9월 21일 Zod 4.6.6으로 버전을 올리는 커밋에 외부 JavaScript를 내려받아 실행하는 meta.test.mjs가 추가됐어요. 하지만 악성 코드는 어떤 Zod 릴리스에도 포함되지 않았습니다. 유지보수자는 9월 22일 Git push 자격 증명이 탈취된 것으로 보며, trusted publishing과 전용 GitHub 배포 environment 덕분에 공격자가 악성 버전을 npm에 배포하지 못했다고 설명했어요.

• 10월 12일에는 git bisect 등으로 악성 커밋을 우연히 실행하는 일을 막기 위해 Git 이력을 정리했다고 밝혔어요. 이 과정에서 v4.6.6이 npm provenance를 잃게 돼 후속 버전 v4.6.7을 배포했습니다. 악성 코드의 릴리스 포함 여부와는 별개의 변경입니다.
• 유지보수자는 9월 24일 모든 npm 패키지를 릴리스마다 2FA가 필요한 staged publishing으로 전환했다고 밝혔습니다.

Meta와 Sierra가 Shopify·Stripe 등 참여 기업과 Personal Agent Protocol을 공동 설계한다고 10월 6일 발표했어요. 개인 에이전트가 기업의 웹사이트·API·에이전트를 이용할 때 OAuth 기반 세션으로 사용자 대신 접근하고, 사용자가 읽기 전용 또는 쓰기 권한을 정하는 방식입니다. 기업은 에이전트에 허용할 기능과 접근 경로를 정해요.

• 아직 명세가 공개된 단계는 아닙니다. v0.1 명세는 10월 중 공개할 예정이며, reference implementation도 공개할 계획이에요.

OpenAI는 9월 29일 DevDay에서 Codex의 클라우드 실행과 재사용 가능한 개발 환경을 발표했어요. 팀이 승인한 설정과 권한을 공유해 같은 환경에서 작업을 시작할 수 있습니다. ChatGPT 데스크톱 앱에서는 프로젝트의 변경 요약과 diff를 살펴보고 Codex에 문제를 물을 수 있고, 자동 리뷰는 사용자가 자리를 비운 동안 클라우드에서 먼저 변경을 검토해요.

• 클라우드 실행은 Plus·Pro·Business·Healthcare·Education·Enterprise 플랜에서, Code Review는 모든 플랜에서 제공한다고 발표했습니다.

Codex CLI 0.157.0의 대화형 세션을 열면 창을 모두 닫아도 백그라운드 데몬이 계속 실행된다는 9월 25일 사용자 보고가 10월 12일 다시 주목받았어요. WSL2 제보자는 데몬이 설치된 패키지의 복사본을 실행하고 별도로 자동 업데이트해, 패키지 관리자로 설치한 CLI와 실제 백엔드 버전이 달라질 수 있다고 설명했습니다. 최초 세션의 HTTPS_PROXY를 계속 사용하는 문제도 보고됐으며, 자동 시작을 명시적으로 동의하는 방식으로 바꿔 달라는 이슈는 열린 상태입니다.

• 제보자는 codex features disable daemon_auto_start로 새 세션의 자동 시작을 껐어요. 이미 실행 중인 데몬은 별도로 중지해야 하고, codex app-server daemon stop 뒤에도 업데이트 프로세스가 남는 문제가 보고됐습니다.

QGIS는 10월 7일 QEP428을 승인해, 사람이 검토하면 허용하던 정책을 LLM·AI·에이전트의 도움을 받은 코드 기여 금지로 바꿨어요. 유지보수자들은 생성되는 기여를 검토할 여력이 부족하고, 기존 절차도 실제로 작동하지 않았다고 설명했습니다. 우선 엄격하게 제한하고, 안전하게 허용할 수 있는 사용 사례는 별도 논의를 거쳐 하나씩 검토할 방침입니다.

• 병합된 문구는 qgis/qgis 저장소의 코드 기여에 적용됩니다. 위반이 나중에 확인되면 코드를 되돌리고 기여 권한을 제재할 수 있어요.

10월 3일 stable로 발표된 H3 v2는 표준 Request·Response를 바탕으로 다시 작성됐어요. handler는 event.req에서 표준 Request를 읽고, 같은 앱을 Node.js·Bun·Deno·Cloudflare Workers에서 실행할 수 있습니다. middleware는 (event, next)를 받아 await next() 전후에 요청과 응답을 처리하는 방식을 지원해요.

• 대부분의 v1 유틸리티는 계속 동작하고 deprecated된 v1 이름도 export합니다. Node.js에서 실행하려면 20.19 이상이 필요해요.

최근 보도된 Harvard 연구는 718개 기업의 개발 활동을 분석해, AI 코딩 에이전트 도입 뒤 인당 월간 추가 코드량이 30% 증가한 것으로 추정했어요. 하지만 인당 월간 완료 Jira issues·epics 수에는 통계적으로 유의한 변화가 없었습니다. PR 제출부터 병합까지 걸리는 시간은 기준 평균 7.03일보다 3.45일, 약 49% 늘어난 것으로 추정됐어요. 연구진은 코드 작성에서 얻은 생산성 향상이 리뷰 병목 때문에 완성된 소프트웨어의 증가로 충분히 이어지지 않았다고 해석했습니다.

• 논문의 최신 판은 8월 4일자이며, 분석 데이터는 2021년 1월부터 2026년 3월까지입니다. 이후 모델·도구 개선의 효과를 측정한 결과는 아니에요.