햄스토랑스 / 본업 K8S, Springboot / N년차 가짜 개발자 / 3n / 프사 @83tt3r 님 / 블스 https://teapaw.org/t.co/lhgls2z0i8 / https://teapaw.org/t.co/5Pq7VmWENK /햄아/햄저씨
햄스터는 화해의 날개입니다
Joined December 2021
- Tweets12.6K
- Following1K
- Followers2.8K
- Likes107K
햄스터아저씨 retweeted
API 설명서는 창작성이 없다.
[단독] 두나무, 빗썸 상대 표절 소송 패소...法 "API 설명서, 창작성 인정 어렵다"
digitalasset.works/news/arti…
![[단독] 두나무, 빗썸 상대 표절 소송 패소...法 "API 설명서, 창작성 인정 어렵다" - 디지털애셋 (Digital Asset)](https://pbs.twimg.com/card_img/2120055496606687232/KfikzYJS?format=jpg&name=600x314)
햄스터아저씨 retweeted
미러링을 통한 아이폰 제어는 추천하지 않습니다. XCTest를 통해 제어하는 iphone-use같은 프로젝트들이 있습니다. mcp로 클로드와 연동할 수도 있어요.
기획이라는 것도 어떻게 보면 되게 특수한 도메인에 어느 정도 기간과 경험을 쌓아야 잘할 수 있는 영역의 전문성이 좀 필요한 업 인데, 긍정적으로 보면 개인의 입장에서는 기획이라는 도메인을 공부하고 성장할 수 있는 기회가 온 걸지도...
개발팀 vs 기획팀 회의 3시간동안 함
본인 : 회의 알맹이가 없어서 그냥 회의실에서 내할일 하면서 X중
에이전트로 서로 상대 업무 해보니 쉬워보였나봄..
오늘 회의결론 = 기발자와 개획자 세기의 배틀을 해보자.
후...
서로 상대팀을 비난하더니
각자 독자 서비스 런칭해서 결과 보기로함
기획력과 개발력에 대한 상호 무시가 꽃을 피움
개인적으로 개발팀장님 쪽이 머리좀 식히셨으면 좋겠는데 그동안 담아왔던 울분이 좀 있는것 같음..
기획팀장님 옳다쿠나 하고 신입 데리고 커피챗하러 나감
4
488
햄스터아저씨 retweeted
이걸 직설적으로 풀어서 말하면, 결정권자가 뭘 하고 싶은데 내부 실무자들과 의견이 안 맞을 때 자기가 거기 반대할 논리나 근거가 없으니까 그거 좀 대신 짜달라고 부르는 칼잡이 역할입니다.
햄스터아저씨 retweeted
An OpenSSH bug that took 46 years to ripen!
1980
UNIX puts * in the password field of system accounts. The idea is simple: it’s not a real hash, so it can’t be brute-forced and you can’t log in with a password.
2012
The musl libc developers decide that returning NULL from crypt() on failure is dangerous - programs often forget to check it and crash with a segfault. So they return an error string instead.
Guess which one?
The same asterisk: *.
Three weeks later they add a length limit: passwords longer than 256 bytes burn CPU. Anything longer is rejected. And since it’s an error, crypt() returns *.
2016
OpenSSH fixes a timing attack (CVE-2016-6210). If a user doesn’t exist, the server still hashes the password with a fake/borrowed salt so an attacker can’t tell valid usernames by response time.
2022
Alpine Linux changes the locked root password in /etc/shadow from ! to * so SSH keys work properly on cloud images.
… and the loop closes!
You connect over SSH as root (whose shadow entry is *).
You type any password longer than 256 characters (e.g. 300 As).
crypt() hits the length limit → returns * → OpenSSH compares it with the value in the database → that value is also * → you’re in as root.
That chain took 46 years (!!!) to complete.
Every individual change was reasonable. Together they produced a perfect * == * authentication bypass (CVE-2026-123158, nicknamed *sshole). Fixed in OpenSSH 10.6p2 and Alpine packages.
🚨 Critical OpenSSH flaw allows passwordless account access using any password over 256 characters
sshhole.com
A newly disclosed vulnerability dubbed *sshole has been discovered in OpenSSH installations using musl libc, potentially allowing attackers to bypass authentication and gain access to accounts that should reject password logins entirely.
The flaw affects certain configurations of Alpine Linux, OpenWrt, Buildroot, and Yocto where PAM is disabled and password authentication remains enabled. Under specific conditions, attackers can authenticate to locked accounts using arbitrary passwords between 257 and 1,024 characters.
