wook2pp

[ByungJun Ahn @dubidubabap]

https://t.co/4eZO08IMAc

[Alis volat propriis @Alisvolatprop12]

ㅋㅋㅋㅋㅋㅋㅋㅋㅋㅋㅋㅋㅋㅋㅋㅋㅋㅋㅋㅋㅋ

애플실리콘분들 보면 배를 잡으시겠군

[Alis volat propriis @Alisvolatprop12]

소프트웨어 기업들을 높게 평가하지 않는 이유

그들은 엔비디아에 종속되어 간다.

[Serenity @aleabitoreddit]

The "AI is Disrupting Software but Not Really" Bucket.

Here's my personal list of favorites:

$RDDT ($149, -37.47% YTD): 10/10
$NFLX ($84.61, -30.85% 6M): 9/10
$NET ($169.5, -13.55% YTD): 10/10
$SPOT ($488, -15.2% YTD): 9/10
$SNAP ($5.13, -38.1% YTD): 10/10
$DUOL ($85.3, -60.92% YTD): 6/10
$PINS ($17.5, -34% YTD): 8/10
$U ($18.83, -59.3% YTD): 8/10
$FIG ($28.93, -23.65% YTD): 7/10

Reddit - 10/10: You can vibe code Reddit in a day with Opus. But the main thing is "Network Effect" that you can't replicate.

You can ask ChatGPT or Gemini a question, but main thing is the type league of legends post-match discussions or human discourse that people use reddit for.

Netflix - 9/10: You go to Netflix for squid games and others. I'm sure AI will help with generation of new viral movies or TV shows, but you will still use Netflix or Youtube to watch it.

People are still going to watch licensed Anime like Solo Leveling or the newest Alice in Borderlands show over AI generated contnet.

Cloudflare 10/10: I don't see how AI would disrupt Cloudflare.

Spotify - 9/10: Biggest disruption is Apple Music just not charging for services (which likely won't happen). There's AI generating music but like Youtube, you use Spotify to listen to it. You can try and vibe code Spotify sure, but a large part of it is licenses.

AI generated music will not go out and replace Martin Garrix EDM soundtracks (where a large part of it is knowing the song -> going to music festivals in person) or Taylor Swift Love Story type songs (where you also go in person to see concerts).

Snapchat - 10/10: Same with network effect only reason it works is because everyone agrees to use it. Their issue is with monetization and excessive stock based compensation, not AI disruption.

Duolingo - 6/10: I made fun of Duolingo for the longest time, but it's decent valuation again after the selloff to $86. Yes you can learn languages through Gemini, which I do myself. But most people are still going use Duolingo as more of a motivational tool.

There's name recognition too + convenience, which is the biggest factor. People can vibe code their own Duolingo but that doesn't mean people will use it on the app store or go out and code it themselves.

Pinterest - 8/10 - It's human related taste. People are fearing agentic commerce and generative AI (Midjourney, DALL-E) will disrupt this type of search, which people don't really use Pinterest for.

Unity - 8/10: Everyone uses Unity for 4D AI and World Models. People fear stuff regarding generative gaming, but it's still widely used. Their main issue is monetization from AI usage, not disruption.

Figma - 7/10: AI is right now is mainly for porting your figma files over to html/css/js. Not exactly for disrupting the need for the software.

Maybe it's just me but there's a certain human element to design and creativity that AI can't emulate yet for wireframing (it's good at copying and doing something relatively new). I highly doubt AI can one-shot Tempo or $XYZ websites.

For others like $V and Mastercard, I do genuinely believe interchange and % based fees maybe end as AI handles direct payment routing through $CRCL stablecoins. And for others like $CHGG, they have legitimately been disrupted out of existence already.

For the rest like $RDDT and $NFLX, everyone will still go there for discussions or to watch Squid Games, and AI has no material disruptive effect.

Going to be hard to time the bottom as fear has overtaken the market with software, but many, such as Reddit present a great opportunity.

