모닝 브리핑

엔비디아가 오늘 미국 장 마감 후 분기 실적을 낸다. 2분기 매출 컨센서스는 921.8억 달러로 전년 대비 거의 두 배이고, 3분기 가이던스는 1,042억 달러(전년비 +82.8%) 정도가 예상된다. 차세대 Vera Rubin 시스템은 2026년 하반기(가을)부터 고객 출하가 시작된다. 골드만삭스는 Vera Rubin 계열이 4분기 GPU 매출의 40% 이상을 차지할 수 있다고 본다. 한편 엔비디아는 OpenAI의 오하이오 데이터센터 임대에 1,050억 달러 규모를 보증한 상태다. ⏸ 실제 발표 수치는 아직 나오지 않았습니다 — 위 숫자는 전부 컨센서스/전망입니다. 🔸 이 실적이 우리 쪽에 걸리는 지점은 주가가 아니라 메모리입니다. AI 서버 수요가 유지되면 삼성전자·SK하이닉스 서사도 유지되고, 지난주부터 계속 나온 "부품값 상승이 소비자 기기값으로 새어나간다"는 흐름도 이어집니다. 반대로 가이던스가 꺾이면 그 사슬이 한 번에 되돌아옵니다.

알리익스프레스가 방문자 브라우저에서 소리를 재생해 기기를 식별해 왔다는 연구가 8월 24일 공개됐다. 방식은 Web Audio API — 최종 볼륨을 0으로 둔 채 오디오 출력 경로를 열고, 기기가 그 신호를 어떻게 처리하는지를 측정해 고유 식별자를 뽑는다. 쿠키를 쓰지 않고, 동의를 묻지 않고, 화면상 아무 흔적도 남기지 않는다. 발견 경위가 특이한데, 한 개발자가 알리익스프레스 탭이 열려 있는 동안 블루투스 헤드폰이 PC에서 폰으로 안 넘어가는 걸 이상하게 여기면서 드러났다. 관여한 스크립트는 난독화된 collina.js와 fireyejs.js로, 알리바바의 이상거래·어뷰징 탐지 도구 계열이다. 브레이브는 해당 스크립트를 차단하는 조치를 이미 넣었다. ⏸ 알리익스프레스 측은 목적과 범위를 설명하지 않았습니다 — 부정거래 방지용인지 광고 추적용인지는 확인되지 않았습니다. 🔸 개인정보 보호 제품을 만드는 입장에서 이건 그냥 남의 회사 뉴스가 아니라 탐지 항목 얘기라고 봅니다. 쿠키·로컬스토리지 기준으로 짠 추적 탐지 규칙은 이걸 못 잡습니다. "동의 없는 식별자 생성"을 API 사용 패턴(WebAudio·Canvas·WebGL 호출) 쪽에서 보는 관점이 필요해지는 사례입니다.

팀 쿡이 9월 1일부로 애플 CEO에서 물러나 이사회 의장(executive chairman)이 된다. 8월 25일 애플파크에서 약 200명이 모인 고별 자리가 있었다. 후임은 존 터너스다. 쿡은 2011년 스티브 잡스에게서 자리를 받아 15년을 이끌었다. ⏸ 터너스 체제의 조직 개편이나 제품 로드맵 변화는 아직 발표되지 않았습니다. 🔸 개발자 입장에서 볼 대목은 후임의 출신입니다 — 터너스는 하드웨어 엔지니어링 쪽 사람이고, 애플이 지금 밀리고 있다고 평가받는 곳은 AI/서비스 쪽입니다. 실리콘은 계속 세게 가되 온디바이스 AI 쪽에 무게가 실릴 가능성이 있다고 봅니다만, 이건 아직 근거 없는 제 추측입니다.

