2026년 7월 29일 AI 뉴스 — 코덱스 시큐리티, Kimi K3 아키텍처, 에이전트 거버넌스

매일 아침 AI 업계에서 실제로 쓸 만한 소식만 골라 정리합니다. 2026년 7월 29일 오늘은 코딩 에이전트의 보안과 통제, 오픈 모델 아키텍처, 그리고 AI를 일상 워크플로에 붙이는 도구들이 눈에 띕니다.

오픈AI, 코드 보안 스캐너 오픈소스 공개

오픈AI가 `@openai/codex-security`라는 이름으로 CLI와 타입스크립트 SDK를 공개했습니다. 저장소의 보안 취약점을 찾아내는 데서 끝나지 않고, 발견한 문제를 검증하고 수정까지 이어가는 것을 목표로 설계됐습니다.

핵심은 CI 파이프라인에 그대로 꽂을 수 있다는 점입니다. 대화형 로그인 대신 `OPENAI_API_KEY` 환경변수를 설정하면 비대화형 스캔이 돌아가고, 스캔 이력은 워크벤치 상태 디렉터리에 쌓여 시간에 따른 변화를 추적할 수 있습니다. Node.js 22 이상, Python 3.10 이상이 필요합니다.

AI가 생성한 코드가 파이프라인에 쏟아져 들어오는 상황에서, 머지 전에 자동으로 한 번 걸러주는 장치가 필요해졌다는 신호이기도 합니다. 코딩 에이전트를 만든 쪽이 직접 그 결과물을 검사하는 도구를 내놓았다는 점에서 상징적입니다.

원문: https://github.com/openai/codex-security

Kimi K3 아키텍처 뜯어보기

세바스찬 라시카가 Kimi K3의 구조를 상세히 분석했습니다. 이전 Kimi Linear가 48B였던 것에 비해 K3는 2.8조 파라미터로 규모를 크게 키웠는데, 새로 추가된 핵심 컴포넌트는 거대한 선형 레이어를 압축해 추론 효율을 높이는 LatentMoE입니다.

주목할 부분은 위치 인코딩입니다. K3는 RoPE를 완전히 버리고 모든 레이어에서 NoPE, 즉 위치 임베딩 없는 방식을 씁니다. 프런티어급 모델이 이를 전면 채택한 첫 사례입니다. 여기에 멀티헤드 잠재 어텐션과 Kimi Delta Attention, 그리고 레이어 간 잔차를 어텐션 가중치로 연결하는 어텐션 레지듀얼이 결합됐습니다. 어텐션 레지듀얼은 학습 비용을 약 4%, 추론 비용을 약 2% 늘리는 대신 검증 손실과 다운스트림 성능을 개선한다고 합니다.

벤치마크 점수만 보고 모델을 고르는 것과, 왜 그런 점수가 나오는지 구조적으로 이해하고 고르는 것은 다릅니다. 오픈 웨이트 모델을 직접 서빙할 계획이 있다면 먼저 읽어볼 만한 글입니다.

원문: https://sebastianraschka.com/blog/2026/kimi-k3-architecture-notes.html

앤드류 응, AI 교육 스타트업 LearnVector 창업

코세라와 구글 브레인 공동창업자인 앤드류 응이 2026년 LearnVector를 설립했습니다. 코세라가 1억 달러를 투자했고, 본사는 마운틴뷰에 있습니다. 제품 출시 목표는 2027년 초이며, 코세라와 유데미의 검증된 콘텐츠 라이브러리를 함께 활용할 계획입니다.

회사가 내세운 방향이 흥미롭습니다. LearnVector는 "가드레일 없는 챗봇은 학습을 해친다"는 입장을 명시적으로 밝히고 있습니다. 챗봇은 과제를 대신 끝내주지만 그 과정에서 학습자의 실력은 오히려 늘지 않는다는 것입니다. 대신 학습자마다 경로를 함께 설계하고, 학습 방식에 맞춰 적응하며, 숙달할 때까지 인내심 있게 붙어 있는 방식을 지향합니다.

현재 AI 엔지니어, 러닝 엔지니어, 학습 과학자, 풀스택 엔지니어, 운영 담당을 채용 중입니다. AI 교육 제품을 만들고 있다면 참고할 만한 관점입니다.