The researcher demonstrated that affected Alpine Linux cloud images could allow attackers to gain root privileges through a passwordless administrative account.
OpenSSH 10.6p2 addresses the issue. Administrators are urged to update immediately or disable SSH password authentication until patches can be applied.
햄스터아저씨 retweeted
Andrej Karpathy:
“A 1B model can be much more effective than most current LLMs.
90% of current models waste a ton of capacity and money on remembering stuff that doesn’t matter.”
here is his 5 core thesis about Small LLM’s:
1. the intelligence was never the knowledge. Strip the memorized internet, keep the reasoning. What’s left is the cognitive core, and it’s small.
2. the core might fit in ~1B params. Maybe less. “Plenty of room at the bottom.” We’ve been paying for a library when we needed a brain.
3. size stopped being the bottleneck. What makes an agent work is the tools it can call and how tight the feedback loop is, not parameter count.
4. intelligence lives in the system, not the weights. A raw LLM is a CPU with no OS. Small core + good harness > giant model alone.
5. you can own it. A model on your hardware is one no one can rate-limit, price-hike, or deprecate on you.
in 12 months the gap between teams shipping on-device and teams paying per-token frontier bills won’t be capability.
TwIL an 8.8B model at 90%+ of frontier isn’t a benchmark flex.
It’s the thesis Karpathy’s been repeating all year, made real.
study more on this below ↓
Modest intelligence is arriving faster than most people realize.
Today, we're open-sourcing TwIL-8B.
Just 8.8 billion parameters, yet approaching frontier-model scores on several difficult benchmarks:
• 93% of frontier performance on coding
• 92% on instruction following
• 90% on contest mathematics
All from a model small enough to run on your own hardware.
But the benchmarks aren't the most important part of this announcement.
For years, the AI industry has focused on building the most capable model, regardless of the cost required to run it.
I believe that equation is changing.
The next era of AI will be defined by the cost of completing work. Not simply the intelligence of the model, but how efficiently that intelligence can accomplish the task.
If a model with 8 billion parameters can reliably complete the same work as one with hundreds of billions, why pay for the larger model?
As smaller models become more capable, intelligence becomes something we can distribute, specialize, and run across the hardware we already own.
That's the future we're building at @thewebAI
TwIL-8B is available today. Open weights.
And this is just the first of several announcements we're making today.
HF Link: huggingface.co/webAI-Officia…
햄스터아저씨 retweeted
⚠️ Niezła dziurwa w SSH...
OpenSSH na Linux używającym biblioteki musl (Alpine, OpenWrt, Buildroot, Yocto oraz mnóstwo obrazów Dockera) ma od 2016 dziurę/backdoora.
Konta, które w ogóle nie powinny pozwalać na logowanie hasłem (root, user z dostępem wyłącznie przez klucz SSH, użytkownicy LDAP, domyślny użytkownik w obrazach Alpine dla AWS i Azure), akceptują ‼️dowolne hasło ‼️ dłuższe niż 256 znaków.
Koniec.
햄스터아저씨 retweeted
외부에서 집 컴퓨터 SSH 접속해서 쓸 때 유용한 방법을 찾았습니다.
# 배경
1호기 : 상시 가동. 소비전력 약 5W
2호기: 평소 절전상태 대기 30분 유휴 상태면 자동 절전. 소비전력 약 15~20W
1호기는 i3고 2호기는 i5라 개발 작업은 2호기에서 하는게 좋은데, 항상 켜두기에는 전기요금이 아까워서 개발 작업도 1호기에서 했었습니다.
# 개선
1호기 주소 2222포트로 접속하면 1호기가 2호기를 절전에서 깨우고(약 8초 소요), 2호기 SSH 접속되게 만들었습니다.
1호기는 2호기 WOL제어 + 스마트플러그로 fallback (전원 내렸다 켜면 power loss후 재부팅)해서 절전과 깨우기를 컨트롤할 수 있게 준비 해 뒀고, 1호기 2222포트로 접속 시도가 오면 깨우기 + 2호기로 프록시 중계하는 구성입니다.
햄스터아저씨 retweeted
linux kernel maintainers waking up and saw 948 patches from openai.
Our security researchers built an autonomous cyber vulnerability discovery, exploitation, and patching pipeline.
In a single run with an upcoming cyber model, it validated and generated patches for 948 local privilege escalation vulnerabilities in the Linux kernel at a total API cost of $1.2 million.