[clovis @clovisdsdo]

Recap to make your Kubernetes namespace production-ready:

- Add a LimitRange
- Add a ResourceQuota
- Set requests and limits
- Enforce PSA
- Apply NetworkPolicies
- Lock down RBAC
- Add proper labels
- Enable monitoring/logging

[Sarthak @Sarthak4Alpha]

Want to be a great backend engineer?

Learn:

1. Programming Fundamentals
Language depth, data structures, algorithms, concurrency, memory basics

2. APIs and Contracts
REST, gRPC basics, versioning, idempotency, pagination, error handling

3. Databases
SQL, joins, indexes, transactions, query optimization, schema design

4. Caching
Redis, cache invalidation, TTLs, read-through vs write-through, hot key problems

5. Async and Messaging
Queues, Kafka/RabbitMQ, retries, DLQs, at-least-once delivery, idempotent consumers

6. Distributed Systems Basics
Replication, partitioning, consistency, leader-follower, network failures, backpressure

7. Reliability Engineering
Timeouts, retries, circuit breakers, rate limiting, graceful degradation

8. Observability
Logs, metrics, tracing, p95/p99 latency, debugging production issues

9. Infrastructure and Deployment
Docker, CI/CD, Linux basics, cloud services, rollbacks, blue-green/canary deploys

10. Security
Auth, authorization, secrets management, input validation, encryption, secure defaults

[Daniel San @dani_avila7]

If you don't want Claude to read your .env files

Just add this to your .claude/settings.json

[Sagar Shiroya @sagarshiroya_x]

Database connections are expensive.
Opening and closing them on every request?
Even worse.

I wrote a simple breakdown on how connection pooling actually works and why it matters

Link: https://t.co/4f2d87UduQ

#Database #SytemDesign

[BuBBliK @k1rallik]

VERCEL GOT HACKED

ShinyHunters - the group behind the Ticketmaster breach - is selling Vercel's internal database for $2M on BreachForums

here's why every developer should care:

- they have NPM tokens and GitHub tokens
- Vercel owns Next.js - 6 million weekly downloads
- one malicious push = global supply chain attack
- Vercel confirmed the breach today, April 19
- they literally DMed the hackers on Telegram asking them to stop

rotate your env variables RIGHT NOW

[Claude @claudeai]

Introducing Claude Design by Anthropic Labs: make prototypes, slides, and one-pagers by talking to Claude.

Powered by Claude Opus 4.7, our most capable vision model. Available in research preview on the Pro, Max, Team, and Enterprise plans, rolling out throughout the day.

[elie @eliebakouch]

yeah you know.... moe model are fundamentally limited... dense model are way better look at gemma4 and qwen3.5... you don't get it this is just a trend... moe are dead!!!

[Avid @Av1dlive]

In 14 minutes, this Anthropic engineer who wrote "Building Effective Agents" will

teach you more about building them right than most developers figure out on their own

in months.

Bookmark this for the weekend. Then read the builder's guide below.

[골안아파덕 @Nice_Stock_]

ACE 미국우주테크액티브🚀

4/14, 내일 상장 예정🗓️

1. AI시대, 우주로 확장되는 데이터 인프라

2. 순수 우주 벨류체인 핵심 기업 집중

3. 에코스타와 같이 스페이스 X의 지분을 갖고 있는 기업들 및 ETF 등을 활용해 스페이스X 상장 전 포지션 구축
➜ 상장 이후 스페이스X 직접 투자로 전환 계획

Source: https://t.co/Q87qhfOSjn

[Dev Bora 개발자 이보라 🇰🇷 @LearnerBR]

Axios 해킹 사태 포스트모템에 따르면, 공격 과정은 다음과 같았다.

=====

- 회사 사칭 접근: 공격자는 실제 존재하는 회사의 창업자를 사칭하여 연락했다. 회사의 외모와 브랜딩까지 복제했다.
- 가짜 Slack 워크스페이스: 해당 회사의 CI에 맞춰 브랜딩된 Slack 워크스페이스에 초대했다. LinkedIn 게시물을 공유하는 채널, 팀원 프로필, 오픈소스 메인테이너 프로필까지 정교하게 만들어두었다.
- MS Teams 미팅: 여러 참여자가 있는 것처럼 보이는 Teams 미팅을 잡았다.
- RAT 설치 유도: 미팅 중 시스템 업데이트가 필요하다는 메시지를 띄워 악성 소프트웨어를 설치하도록 유도했다. 이것이 바로 RAT(악성 원격 제어 프로그램)이었다.