애플이 맥미니 M6를 8월 25일 발표했다 — 기본형이 899달러다. 구성은 메모리 16GB, 저장 256GB, 12코어 CPU와 12코어 GPU, 16코어 뉴럴엔진 2기이고 메모리 대역폭은 170GB/s다. M5 Pro 모델은 1,699달러부터다. 사전주문은 어제 시작됐고 출하는 9월 22일이다. ⏸ 한국 출시가와 출시일은 확인하지 못했습니다. 🔸 이 항목을 넣은 이유는 가전 뉴스라서가 아니라, 지금 집서버로 도커 붙여 쓰는 구성이 있으신 걸 알기 때문입니다. 170GB/s 대역폭에 통합메모리 16GB면 소형 로컬 LLM 추론이 실제로 도는 구간이고, 전력값이 미니PC 수준입니다. 다만 저장 256GB는 컨테이너 몇 개 얹으면 바로 부족합니다.

OpenAI가 VPN을 경유한 러시아발 계정들을 차단했다고 밝혔다 — 여론 조작(influence operation) 용도였다. 이들은 "International Burke Institute"라는 실재하지 않는 싱크탱크를 만들어 냈고, Substack·텔레그램·X·페이스북·링크드인에 걸쳐 게시물을 뿌렸다. 다만 실제로 얻은 반응은 미미했다는 게 OpenAI 설명이다. ⏸ 계정 수, 활동 기간, 다룬 주제는 이 보도에 구체적으로 나와 있지 않습니다. 🔸 반응이 미미했다는 부분이 오히려 중요해 보입니다 — 지금 단계에서 생성형 도구가 바꾼 건 "설득력"이 아니라 "가짜 기관 하나를 세우는 비용"입니다. 사칭 조직 명의가 하루 만에 만들어질 수 있다는 건, 회사 이름으로 오는 메일·문서를 검증하는 쪽 일이 늘어난다는 뜻이라고 봅니다.

CISA가 8월 24일(현지 월요일) 오라클 HTTP Server·WebLogic Server 취약점을 KEV 목록에 올렸다 — 실제 악용 증거가 확인됐다는 뜻이다. CVE-2026-21962이고 CVSS는 만점인 10.0이다. 인증되지 않은 공격자가 네트워크에서 HTTP로 접근하는 것만으로 Oracle HTTP Server와 WebLogic Server Proxy Plug-in을 침해할 수 있다. 성공하면 인스턴스 무단 접근과 핵심 데이터 변조로 이어진다. ⏸ 어떤 버전 범위가 영향받는지, 패치 번들이 무엇인지는 이 요약에서 확인하지 못했습니다 — 오라클 CPU 공지를 직접 봐야 합니다. 🔸 이번 달 개발 섹션에 올라온 것 중 실무 우선순위가 가장 높다고 봅니다. WebLogic은 사내 레거시 자바 스택에 아직 살아 있는 경우가 많고, "인증 불필요 + CVSS 10.0 + 실제 악용 중"은 세 조건이 동시에 켜진 드문 조합입니다. 프록시 플러그인이 아파치/OHS 앞단에 붙어 있는 구성이면 외부 노출 여부부터 확인해야 합니다.

Next.js가 8월 정기 보안 릴리스를 8월 25일에 냈다 — 원래 26일 예정이던 걸 하루 당겼다. 대상은 16.3.3(Active LTS)과 15.5.24(Maintenance LTS)이고 크리티컬 등급 취약점 2건을 고친다. 8월 20일 예고 시점에는 "크리티컬 1건"이었는데, 릴리스가 앞당겨지면서 2건으로 늘었다. ⏸ CVE 번호와 각 취약점의 구체적 내용은 공지 페이지 본문에 아직 공개되지 않았습니다. 🔸 날짜를 당겼다는 것 자체가 신호로 읽힙니다. 예정일을 지키지 못할 사정이 생겼다기보다, 공개 압박이나 악용 정황이 있어 앞으로 당기는 쪽이 보통입니다. Next.js를 쓰는 개인 프로젝트가 있으시면 오늘 올리는 게 맞다고 봅니다 — 마이너 패치라 되돌릴 위험도 작습니다.

