- Apache HTTP Server 2.4.55~2.4.70의 HTTP/2 모듈에서 인증 없이 원격 코드 실행이 가능한 CVE-2026-119618이 공개됐고, 2.4.71에서 수정됐습니다.
- 구글이 Gemini 4 Hydrogen을 출시했습니다. 100만 토큰 전 구간 입력 1.5달러·출력 7.5달러(100만 토큰당) 고정 가격에 Terminal-Bench 4.1 57%를 기록했습니다.
- Alex Wang의 에세이는 LLM 추론을 ‘토큰 공간의 경로 탐색’으로 보고, 길게 생각하는 것 자체에는 목적함수가 없다고 주장합니다.
지금 운영 중인 웹서버에서 HTTP/2가 켜져 있는지, 바로 대답할 수 있으신가요? 그리고 새로 나온 ‘빠른 모델’이 정말 내 에이전트 작업을 더 싸고 빠르게 만들어 줄지, 모델이 오래 생각할수록 정말 더 정확해지는지도 확신할 수 있으신가요? 이번 주 GeekNews 상위 3건은 이 세 가지 질문에 각각 답을 줍니다. 하나는 당장 패치해야 하는 보안 이슈, 하나는 비용 구조를 바꿀 수 있는 모델 출시, 마지막 하나는 추론 모델을 바라보는 관점 자체를 흔드는 글입니다.
1. Apache HTTP Server 치명적 원격 코드 실행 취약점 (CVE-2026-119618)
무엇이 문제인가
클라우드 보안 기업 Wiz가 2026년 11월 11일 공개한 분석에 따르면, Apache HTTP Server의 HTTP/2 모듈(mod_http2)에 있는 assign_headers() 함수에서 경쟁 상태(race condition)가 발생합니다. HTTP/2 워커 스레드와 커넥션 스레드가 같은 메모리 할당자를 동시에 사용하면서 힙 메모리가 손상되고, 이를 악용하면 인증되지 않은 원격 공격자가 웹서버 프로세스 권한으로 임의 코드를 실행할 수 있습니다. Wiz는 이 취약점을 “critical”로 분류했고 즉시 패치를 권고했습니다. 별도의 CVSS 점수는 글에 제시되지 않았습니다.
영향 범위는 HTTP/2(h2/h2c)가 활성화된 Apache HTTP Server 2.4.55부터 2.4.70까지이며, 2.4.71에서 수정됐습니다. GitHub에서 별도로 배포되는 mod_h2 모듈은 2.0.8부터 2.0.42까지가 영향을 받습니다. 이 취약점은 Anthropic과 Google Cloud 취약점 연구팀이 각각 독립적으로 발견해 Apache에 보고했습니다.
노출 규모와 익스플로잇 현황
Wiz 데이터 기준으로 클라우드 환경의 64%에 취약한 버전의 리소스가 있고, 51%는 인터넷에 노출된 인스턴스를 갖고 있습니다. 다만 Wiz는 이 수치가 HTTP/2 활성화 여부 같은 실제 설정을 반영하지 않는다고 명시했습니다. 익스플로잇 현황은 출처마다 결이 다릅니다. Wiz 원문은 게시 시점 기준 공개 익스플로잇과 실제 악용 사례가 없다고 했지만, GeekNews 요약은 2.4.70에서 힙 손상을 재현하는 공개 PoC가 있다고 전합니다(실제 악용 보고는 확인되지 않음). 어느 쪽이든 공격 코드가 성숙하기 전에 패치를 끝내는 것이 안전합니다.
지금 해야 할 일
첫째, 2.4.71 이상으로 업그레이드합니다. 데비안은 apache2 2.4.71-1~deb13u1 패키지가 나왔다는 커뮤니티 제보가 있으니 배포판 보안 트래커에서 패치 상태를 확인하세요. 둘째, 당장 업그레이드가 어렵다면 httpd.conf에서 h2와 h2c를 제거하고 “Protocols http/1.1″로 HTTP/1.1만 허용하는 것이 공식 완화책입니다. 셋째, 커뮤니티 토론에서 지적된 대로 내장 mod_h2의 버전 표기가 2.4.71에서도 2.0.42로 남아 있다는 보고가 있으므로, 모듈 버전 숫자만 보고 판단하지 말고 httpd 버전과 배포판 패치 여부를 함께 확인해야 합니다.