원문: https://learnvector.ai/

MS, 에이전트 거버넌스 툴킷 공개

마이크로소프트가 프로덕션 환경의 자율 에이전트를 통제하기 위한 오픈소스 프레임워크 Agent Governance Toolkit을 공개했습니다. 출발점이 되는 명제가 분명합니다. "프롬프트 수준의 안전장치는 통제 수단이 아니다." 모델에게 지시하는 대신 결정론적인 애플리케이션 코드로 강제해서, 정책 위반을 권장하지 않는 수준이 아니라 구조적으로 불가능하게 만든다는 접근입니다.

구성 요소가 촘촘합니다. 모든 도구 호출 전에 YAML 또는 OPA 정책을 평가해 허용·거부·승인요청을 결정하는 정책 엔진, API 키를 공유하는 상황에서도 개별 에이전트를 식별하는 제로트러스트 신원 체계(SPIFFE/DID/mTLS), 변조 감지가 가능한 감사 로그, 네 단계 권한 링으로 나뉜 실행 샌드박스, 그리고 킬 스위치·SLO 모니터링·카오스 테스트·서킷 브레이커 같은 SRE 도구가 함께 들어 있습니다.

마이크로소프트 에이전트 프레임워크와 시맨틱 커널을 기본 지원하고, AutoGen·LangGraph·CrewAI·OpenAI Agents SDK용 어댑터도 제공합니다. 파이썬·타입스크립트·닷넷·러스트·Go로 구현돼 있으며, OWASP 에이전틱 AI 위험 10가지를 모두 다루고 NIST AI RMF, EU AI Act, SOC 2에 맞춘 992개의 적합성 테스트를 갖췄습니다. 에이전트를 여러 개 띄워 자동으로 돌리기 시작하면 "누가 무엇을 왜 했는가"를 사후에 재구성하기가 급격히 어려워집니다. 프로덕션 계획이 있다면 이런 계층을 미리 설계해두는 편이 낫습니다.

원문: https://github.com/microsoft/agent-governance-toolkit

기술서 PDF를 클로드 스킬로 변환

기술 서적이나 문서를 에이전트 스킬로 바꿔주는 도구가 공개됐습니다. 사용법은 단순합니다. `/book-to-skill ./my-book.pdf`처럼 파일을 가리키면 클로드가 구조를 분석해 챕터를 자동으로 감지하고, 필요할 때만 로드되는 스킬 폴더를 만들어냅니다.

결과물 구성이 잘 짜여 있습니다. 약 4000토큰짜리 SKILL.md에 핵심 프레임워크와 챕터 인덱스가 들어가고, 챕터별 파일은 각 1000토큰 내외로 필요할 때만 로드됩니다. 여기에 용어집, 패턴 정리, 의사결정 규칙을 담은 치트시트가 따라옵니다. 책 전체를 컨텍스트에 밀어넣는 것보다 질문 응답 기준 24배에서 51배 적은 토큰을 쓴다고 합니다.

PDF, EPUB, DOCX, 마크다운, HTML, MOBI 등 대부분의 포맷을 지원하고, 표가 중요한 기술 문서는 Docling으로, 텍스트 위주 책은 pdftotext로 추출 방식을 자동 전환합니다. 클로드 코드뿐 아니라 깃허브 코파일럿 CLI와 Amp에서도 쓸 수 있습니다. 사내 표준 문서나 두꺼운 프레임워크 가이드처럼 매번 찾아보기 번거로운 자료를 다루는 팀에게 특히 유용합니다.

원문: https://github.com/virgiliojr94/book-to-skill

클로드가 영상까지 분석한다

영상을 내려받아 프레임을 뽑고 자막을 만들어 클로드에게 넘기는 도구입니다. FFmpeg으로 키프레임이나 장면 전환 프레임을 추출하고, 자막은 yt-dlp로 원본 캡션을 먼저 시도한 뒤 없으면 Whisper API로 대체합니다. 프레임은 이미지로, 자막은 타임스탬프가 붙은 텍스트로 함께 전달됩니다.