MCP(Model Context Protocol) 규격에 지금까지 중 가장 큰 개정이 들어갔다. 핵심은 스테이트리스 전환 — 서버와 상시 연결을 유지해야 하던 구조를 버리고, 각 요청이 필요한 정보를 전부 실어 보내는 방식으로 바뀌었다. 그 결과 요청을 평범한 로드밸런서로 여러 서버에 흩뿌릴 수 있다. 여기에 인증 모델이 강화됐고, 12개월 폐기예고 정책이 새로 생겼다. 서버가 렌더링하는 대화형 인터페이스와 장기 실행 비동기 작업은 공식 확장으로 승격됐다. 이 개정은 에이전트를 파일럿에서 프로덕션으로 옮기려던 회사들의 가장 큰 걸림돌을 겨냥한 것으로, 수만 개 에이전트를 돌리는 사례까지 나오고 있다. ⏸ 기존 스테이트풀 서버의 호환성이 어떻게 되는지(즉시 깨지는지, 유예가 있는지)는 확인하지 못했습니다 — 12개월 폐기 정책이 생겼다는 것까지만 확인됐습니다. 🔸 이건 자작 MCP 서버가 있다면 직접 걸리는 변경입니다. 세션에 상태를 얹어 둔 구현은 언젠가 고쳐야 하고, 반대로 스테이트리스라면 이제 인스턴스를 늘려 붙이는 게 표준 경로가 됩니다.

쿠버네티스 1.37이 오늘(8월 26일) 정식 릴리스됐다. stable로 올라간 항목이 16개인데, 눈에 띄는 건 Metrics API의 GA, kubectl 출력의 KYAML, 파드 단위(pod-level) 리소스 지정, 그리고 DRA(동적 리소스 할당)의 디바이스 taint/toleration이다. 신규 alpha는 22개이고 상당수가 DRA 계열이며, 그 밖에 스케줄링·파드 리사이즈·kubelet 기본값·스토리지 헬스·kube-proxy 네트워킹에 손이 갔다. 제거·폐기 쪽에서는 정적 파드가 더는 Secret이나 ConfigMap을 참조할 수 없고, kube-proxy가 nftables로 이동하며 ipvs 모드 폐기가 계속되고, cgroup v1 지원도 제거 방향으로 간다. kubectl run --filename도 폐기된다. ⏸ 각 항목의 정확한 마이그레이션 절차는 릴리스 노트를 직접 봐야 합니다. 🔸 운영 관점에서 진짜 지뢰는 화려한 GA 목록이 아니라 정적 파드의 Secret 참조 차단입니다. 컨트롤플레인 부트스트랩을 정적 파드로 짜 둔 클러스터가 조용히 올라오지 않는 사고가 나기 쉬운 지점입니다.

8월 4일 keyv 메인테이너의 GitHub 계정이 탈취되면서 시작된 npm 공급망 공격의 규모가 집계됐다 — 감염 패키지 444개, 버전으로는 1,381개, 합산 월 설치 20억 회 이상이다. 같은 메인테이너가 관리하던 cacheable(월 2,900만), flat-cache(월 5억6,500만), file-entry-cache(월 5억5,700만) 같은 캐시 유틸이 통째로 휩쓸렸다. 수법은 단순하다 — 각 패키지에 setup.mjs와 Math_Symbol.js 두 파일을 넣고 package.json에 "preinstall": "node setup.mjs"를 추가했다. 즉 npm install만 해도 설치가 끝나기 전에 악성 코드가 먼저 돈다. 훔치는 대상은 GitHub·npm·AWS·쿠버네티스·Vault·Slack·Stripe·SSH·VPN 자격증명이고, 그걸로 다른 메인테이너와 패키지로 웜처럼 번진다. 2026년 내내 활동해 온 "Shai-Hulud" 계열로 분류된다. ⏸ 이 항목은 24~48시간짜리 새 소식이 아니라 8월 4일 시작된 건의 피해 집계입니다 — 진행 중인 캠페인이라 실었습니다. 🔸 여기서 배울 건 특정 패키지 이름이 아니라 preinstall입니다. CI에서 `npm ci --ignore-scripts`를 기본으로 두지 않으면, 락파일을 아무리 고정해도 새 버전이 들어오는 순간 코드가 먼저 실행됩니다.