햄스터아저씨 retweeted
With the recent wave of vulnerability disclosures, it’s a good time to take a closer look at your own code.
Turn your coding agent into a team of security auditors with the open-source skill that seeded Cloudflare’s vulnerability discovery harness.
The 6 phase approach:
1. Map the codebase
2. Hunt for vulnerabilities
3. Challenge each candidate
4. Record the findings
5. Verify the findings
6. Report what’s confirmed, rejected, or still needs validation
Start your hunt here:
github.com/cloudflare/securi…
햄스터아저씨 retweeted
일단 공개적으로 프로그램을 배포를 하려면
1. Github 등에서 release 로 .exe 등의 형태로 배포해야합니다.
2. release의 sha256 해시를 떠서 같이 배포해야합니다 (무결성)
3. 바이러스 토탈 등에 실행 파일을 업로드하여, 안전하다는 정보를 sha256 해시 값으로 검사 결과를 조회할 수 있어야합니다
햄스터아저씨 retweeted
AI 에이전트 1500개한테 밥값 검사 들어간 SKT
직원 4000명 넘게 하나씩 AI 비서를 만들어놨는데
이제 이거 돈값 하냐를 하나하나 따지기 시작함
심지어 AI한테 사번까지 줌
직장인 입장에선 이거 꽤 남 얘기 아님
1. 1인 1 AI 에이전트부터 시작
올해 SKT는 전 직원이 자기 AI 에이전트를 직접 만들어 쓰게 했음
만든 사람만 4000명 넘고, 한 달에 쓰는 사람은 7500명 이상
정기적으로 돌아가는 에이전트가 1500개 정도라고
2. 이제는 성과·비용 평가
에이전트마다 효과가 얼마나 나는지,
회사가 토큰값 내는 게 의미가 있는지 하나씩 보는 중
팀장 말로는 줄이려는 게 목적은 아니고 성과 내려는 거라는데..
듣는 직원 입장에선 그 말이 그 말 같기도 함
3. AI한테 사번 부여
데이터 권한, 시스템 연결, 보안은 개인이 혼자 못 뚫으니까
전사 TF가 맡아서 풀어주고 있음
그러면서 에이전트에 사번 붙이고 조직 단위로 협업하게 만드는 중
진짜 신입 한 명 들어온 취급임
4. 한 명 + AI로 기획·개발·검증
상반기에 서비스 개발 조직에서 실험을 했는데
구성원 한 명이 AI 에이전트랑 기획부터 개발, 검증까지
다 하는 방식으로 3개월쯤 돌렸다고 함
하반기엔 전사로 넓혀서 보는 중
개인적으로 이게 제일 의미심장하다고 봄
5. 외부 AI 쓰면 연 1~2억
네트워크센터 DB만 9000개 넘고 데이터 컬럼은 30만개쯤
여기에 외부 LLM으로 설명 붙이면
1년에 1~2억 이상 든다고 계산이 나왔대
그래서 자체 NPU랑 로컬 모델로 돌렸더니
비용은 줄고 답변 정확도는 40% → 80% 이상
돈 아끼면서 정확도 두 배ㄷㄷ
6. 민감정보는 AI한테 안 넘김
원본 데이터는 안 주고 처리 결과만 건네는
Z.E.Z라는 기술 만들어서 특허 출원함
의료비 정산 같은 민감한 업무에도 쓰려고
7. 다음 단계는 워크맵
직원 업무 자료랑 목표를 AI가 읽고 업무 절차 초안을 짬
그다음 직원이랑 대화하면서 표준 절차로 다듬고
그 과정에서 AI가 맡을 일을 찾아낸다고 함
팀장은 지금을 AX J커브 골짜기라고 표현했음
AI 처음 들이면 생산성이 잠깐 꺾였다가 다시 오르는 구간
앞으로 조직 생산성이나 매출 기여 숫자가 나올 거라고
내가 보기엔 회사가 "AI 한번 써봐" 하던 단계는 끝난듯
이제는 써서 뭐가 남았냐를 숫자로 보는 단계고
그 숫자는 사람 숫자랑도 같이 놓고 볼 거임
(4번이 딱 한 명이 몇 명 몫 하는지 보는 실험이니까)
물론 자기 업무용 에이전트 직접 만들어서 굴려본 사람은
워크맵 짤 때 오히려 제일 먼저 찾는 사람이 되겠지
AI 비서도 사번 받고 성과평가 받는 거 보니까 좀 무섭긴 함