디테일 모드를 네 단계로 고를 수 있는 점이 실용적입니다. 자막만 쓰는 transcript 모드가 가장 빠르고, efficient는 키프레임 50장, 기본값인 balanced는 장면 인식 프레임 100장, token-burner는 장면 전환 프레임을 제한 없이 씁니다. 비용과 정확도를 상황에 맞춰 조절할 수 있습니다.

ffmpeg과 yt-dlp는 첫 실행 시 자동 설치되고, 공개 영상 대부분은 원본 자막으로 처리되므로 추가 API 비용 없이 쓸 수 있습니다. 경쟁사 분석, 화면 녹화에서 버그 원인 찾기, 출시 발표 영상 요약, 강의 콘텐츠를 검색 가능한 노트로 바꾸기 같은 용도로 쓰입니다. 영상이 쌓여만 있고 활용되지 않는 조직이라면 시도해볼 만합니다.

원문: https://github.com/bradautomates/claude-video

로컬에서 돌리는 음성 대화 에이전트

허깅페이스가 VAD → STT → LLM → TTS를 하나로 잇는 음성 대 음성 파이프라인을 공개했습니다. OpenAI Realtime 호환 웹소켓 API로 노출되기 때문에 기존 클라이언트를 크게 고치지 않고 붙일 수 있고, 각 구성 요소는 전부 교체 가능해서 로컬 모델과 클라우드 모델을 섞어 쓸 수 있습니다.

기본 구성은 음성 구간 감지에 Silero VAD v5, 음성 인식에 엔비디아의 0.6B 모델 Parakeet TDT, 음성 합성에 Qwen3-TTS를 씁니다. `pip install speech-to-speech` 후 실행하면 `ws://localhost:8765/v1/realtime`에서 서버가 뜹니다. 완전 로컬로 돌리려면 llama.cpp에 Gemma 4를 올려 붙이거나, 애플 실리콘에서는 `--local_mac_optimal_settings` 옵션을 쓰면 됩니다.

실험용 데모가 아니라 수천 대의 Reachy Mini 로봇의 대화 백엔드로 실제 운영되고 있다는 점이 신뢰를 더합니다. 지연 시간과 데이터 유출 우려 때문에 음성 기능을 못 붙이던 사례가 많았는데, 로컬 실행이 현실화되면 선택지가 달라집니다.

원문: https://github.com/huggingface/speech-to-speech

송재경, AI 에이전트와 사람이 같이 노는 MMO

리니지를 만든 송재경 넥써쓰 고문이 7월 20일 깃허브에 '오픈 MMO'를 공개했습니다. 1인 개발 프로젝트인데, 구조가 독특합니다. AI 에이전트와 사람 플레이어가 동일한 웹소켓 프로토콜로 접속해서, 서버가 둘을 구분하지 못합니다. 봇과 플레이어를 나누는 대신 같은 규칙 위에 올려버린 셈입니다.

개발 방식도 화제입니다. 송재경은 직접 코딩하지 않고 바이브 코딩으로 작업합니다. "AI 직원이 있는 거고, 이렇게 해라 저렇게 해라 할 뿐"이라는 설명입니다. 처음에는 생성된 코드를 일일이 검토했지만 지금은 리뷰까지 AI에게 맡기면서 코드를 직접 읽는 빈도가 크게 줄었다고 합니다. 그는 "AI 특이점은 이미 진입했고 우리가 모르고 있을 뿐"이라며 이를 산업혁명에 비유했습니다.

게임 이야기를 넘어 사람과 에이전트가 섞인 시스템을 어떻게 설계할지에 대한 청사진에 가깝습니다.

원문: https://www.inven.co.kr/webzine/news/?news=318963

마치며

오늘 소식을 관통하는 흐름은 분명합니다. AI를 어떻게 쓸 것인가에서, AI가 만든 결과물을 어떻게 검증하고 통제할 것인가로 무게중심이 옮겨가고 있습니다. 오픈AI의 보안 스캐너와 마이크로소프트의 거버넌스 툴킷이 같은 날 눈에 띈 것은 우연이 아닙니다. 나무숲은 이런 변화를 매일 따라가며 실무에 필요한 것만 추려 전합니다.

매일 아침 AI 뉴스를 받아보고 싶다면 treesoop.com을 방문해 주세요.