Tech Insight — 이번 건에서 눈여겨볼 지점은 발견 주체입니다. AI 기업의 오픈소스 스캐너와 빅테크 보안팀이 같은 버그를 독립적으로 찾아냈다는 것은, 오래된 C 코드베이스의 동시성 버그가 이제 자동화 도구로 대량 발굴되는 단계에 들어섰다는 신호입니다. 공격자도 같은 도구를 쓸 수 있으니, 패치 공개부터 악용까지의 시간은 계속 짧아질 수밖에 없습니다. 웹서버 버전과 프로토콜 설정을 자산 목록에서 바로 조회할 수 있는 체계가 없다면 지금이 만들 때입니다.
2. Gemini 4 Hydrogen, 에이전트 작업용 ‘데일리 드라이버’ 모델
포지셔닝: 깊은 추론은 Carbon, 빠른 실행은 Hydrogen
구글은 2026년 11월 12일 Google DeepMind의 코라이 카부크추오글루(Koray Kavukcuoglu) 명의 블로그로 Gemini 4 Hydrogen을 공개했습니다. 장기 추론을 맡는 Gemini 4 Carbon·Argon과 달리, Hydrogen은 일상적인 코딩과 다양한 에이전트 작업을 빠르게 실행하는 역할입니다. 단독으로도 쓰이지만 멀티 모델 워크플로에서 실행 엔진 역할을 하도록 설계됐습니다. 추론 강도는 low, medium, high(기본), 그리고 새로 추가된 xhigh까지 네 단계입니다.
숫자로 본 성능과 가격
가격은 입력 100만 토큰당 1.5달러, 출력 100만 토큰당 7.5달러이며, 100만 토큰 컨텍스트 전 구간에 같은 가격이 적용됩니다. Artificial Analysis Intelligence Index에서 기본(high) 설정으로 51점을 받아 Argon(50점)을 앞섰고, xhigh에서는 54점입니다. 이전 세대 Gemini 3.8 Flash와 비교하면 Terminal-Bench 4.1이 18.2%에서 57%로 세 배 이상 올랐고, 작업 완료 속도는 2.5배 빨라졌으며, 사실과 다른 주장은 5배 이상 줄었다고 구글은 밝혔습니다. 이 밖에 HLE-Diamond 58.8%, Vals Tax Agent Bench 52.3%(전체 1위), Agents’ Last Exam v1.1 71.6% 등의 수치가 제시됐습니다. 대부분 구글이 직접 낸 비교라는 점은 감안해야 합니다.
오케스트레이터와 병렬 에이전트
실무에서 더 흥미로운 부분은 조합 방식입니다. Google Antigravity의 Orchestrator는 한 세션 안에서 Carbon과 Hydrogen을 상황에 따라 바꿔 쓰는데, Terminal-Bench 4.0에서 Carbon 단독에 가까운 성공률을 유지하면서 평균 할당량 사용은 24%, 완료 시간은 19% 줄였습니다. 병렬 에이전트 구성에서는 Carbon이 코디네이터를, Hydrogen이 격리된 작업 공간의 워커·검증 에이전트를 맡습니다. 제공 범위는 Gemini API와 Google AI Studio, Android Studio, Antigravity(유료 AI Pro·Ultra), 기업용 Gemini, Gemini 앱, Google 검색 등이며 전 세계에 순차 배포됩니다.
Tech Insight — 핵심은 성능보다 ‘역할 분담’이 제품 단위로 굳어지고 있다는 점입니다. 비싼 모델이 계획을 세우고 싼 모델이 실행·검증하는 구조가 벤더 차원에서 기본값이 되면, 에이전트 비용 설계는 ‘어떤 모델을 쓸까’가 아니라 ‘어떤 단계를 어느 모델에 맡길까’의 문제가 됩니다. 컨텍스트 길이와 무관한 고정 가격도 긴 저장소 전체를 넣는 코딩 에이전트에는 예산 예측성을 높여 줍니다. 다만 Carbon·Argon·Hydrogen이라는 원소 이름 체계가 직관적이지 않다는 개발자 반응도 적지 않았습니다.
