작성됐다. 전체 마이그레이션 비용은 AI 토큰 사용료 기준 약 12만 달러와 개발자 한 명의 약 3주 작업 시간이 들었고, 하나의 거대한 교체 브랜치를 만드는 대신 128개의 PR로 나눠 라이브 코드베이스에 지속적으로 병합하는 방식으로 진행됐다. GitHub은 이 런타임이 더 이상 커맨드라인 도구의 구현 세부사항이 아니라, GitHub과 Microsoft 제품군, 각종 SDK 등에서 쓰이는 임베더블 에이전트 엔진으로 진화하고 있어 이번 전환이 중요하다고 설명한다. Rust로의 전환은 더 낮은 시작·실행 오버헤드, 예측 가능한 리소스 사용량, 네이티브 바이너리, C ABI 상호운용성을 제공하며, C#·TypeScript·Python·Rust·Go·Java 등 다양한 언어 환경에 더 쉽게 임베드할 수 있게 해준다.

💡 43만 줄을 80만 줄 Rust로, 그것도 하나의 빅뱅 브랜치가 아니라 128개 PR로 나눠 라이브 코드베이스에 지속 병합했다는 점은, 대규모 언어 마이그레이션에서도 점진적 배포 원칙을 그대로 적용할 수 있다는 실증이라 DevOps 팀의 리스크 관리 관점에서 참고할 만하다.

Rate limits on GitLab.com are changing

GitLab

GitLab이 GitLab.com의 API 레이트 리밋을 구독 등급별로 차등화하는 개편을 발표했다. 변경은 두 단계로 진행되는데, Free 플랜과 인증되지 않은 요청은 2026년 10월 19일부터 먼저 적용되고, Premium과 Ultimate 플랜은 2027년 1월에 바뀐다. 인증 정보 없이 들어오는 요청은 IP당 시간당 60건으로 제한되며, 인증된 요청의 경우 Free는 시간당 5,000건(분당 버스트 100건), Premium은 시간당 15,000건(분당 버스트 1,250건), Ultimate는 시간당 25,000건(분당 버스트 2,000건)으로 등급별 한도가 다르게 설정된다. GitLab은 본 적용에 앞서 Free 플랜과 미인증 트래픽을 대상으로 10월 7일과 10월 14일 UTC 15시~19시에 미리보기(preview) 구간을 두 차례 운영해, 팀들이 실제 변경 전에 영향을 미리 파악할 수 있게 했다. InfoWorld 등 외부 매체는 이번 조치를 AI 코딩 에이전트와 자동화 도구가 급증하며 커진 API 트래픽 부담에 대응하려는 움직임으로 해석하고 있다.

💡 Free 플랜 시간당 5,000건, 버스트 분당 100건이라는 구체적 상한이 생기면서, CI 파이프라인이나 AI 에이전트가 GitLab API를 호출하는 자동화 스크립트는 요금제별 한도에 맞춰 백오프·재시도 로직을 미리 넣어두지 않으면 10월 19일 이후 갑자기 429 에러를 맞을 수 있다.

Optimize your team's price-performance with hosted open weight models

GitLab

GitLab 19.4 업데이트와 함께 GitLab Duo Agent Platform이 프런티어 모델뿐 아니라 GitLab이 직접 호스팅하는 오픈 웨이트 모델 세 종 — Kimi K3, MiniMax M3, GLM 5.3 — 을 선택지로 추가했다. 이 오픈 웨이트 모델들의 핵심 장점은 비용 효율로, GitLab은 다수의 비교 대상 프런티어 모델 대비 동일한 GitLab Credit로 최대 4배 더 많은 호출을 처리할 수 있다고 설명한다. 기능 구현, 실패한 파이프라인 진단, 보안 취약점 해결처럼 태스크마다 요구되는 품질·지연시간·비용 특성이 다르기 때문에, 팀은 작업 성격에 맞춰 모델을 골라 쓸 수 있다. 거버넌스 측면에서는 그룹 소유자가 기능별 기본 모델을 지정하고 팀이 사용할 수 있는 모델 목록을 큐레이션할 수 있으며, 이 설정은 하위 그룹과 프로젝트에도 그대로 적용된다. 이 기능은 2026년 9월 출시된 GitLab 19.4에서 에이전틱 자동화 강화 기능과 함께 도입됐다.

💡 동일 크레딧으로 최대 4배 더 많은 호출이 가능한 오픈 웨이트 모델을 태스크별로 골라 쓸 수 있게 되면서, 파이프라인 진단처럼 반복적이고 단순한 에이전트 호출은 저비용 모델로 돌리고 복잡한 리팩터링에만 프런티어 모델을 아껴 쓰는 비용 최적화 전략이 가능해진다.

SaaS platforms are surging despite the SaaSpocalypse

Stripe

Stripe 블로그는 올해 초 소프트웨어 기업들이 30일 만에 시가총액 약 1조 달러를 잃으며 '사스포칼립스(SaaSpocalypse)'라 불린 시장 패닉을 짚는다. 당시 투자자들은 에이전틱 AI가 소프트웨어를 순식간에 범용화(commoditize)시킬 것이라 우려했다. 하지만 Stripe 데이터에 따르면 Stripe 플랫폼에서 새로 생겨난 플랫폼형 비즈니스는 전년 대비 182% 증가했다. Stripe Economics 리서치팀이 Stripe에서 활동하는 비AI SaaS 기업 상위 100곳의 주간 거래량을 추적한 결과, 사스포칼립스 시점에 잠깐 하락했다가 빠르게 회복해 이후 꾸준히 성장세를 이어간 것으로 나타났다. 이는 기업 운영의 핵심 기능을 담당하는 SaaS 플랫폼이 AI발 파괴적 혁신 우려에도 불구하고 실제로는 더 깊이 자리 잡고 있음을 시사한다.

💡 핵심 운영 기능을 담당하는 SaaS 플랫폼의 거래량이 패닉 이후 빠르게 회복됐다는 데이터는, AI 에이전트가 대체하기 쉬운 건 개별 기능성 소프트웨어이지 운영 워크플로 전체를 감싸는 플랫폼형 서비스가 아니라는 신호로 읽을 수 있다.

이 다이제스트는 RSS 피드에서 수집한 뒤 AI(Claude)가 요약·정리했습니다. 자세한 내용은 원문 링크를 확인하세요.