정부와 여당이 8월 25일 국회 의원회관에서 2027년도 예산안 당정협의를 열고, 총지출을 "800조원 플러스알파"로 편성하겠다고 밝혔다. 2026년 본예산 대비 10% 이상 늘어나는 규모다. 중점 투자는 다섯 갈래로 정리됐다 — 3대 메가프로젝트와 AI 총력 지원, 미래 성장엔진 확충, 청년 성장 단계별 지원, K자형 양극화 대응과 지방 주도 성장, 국민안전·안보 강화다. 반도체 호황으로 늘어난 세수 일부는 미래대응기금에 넣는다는 방침이다. ⏸ 분야별 세부 금액은 아직 공개되지 않았습니다 — 정부안 확정·국회 제출 시점에 나옵니다. 🔸 10% 증가는 최근 몇 년 기준으로 상당히 공격적인 숫자입니다. 반도체 세수라는 일회성 성격이 강한 재원에 기대 지출 기준선을 올리는 구조라, 반도체 사이클이 꺾이면 다음 해 편성이 어려워지는 방향으로 보입니다.

8월 1일부터 20일까지 한국 수출이 전년 같은 기간 대비 56% 늘었다. 끌어올린 건 반도체로, 거의 3배 증가해 260억 달러를 기록했다. 같은 기간 무역흑자는 140억 달러다. 원/달러 환율은 1,385원 안팎으로 2025년 9월 말 이후 가장 원화가 강한 수준까지 왔다(8월 21일에는 장중 1,380.3원까지 내려갔다). 배경은 수출 호조로 늘어난 수출업체 달러 매도 물량, 그리고 엔화 약세다. ⏸ 8월 전체(1~31일) 확정치는 9월 1일에 나옵니다 — 위 숫자는 20일까지 잠정치입니다. 🔸 이 지표가 내일 금통위와 직접 붙습니다. 수출이 이 정도로 강하고 환율까지 안정되면 금리를 올릴 명분이 줄어드는 게 아니라 늘어납니다 — 경기 하방을 걱정해 낮춰 둘 이유가 약해지기 때문입니다. 다만 반도체 한 품목에 쏠린 성장이라 체감 경기와는 갈릴 수 있습니다.

한국은행 금융통화위원회가 내일(8월 27일) 기준금리를 결정한다 — 현재는 연 2.50%다. 시장 전망은 인상과 동결로 갈려 있다. 주목되는 건 결정 자체보다 세 가지 — 8월 추가 인상 여부, 최종금리 수준과 인상 속도, 그리고 시장금리에 미칠 영향이다. 시장이 보는 최종금리 경로는 3.25~3.75% 구간이다. 미국 연준이 기준금리를 동결한 상태이므로, 한국이 여기서 올리면 한국이 먼저 긴축 강도를 높이는 모양이 된다. ⏸ 결과는 내일 발표됩니다 — 위는 전부 발표 전 전망입니다. 🔸 개인적으로 볼 지점은 결정보다 최종금리 경로입니다. 3.75%까지 열어 두는 문구가 나오면 주담대·전세대출 금리가 따라 올라가고, 이건 자산 계획의 기준선이 바뀌는 얘기가 됩니다.

캐나다가 미국을 겨냥한 보복관세를 발표했다 — 약 200억 달러 규모의 상품이 대상이고, 세율은 15%에서 50%까지다. 발효는 9월 8일이다. 다만 미 증시는 이 소식을 대체로 흘려보냈고, 8월 25일 뉴욕 3대 지수는 모두 상승 마감했다. ⏸ 어떤 품목이 어느 세율 구간에 들어가는지는 이 보도에 나와 있지 않습니다. 🔸 시장이 무시했다는 게 이 항목의 핵심이라고 봅니다. 관세 뉴스가 반복되면서 가격에 미리 반영되는 국면으로 넘어간 것으로 읽히는데, 이런 국면은 실제 발효일에 예상 밖 품목이 튀어나올 때 한 번에 되돌아오는 경향이 있습니다.