=====

[axios 공급망 공격 사건: npm 생태계를 뒤흔든 3시간]

1⃣ axios, 얼마나 많이 쓰이는 라이브러리인가

JavaScript/Node.js 생태계에서 HTTP 요청을 보낼 때 가장 널리 사용되는 라이브러리가 바로 axios다. 주간 다운로드 수 약 1억 회에 달하며, 전체 클라우드 및 코드 환경의 약 80%에 존재하는 것으로 알려져 있다. 웹 애플리케이션, 모바일 앱, 백엔드 서비스, CI/CD 빌드 파이프라인까지 사실상 Node.js가 쓰이는 거의 모든 곳에서 axios를 의존성으로 사용하고 있다고 해도 과언이 아니다.
그런 axios가 2026년 3월 31일, 공급망 공격(Supply Chain Attack)의 타겟이 되었다.

2⃣ 무슨 일이 있었나

2026년 3월 31일, axios의 악성 버전 두 개(1.14.1, 0.30.4)가 npm 레지스트리에 게시되었다. 이 버전들은 정상적인 릴리즈 프로세스를 거치지 않았다. 공격자는 axios의 핵심 메인테이너인 jasonsaayman의 npm 계정을 탈취한 뒤, 39�� 간격으로 두 개의 백도어 버전을 게시했다.

악성 버전에는 [email protected]이라는 의존성이 추가되어 있었다. 이 패키지는 공격을 위해 사전 제작된 것으로, 18시간 전에 "깨끗한" 버전(4.2.0)을 먼저 게시해 레지스트리에 이력을 만들어둔 뒤, 악성 페이로드가 담긴 4.2.1을 배포하는 치밀함을 보였다.

개발자나 CI/CD 시스템이 npm install을 실행하는 순간, 이 악성 의존성의 postinstall 스크립트가 자동 실행되며 macOS, Windows, Linux를 모두 지원하는 크로스 플랫폼 원격 접근 트로이목마(RAT)가 설치되었다. Huntress에 따르면, [email protected]이 게시된 지 불과 89초 만에 첫 번째 감염이 확인되었다.

악성 버전은 약 3시간 뒤 npm에서 제거되었지만, 그 짧은 시간 동안 Huntress가 모니터링하는 환경에서만 135개 이상의 엔드포인트가 공격자의 C2(명령 및 제어) 서버에 접속한 것이 확인되었다.

3⃣공격 과정: 소셜 엔지니어링에서 RAT 배포까지

이번 사건에서 가장 주목할 점은 공격의 시작이 코드 취약점이 아닌 사람을 노린 소셜 엔지니어링이었다는 것이다.

메인테이너 Jason Saayman은 GitHub에서 공격이 "표적화된 소셜 엔지니어링 캠페인"의 결과였다고 밝혔다. 공격자는 유명 기업의 관계자를 사칭해 협업을 제안하며 접근했고, 궁극적으로 메인테이너의 컴퓨터에 대한 접근 권한을 확보했다.

이번 사건의 포스트모템 글이 올라온 GitHub 이슈 10636(링크는 댓글 참고)에 따르면, 공격 과정은 다음과 같았다.

- 회사 사칭 접근: 공격자는 실제 존재하는 회사의 창업자를 사칭하여 연락했다. 회사의 외모와 브랜딩까지 복제했다.
- 가짜 Slack 워크스페이스: 해당 회사의 CI에 맞춰 브랜딩된 Slack 워크스페이스에 초대했다. LinkedIn 게시물을 공유���는 채널, 팀원 프로필, 오픈소스 메인테이너 프로필까지 정교하게 만들어두었다.
- MS Teams 미팅: 여러 참여자가 있는 것처럼 보이는 Teams 미팅을 잡았다.
- RAT 설치 유도: 미팅 중 시스템 업데이트가 필요하다는 메시지를 띄워 악성 소프트웨어를 설치하도록 유도했다. 이것이 바로 RAT(악성 원격 제어 프로그램)이었다.

