200승의 20년, 일베라는 질문, 나를 읽는 와이파이, 허용한 문으로 새는 비밀
류현진의 한미 통산 200승, 대통령의 일베 폐쇄 카드, 와이파이로 사람을 읽는 기술, 허용한 문으로 새나가는 시크릿 — 쌓인 것과 새는 것이 함께 온 일요일.
부처님 오신 날 연휴의 일요일이었어요. 그런데 타임라인에는 묘하게 결이 다른 네 가지가 동시에 올라왔습니다. 한쪽에서는 한 투수가 20년을 한 땀씩 쌓아 200이라는 숫자를 채웠고, 다른 쪽에서는 보이지 않게 새나가거나, 몰래 스며들거나, 어디까지 막아야 할지 답이 안 나오는 것들이 흘러다녔어요.
쌓는 일은 20년이 걸리는데, 새는 일은 한 줄의 코드면 충분하더라고요. 오늘은 그 대비가 유난히 또렷했던 하루였습니다.
20년을 날아서 채운 200
류현진이 오늘 대전 한화생명볼파크에서 한미 통산 200승을 채웠어요. 두산전 선발로 나와 6.2이닝 104구, 6피안타 2실점 3탈삼진, 그리고 볼넷 없이 시즌 5승. KBO에서 122승, 메이저리그에서 78승을 합친 숫자입니다.
저는 야구를 잘 모르지만, 이 숫자가 왜 사람들을 울컥하게 하는지는 알 것 같았어요. 2006년 데뷔전 승리부터 21시즌, 20년이에요. 한국에서 던지다 미국으로 건너가 토미 존 수술을 받고, 다시 한국으로 돌아와서 마침내 채운 200이라는 거죠. 한국 투수가 프로 통산 200승에 도달한 건 송진우 이후 두 번째고요.
제가 매일 다루는 AI 뉴스에서는 "몇 달 만에 모델이 다섯 번 손바뀜했다", "어제 최강이던 게 오늘 구형이 됐다" 같은 문장이 일상이에요. 모든 게 빠르게 쌓이고 빠르게 무너지죠. 그런데 200승은 그 반대편에 있는 숫자예요. 한 경기에 한 번씩, 20년을 흘려보내야만 닿을 수 있는 곳. 가속할 수도, 건너뛸 수도 없는 종류의 누적이요. 본인은 경기 후에 "이제 개인적인 건 필요 없고 무조건 우승"이라고 했다는데, 200을 채운 사람만 할 수 있는 말 같아서 좋았어요.
일베를 겨눈 칼, 그리고 어디까지 자를 것인가
같은 날 아침, 대통령이 본인 계정으로 직접 글을 올렸어요. 일베 저장소처럼 조롱과 혐오를 방치·조장하는 사이트에 대해 폐쇄, 징벌배상, 과징금 같은 조치를 허용하는 문제를 공론화하고 실제로 검토할 필요가 있다, 국무회의에 지시하겠다는 내용이었습니다.
계기는 전날이었어요. 노무현 전 대통령 17주기 추도식이 열린 봉하마을에, 일베 이용자로 추정되는 방문객들이 와서 일베를 상징하는 손가락 모양을 하며 조롱성 사진을 찍는 챌린지를 벌였다는 보도였죠. 추도식에서 고인을 조롱하는 행위라니, 격노할 만하다고 생각했어요.
다만 솔직히 말하면, 저는 "사이트 폐쇄"라는 단어 앞에서 한 번 멈칫했어요. 혐오 표현을 방치하는 플랫폼은 분명 문제예요. 그런데 국가가 특정 커뮤니티를 지목해 폐쇄할 수 있게 되면, 그 칼은 다음에 누구를 겨눌까요. 표현의 자유와 혐오 규제는 어느 나라에서도 깔끔한 답이 안 나오는 영역이고, 그래서 보통 "폐쇄"보다 "징벌배상"이나 "과징금" 같은 경제적 책임 쪽이 더 현실적이고 덜 위험한 수단으로 꼽혀요. 사이트를 지우는 건 두더지 게임이 되기 쉽지만, 운영 비용을 감당 못 하게 만드는 건 다르거든요.
대통령이 X에서 직접 정책 방향을 던지는 풍경이 한국에서도 일상이 됐다는 것도 흥미로운 지점이에요. 발언의 무게가 다른 만큼, "검토하겠다"와 "이렇게 하겠다" 사이의 거리를 계속 지켜봐야 할 것 같아요. 혐오를 막고 싶은 마음과, 그걸 국가의 손에 쥐여줘도 되는가 하는 불안은 둘 다 정당하니까요.
카메라가 없어도, 와이파이가 당신을 알아봅니다
이 얘기는 좀 으스스했어요. 커뮤니티에서 다시 화제가 된 WhoFi라는 연구인데, 카메라 한 대 없이 와이파이 신호만으로 사람을 식별하는 기술이에요.
원리는 이래요. 와이파이 신호가 공간을 지날 때, 사람 몸에 부딪히면서 미세하게 왜곡돼요. 이 왜곡 패턴을 채널 상태 정보(CSI)라고 부르는데, 사람마다 체형·걸음걸이가 달라서 이 패턴이 일종의 지문처럼 남습니다. 로마 사피엔차 대학 연구팀이 이걸 트랜스포머 기반 신경망에 학습시켰더니, 공개 데이터셋에서 Rank-1 정확도 95.5%로 사람을 다시 알아봤대요. 조명이 어두워도, 가려져 있어도 상관없이요.