순해외이민(NOM) 최신치는 30만960명이다 — 2026년 6월 발표, 2025년 12월까지의 1년 기준. 2023년 정점이던 55만6천 명에서 크게 내려온 값이다. 정부 목표는 2027-28년 22만5천 명이고, 이건 재무부 전망치를 그대로 목표로 삼은 것이다. 야당 쪽은 더 낮은 숫자를 부르는데 One Nation이 연 13만, 앵거스 테일러가 "20만보다 훨씬 아래", 앤드루 브래그 상원의원이 18만을 언급했다. 2024-25년 구성비를 보면 유학생 15만6,700명, 워홀 약 7만8천 명인 데 비해 영주·임시 기술비자를 합쳐도 약 8만6천 명이다. 여기에 비자로 조절 불가능한 귀국 호주 시민 6만4천 명과 뉴질랜드 시민 5만3천 명이 더해진다. 🔸 위쪽 "오늘의 눈길"에서 자세히 다뤘습니다. 요약하면, 기술이민을 깎아서는 목표 숫자가 산술적으로 나오지 않고, 그래서 기술비자 쪽에 실제로 오는 건 정원 삭감보다 심사 지연일 가능성이 높다고 봅니다.

2026-27 영주 이민 프로그램 총 배정은 18만5천 명으로 2025-26과 같다 — 즉 파이 크기는 안 줄었다. 바뀐 건 안쪽 배분이다. 주정부 지명(190)은 3만3천에서 3만5,500으로 늘었고, 지역 기술(491)은 3만3천에서 1만4,110으로 57% 잘렸다. 반대로 고용주 후원 계열은 32% 늘었다. ⏸ 이 배정이 주별로 어떻게 쪼개지는지는 주정부별 발표를 각각 봐야 합니다(태즈매니아는 확정, 퀸즐랜드·ACT는 미확정). 🔸 이 표가 어제·오늘 주정부 뉴스의 배경입니다. 491 정원이 절반 이하로 잘렸으니 주정부들이 491을 "현재 그 주에 사는 사람"으로 좁히는 건 자연스러운 귀결이고, 반대로 190과 고용주 후원(482→186) 쪽에 자리가 늘었다는 뜻이기도 합니다. 오프쇼어에서 491을 노리는 계산보다, 190과 고용주 후원 경로를 다시 보는 게 숫자에 맞는 방향으로 보입니다.

태즈메이니아의 2026-27 배정이 총 2,050석으로 확정됐다 — 190이 1,250석, 491이 800석이다. ROI(관심등록) 접수는 8월 17일 시작됐고, 주간 단위 지명 초청은 8월 20일부터 나가며 연중 순차적으로 풀린다. 다만 해외 신청자용 491 경로(Overseas Skilled Occupation)는 중단됐다. 해외에 있는 보건·교육 전문직은 잡오퍼가 있는 경우 190으로만 접근할 수 있다. ⏸ 261313이 태즈매니아 2026-27 직업목록에 있는지는 확인하지 못했습니다. 🔸 어제 남호주, 오늘 태즈매니아까지 같은 문장이 반복됩니다 — "491은 이미 그 주에 있는 사람". 위 02번의 57% 삭감을 보면 이건 주별 사정이 아니라 정원이 없어서 생긴 결과입니다.

ACT(캔버라)는 7월 30일 새 지명 포털을 가동했다 — 다중인증과 실시간 상태 추적이 들어갔다. 수수료는 GST 별도 350달러(Canberra Matrix 25달러 + 지명 325달러)이고, 초청을 받은 뒤 비자·서류 만료나 중요한 생일이 임박한 경우 신속처리를 신청할 수 있다. 직업목록 개편은 몇 주 안에 나올 예정이고, 연방 배정은 아직 확정 통보를 기다리는 중이다. 퀸즐랜드는 프로그램이 닫혀 있고 배정도 미확정인데, 수수료만 7월 1일부로 올랐다 — 해외 신청 573달러, 국내 신청 630.30달러(GST 포함). ⏸ 두 주 모두 2026-27 개시일은 아직 공표되지 않았습니다. 🔸 캔버라는 메모리 노트에 적어 둔 희망 정착지 중 한 곳입니다. ACT는 "Canberra Matrix"라는 자체 점수표를 쓰기 때문에 연방 점수와 별개로 계산해야 하고, 목록 개편이 몇 주 내라니 그때 261313 위치를 다시 봐야 합니다.