Saayman은 공격자가 자신의 브라우저 세션이나 쿠키를 탈취할 수 있을 정도의 접근 권한을 확보했다고 밝혔다. Socket 이를 통해 npm과 GitHub 계정을 모두 장악할 수 있었고, 2FA/MFA가 설정되어 있었음에도 우회가 가능했다.

4⃣ 공격의 배후: 북한 연계 위협 행위자

마이크로소프트 위협 인텔리전스는 이번 공격의 인프라와 axios 침해를 북한 국가 ���위자인 Sapphire Sleet에 귀속시켰다. 구글 위협 인텔리전스 그룹(GTIG)은 이 활동을 2018년부터 활동해온 재정적 동기의 북한 연계 위협 행위자 UNC1069로 분류했다.

5⃣ 왜 이 사건이 중요한가
이 사건은 단순한 해킹 사고가 아니다. 현대 소프트웨어 생태계의 구조적 취약점을 여실히 드러낸 사건이다.

Wiz는 axios가 클라우드 및 코드 환경의 약 80%에 존재하며, 스캔한 환경의 약 3%에서 악성 버전이 관찰되었다고 보고했다. axios에 의존하는 다른 패키지들을 통해 공격이 연쇄적으로 전파될 수 있었기 때문에, 실제 영향 범위는 직접 설치한 경우보다 훨씬 넓다.

SANS 연구소는 이번 사건을 "교과서적인 공급망 리스크 사례"로 평가했다. 단 하나의 메인테이너 계정이 침해됨으로써, npm 생태계에서 가장 신뢰받는 패키지 중 하나가 공격 벡터로 변했다.

메인테이너 Saayman은 ���렇게 말했다. "사람을 전혀 신뢰할 수 없는 상황이 슬프다. 나의 유일한 목표는 코드로 유용한 것을 만드는 것인데, 세상은 매 순간 무언가를 훔치거나 악용하려는 사람들로 가득하다."

[Theo - t3.gg @theo]

Axios just got pwn’d. This is really bad.

[Feross @feross]

🚨 CRITICAL: Active supply chain attack on axios -- one of npm's most depended-on packages.

The latest [email protected] now pulls in [email protected], a package that did not exist before today. This is a live compromise.

This is textbook supply chain installer malware. axios has 100M+ weekly downloads. Every npm install pulling the latest version is potentially compromised right now.

Socket AI analysis confirms this is malware. plain-crypto-js is an obfuscated dropper/loader that:

• Deobfuscates embedded payloads and operational strings at runtime
• Dynamically loads fs, os, and execSync to evade static analysis
• Executes decoded shell commands
• Stages and copies payload files into OS temp and Windows ProgramData directories
• Deletes and renames artifacts post-execution to destroy forensic evidence

If you use axios, pin your version immediately and audit your lockfiles. Do not upgrade.

[USAnt 미국개미 @USAnt_IDEA]

고점대비 하락률(%)

엑손모빌: 0%
S&P 500: -9%
애플: -14%
금: -20%
엔비디아: -21%
구글: -22%
아마존: -23%
테슬라: -28%
팔란티어: -32%
메타: -34%
마이크로소프트: -36%
은: -43%
비트코인: -48%
이더리움: -60%
마이크로스트래티지: -77%
파트코인: -94%
트럼프 코인: -96%
멜라니아 코인: -99%

[International Cyber Digest @IntCyberDigest]

🚨‼️ BREAKING: Databricks allegedly compromised in a TeamPCP supply chain attack.

Databricks is the leading cloud-based data analytics platform: used by organizations worldwide to manage massive datasets.

We notified them last week. They scaled up to investigate. We haven't heard back since.

[Alis volat propriis @Alisvolatprop12]

대압축의 시대 : 구글 turboquant로 말미암은 메모리 반도체 충격에 대해 현상을 간략하게 분석한 아티클을 작성해 보았습니다.

[Alis volat propriis @Alisvolatprop12]

https://t.co/8ELIdA7WjY