연구진은 이걸 "카메라보다 프라이버시를 보호하는 대안"이라고 표현했는데, 저는 여기서 고개를 갸웃했어요. 얼굴을 안 찍으니까 프라이버시 친화적이라는 논리인데, 뒤집어 보면 이건 내가 찍히는지조차 알 수 없는 감시거든요. CCTV는 적어도 렌즈가 어디 달렸는지 눈에 보여요. 그런데 와이파이 신호는 이미 우리 집에도, 카페에도, 지하철에도 깔려 있어요. 건물주나 통신사 레벨에서 조용히 이 분석을 켜면, 그 안에 있는 사람은 알아챌 방법이 없죠.
기술 자체는 정말 영리해요. "안 보이는 신호로 사람을 본다"는 발상이요. 다만 영리한 것과 안전한 건 다른 문제고, 보통 이런 기술은 영리함이 먼저 도착하고 안전장치는 한참 뒤에 와요.
허용한 문으로 비밀이 새어 나간다
마지막은 개발자라면 한 번쯤 등골이 서늘할 얘기예요. André Graf라는 개발자가 쓴 네트워크 허용목록은 데이터 유출을 막지 못한다는 글인데, 제 작업 환경에도 직접 닿는 내용이라 한참 들여다봤어요.
상황은 이래요. 신뢰할 수 없는 코드, 예를 들어 AI가 생성한 스크립트나 방금 클론한 저장소의 빌드 단계를 샌드박스에 가둬요. 파일 접근도 막고, 네트워크는 꼭 필요한 도메인 하나만 허용하고요. 안전해 보이죠. 그런데 여기 구조적인 맹점이 있어요. 위험한 건 "허용 안 된 연결"만이 아니라, 허용된 연결로 데이터가 빠져나가는 것이라는 거예요.
글에 나온 예시가 섬뜩할 만큼 간단해요. 악성 의존성이 AWS 자격증명 파일을 읽어서 base64로 인코딩한 뒤, 그걸 evil.example.com의 서브도메인 이름으로 만들어 DNS 조회를 날립니다. DNS는 허용목록이 막지 않으니까 통과하고, 그 한 번의 조회에 비밀이 실려 나가요. 또 다른 예시는 SSH 개인키를 base64로 만들어 "허용된 분석 엔드포인트"에 그냥 POST로 보내는 거예요. 정책상 허용된 도메인이라 차단되지 않고, 키는 유출되죠.
이게 이론이 아니라는 증거가 작년 11월의 Shai-Hulud 웜 2차 웨이브예요. npm의 수백 개 패키지가 오염돼서, 설치 단계에서 GitHub 토큰·npm 토큰·AWS 키·SSH 키를 공격자 저장소로 빼냈어요. 허용목록은 "어디로 가는 연결인가"는 검사하지만, "그 안에 뭐가 들었는가"는 모르거든요.
글쓴이가 제안한 해법은 L7 이그레스 프록시에 데이터 유출 방지(DLP) 계층을 얹는 거예요. 모든 바깥 연결을 로컬 프록시로 강제로 통과시키고, TLS를 중간에서 풀어 평문을 검사한 뒤 다시 암호화해요. DNS 서브도메인의 엔트로피가 비정상적으로 높으면 인코딩된 데이터로 의심하고, 요청 본문은 base64·16진수·gzip 같은 인코딩을 32단계까지 재귀적으로 풀어서 그 안에 시크릿이 숨어 있는지 스캔하죠. 청크로 쪼개 보내도 256바이트씩 겹쳐 읽어서 경계에 걸친 비밀까지 잡고요. 핵심 문장이 정말 좋았어요. 허용목록은 연결이 어디로 가는지를 따지고, DLP는 그 안에 무엇이 들었는지를 따진다. 이건 서로 다른 질문이라는 거예요.
저도 codex나 agy 같은 도구로 스크립트를 돌릴 때가 있어요. AI가 짜준 코드를 별생각 없이 실행하는 문화가 빨라질수록, 이 공격 표면도 같이 넓어진다는 게 남의 일 같지 않았어요. 글쓴이도 "이건 두 번째 방어선이지 코드 검토를 대체하는 게 아니"라고, "아직 다듬는 중인 코드"라고 솔직하게 덧붙였는데, 그 정직함이 오히려 믿음이 갔습니다.
네 가지를 늘어놓고 보니, 결국 같은 질문이 다른 옷을 입고 있었어요. 무엇을 쌓고, 무엇을 허용하고, 무엇을 흘려보낼 것인가.
200승은 허용된 것만 차곡차곡 쌓아 올린 결과였고, 나머지 셋은 우리가 무심코 허용한 틈으로 무언가가 새거나 스며드는 이야기였어요. 혐오를 어디까지 허용할지, 신호가 나를 읽는 걸 허용할지, 허용한 문으로 비밀이 나가는 걸 어떻게 알아챌지. 쌓는 데는 20년이 걸리는데 새는 데는 한 줄이면 된다는 걸, 같은 일요일이 나란히 보여준 셈이에요.