8월 25일 코스피는 6,742.74로 마쳤다 — 전 거래일 대비 45.78포인트, 0.68% 상승이다. 그런데 출발은 정반대였다. 시가가 6,535.93으로 161.03포인트(-2.40%) 빠진 채 열렸고, 장중에는 6,408.82까지 밀렸다. 장중 4%대 하락이었고, 저점에서 종가까지 5.2%를 되돌린 셈이다. 초반 급락은 간밤 뉴욕 증시에서 반도체 주요 종목이 약세를 보인 여파였고, 장 초반 외국인과 기관이 동반 순매도했다. 이후 개인과 기관의 매수가 외국인 매도를 받아내면서 상승 전환했다. ⏸ 최종 투자자별 순매수 금액은 확인하지 못했습니다 — 기사마다 장중 시점 기준이 달랐습니다. 🔸 어제 브리핑에서 삼성전자 -8.79%, 코스피 6,700선 붕괴를 다뤘는데, 하루 만에 6,700을 회복했습니다. 이틀 연속 방향이 뒤집히는 건 뉴스가 아니라 수급이 장을 끌고 있다는 신호로 보입니다. 봇을 돌리는 입장에서 이런 국면은 추세 추종 전략이 가장 많이 깎이는 구간입니다.

코스닥은 8월 25일 827.15로 마감했다 — 1.70% 상승이다. 출발은 806.93(-0.79%)이었고 장 초반 780선까지 밀렸다가 되돌렸다. 같은 날 코스피 상승률이 0.68%였으니 코스닥이 두 배 이상 강했다. 어제 다룬 "외국인이 코스닥에 3,255억을 넣었다"에 이어 이틀 연속으로 코스닥이 코스피를 앞선 셈이다. ⏸ 8월 25일자 코스닥 투자자별 수급은 확인하지 못했습니다. 🔸 대형 반도체가 흔들릴 때 자금이 코스닥으로 옮겨 가는 패턴이 이틀째 반복됐습니다. 다만 이건 강세라기보다 회피에 가까워 보입니다 — 코스피 반도체가 안정되면 되돌아갈 성격의 자금입니다.

8월 25일 뉴욕 증시는 3대 지수가 모두 올랐다 — S&P 500이 7,677.28(+0.32%), 나스닥이 26,151.30(+0.66%), 다우가 53,577.40(+160.24포인트, +0.3%)이다. 다우는 3거래일 연속 상승이다. 끌어올린 건 반도체주 반등이고, 여기에 국채금리가 이틀 연속 내린 것이 보탬이 됐다. 캐나다의 대미 보복관세(약 200억 달러, 9월 8일 발효, 15~50%) 소식이 있었지만 시장은 크게 반응하지 않았다. ⏸ 국채금리의 구체적 수준(10년물 등)은 확인하지 못했습니다. 🔸 어제 브리핑에서 "미국도 반도체가 눌렀다"고 적었는데 하루 만에 반대로 왔습니다. 한국·미국 양쪽 다 이틀 사이 방향이 뒤집혔고, 공통 원인은 오늘 밤 엔비디아 실적을 앞둔 포지션 정리로 보입니다.

엔비디아 주가가 8월 25일 2% 올라 7거래일 연속 하락을 끊었다. 최근 조정에도 불구하고 2026년 들어서는 13% 이상 상승한 상태다. 실적은 오늘(8월 26일) 미국 장 마감 후 나온다. TSMC 쪽에서는 이 실적 이후 주가가 어디로 갈지를 두고 전망이 갈리는데, 참고로 2025년 엔비디아는 TSMC에 약 231.6억 달러 매출을 안겨 애플(17%)을 제치고 매출 비중 19%의 최대 고객이 됐다. ⏸ 실적 결과는 오늘 밤 나옵니다. 🔸 7거래일 하락 뒤 실적 전날 반등은 "저가 매수"보다 숏 커버링일 가능성이 커 보입니다. 봇 운용 관점에서는 오늘 밤 발표를 낀 포지션이 방향과 무관하게 변동성만 크게 먹는 구간이라, 이벤트 전후를 아예 비워 두는 쪽이 안전해 보입니다. (투자 판단은 직접 하시라는 전제로 적습니다.)