3. 추론은 어떤 목적함수를 풀고 있는가?
추론 = 토큰 공간의 경로 탐색
연구자 Alex Wang이 2026년 11월 8일 공개한 에세이 “What objective is reasoning solving?”은 단순한 관찰에서 출발합니다. 강화학습(RL)을 거친 모델은 사고 과정이 길어지고 정확도도 오르지만, 이미 학습된 모델에게 억지로 더 오래 생각하게 하면 정확도가 정체되거나 오히려 떨어집니다. 사고 과정이 어떤 최적점으로 수렴하는 과정이라면 단계가 늘어날수록 나빠질 이유가 없는데 말이죠. 저자는 이를 추론을 ‘시작 문맥 x에서 정답 집합 S_x로 가는 경로 찾기’로 보면 설명된다고 말합니다. 1부터 10까지 더해 55를 얻는 길이 차례로 더하기와 양끝 짝짓기처럼 여러 개인 것처럼, 정답으로 가는 경로는 많고 모델은 시도할 때마다 그중 하나를 샘플링합니다.
RL이 실제로 올리는 것: 성공 확률
에세이의 중심 수식은 성공 확률 p_x입니다. 정답에 도달하는 모든 경로의 확률을 합한 값이죠. 정확한 검증기가 있다면 best-of-k 샘플링의 성공 확률은 1 − (1 − p_x)^k로, p_x가 0보다 크기만 하면 샘플 수를 늘릴수록 반드시 오릅니다. 저자는 이것이 ‘사고 길이’가 아니라 ‘샘플 수’에 대한 확실한 컴퓨트 스케일링 축이라고 강조합니다. 또 이진 보상을 쓰는 REINFORCE 업데이트는 모델 자신의 성공 경로로 파인튜닝하는 것(RFT, STaR 계열)에 현재 성공률 M/N을 곱한 것과 같다고 보여 줍니다. 즉 학습은 비싼 탐색 결과를 가중치에 저장해 추론 시점에 꺼내 쓰는 ‘탐색 비용의 상각’이라는 해석입니다. 성공 경로가 대체로 길었다면 모델이 긴 사고 쪽으로 밀리는 것도 이 때문입니다.
충실성과 보상 해킹은 별도의 문제
최종 답만 채점하는 보상은 중간 사고 과정이 사실이거나 답을 설명한다는 것을 보장하지 않습니다. 의미 있는 사고 과정을 원한다면 별도의 보상이나 목적함수가 필요합니다. 또 검증기가 불완전하면 보상을 받는 집합이 진짜 정답 집합과 달라지고, RL을 크게 돌릴수록 검증기를 ‘퍼징’하듯 지름길을 찾을 확률이 커져 보상 해킹 위험이 높아진다고 저자는 지적합니다. 결론은 짧습니다. 길게 생각하는 것이 도움이 되는 이유는 학습이 그 토큰을 쓰는 법을 가르쳤기 때문이며, 추론 자체가 어떤 목적함수를 푸는 것은 아니라는 것입니다.
Tech Insight — 실무자에게 주는 메시지는 분명합니다. 정확도가 중요한 작업이라면 ‘추론 강도를 최대로’보다 ‘검증기를 갖춘 다중 샘플링’이 더 예측 가능한 투자일 수 있습니다. 2번 항목의 Hydrogen이 xhigh 단계를 추가하고, 동시에 Hydrogen을 검증 에이전트로 쓰는 구조를 내세운 것도 같은 흐름으로 읽힙니다. 그리고 사고 과정 로그를 감사 증적으로 쓰려는 조직이라면, 그 로그가 실제 판단 근거라는 보장은 별도로 설계해야 한다는 점을 기억해야 합니다.
관련 글
출처
- Wiz Blog — Critical RCE Vulnerability in Apache HTTP Server (2026-11-11)
- GeekNews — Apache HTTP Server의 치명적인 원격 코드 실행 취약점
- Google Blog — Introducing Gemini 4 Hydrogen (2026-11-12)
- GeekNews — Gemini 4 Hydrogen
- Alex Wang — What objective is reasoning solving? (2026-11-08)
- GeekNews — 추론은 어떤 목적함수를 풀고 있는가?
AI Biz Insider · Tech Digest · aibizinsider.com
답글 남기기