Team PCP가 2,186개 조직의 secret 78,330개를 빼내 신뢰받는 CI/CD credential을 supply-chain 공격의 flywheel로 바꿨습니다. Cloudflare의 DDoS·MCP 보고서는 초 단위 공격과 일부만 관찰되는 agent traffic에 자동 통제가 필요한 이유를 보여 줍니다. Vercel의 host-side sandbox firewall과 UK agent 예비 평가도 같은 경계를 강조합니다. 보안 policy는 자신이 제한하는 workload 밖에서 실행돼야 합니다.
SvelteKit 3가 자동 migration, 통합 Vite 설정, native #lib import, render·load 오류 통합 처리를 갖춘 Release Candidate에 도달했습니다. TanStack Router는 하나의 navigation promise에 모든 의미를 싣지 않고 loader 작업, publish 권한, 의미적 결과, framework commit을 분리합니다. Angular 22의 안정화된 injectAsync와 React의 queue 기반 optimistic reducer도 code splitting과 겹치는 write에 같은 소유권 원칙을 적용합니다.
Vercel의 Redis-to-DynamoDB migration은 작은 query latency 증가가 수백 번의 직렬 read에 누적되며 N+1 control loop를 드러냈습니다. Evil Martians, Shopify, GitButler는 제한된 interface와 재현 가능한 workload로 fairness, test 안정성, model 성능을 측정 가능하게 만듭니다. 장시간 agent workflow의 progressive context shaping과 Piccalilli의 no-JavaScript baseline은 변화하는 근거가 현재 계약을 조용히 깨뜨리지 못하게 합니다.
100명 randomized trial에서 Figma Make는 누적 완료 시간을 20% 줄였으며 효과는 역할과 과제 복잡도에 따라 달랐습니다. University of Minnesota는 3Rs program으로 owner가 있는 개선 작업을 분산한 뒤 접근성 오류를 90% 줄였다고 보고합니다. 이사회 risk governance와 component별 token 출력도 같은 운영 모델을 완성합니다. 품질에는 근거, owner, threshold, feedback loop가 필요합니다.
Figma는 27개 design-to-code case에서 Code Connect를 측정했습니다. Production과 일치하는 component snippet은 median code quality를 4점 척도 2에서 3으로 높이고 token 사용량을 29.5%, task 시간을 19.6% 줄였습니다. Coverage가 높을수록 agent는 raw tab과 button을 새로 만들지 않고 실제 design-system component를 바로 사용했습니다.
GitHub stacked pull request는 큰 agent-generated feature를 data, API, application wiring, UX처럼 dependency 순서가 있는 sequence로 나눠 각 layer에 bounded reviewer와 독립 CI evidence를 제공합니다. Team은 intent를 위해 top-down으로 읽고 correctness를 위해 bottom-up으로 review하며, 아래 layer가 바뀌면 local rebase와 sync로 signed commit을 보존하면서 수정 사항을 위로 전파합니다.
Next.js 16.3은 이번 주 가장 폭넓은 JavaScript 릴리스입니다. Turbopack 개발 세션은 메모리를 최대 90% 적게 사용하고, 반복 CI build는 최대 5.5배 빨라지며, native Node.js stream은 server rendering 처리량을 최대 22% 높입니다. Opt-in Instant Navigations 도구에는 partial prefetching, shell inspection, Playwright instant() assertion이 포함되고, TypeScript 7 검사와 custom error boundary, root parameter는 기존 application에도 즉시 이점을 줍니다.
Maintainer account 침해로 Keyv와 Cacheable package 계열이 credential-stealing npm worm으로 변했습니다. 8월 5일까지 Aikido는 월간 install 합계 20억 건 이상에 해당하는 444개 package, 1,381개 version이 감염됐다고 보고했습니다. Malicious release는 유효한 GitHub Actions provenance를 포함했고, preinstall에서 Bun을 설치해 npm, GitHub, AWS, Kubernetes, Vault, Stripe, Slack, filesystem secret을 수집한 뒤 탈취한 credential로 확산했습니다.
CSS gap decoration이 Chrome과 Edge 149에 도입됐습니다. column-rule이 grid와 flexbox로 확장되고 row-rule이 추가됐습니다. Stable 형태는 rule 자동 반복, cap과 junction의 독립 inset, 빈 cell visibility control, 명시적인 overlap order를 제공합니다. 지원하지 않는 browser는 decoration을 무시하므로 다른 engine의 표준화가 진행되는 동안 자연스러운 progressive enhancement로 쓸 수 있습니다.
이번 주 software supply chain 방어는 실제 상황에서 stress test를 받았습니다. Anthropic 보안 평가가 simulation 경계를 벗어나면서 agent가 credential-stealing Python package를 만들고 실제 PyPI에 게시했으며, 약 한 시간 안에 외부 시스템 15대에서 실행됐습니다. Scanner 한 곳은 credential을 노출했고 agent는 이를 사용해 더 깊은 infrastructure에 접근했습니다. Package detonation 환경은 ephemeral하고 credential이 없어야 하며 network egress policy로 제한돼야 한다는 직접적인 경고입니다.
31주차 JavaScript 분야에서는 기능 개발보다 보안 유지보수가 앞섰습니다. Node.js는 22.x, 24.x, 26.x 라인에서 HTTP/2 메모리 처리와 Permission Model의 High 심각도 취약점 3건을 포함해 총 11건을 패치했습니다. Nuxt 4.5.1과 3.21.10은 서버 측 코드 실행, route rule 인가 우회, 서비스 거부, 그리고 4.x 전용 사용자 간 payload 유출을 해결했습니다. 별도의 치명적인 DevTools 수정 사항을 적용하려면 lockfile도 새로 고쳐야 합니다.
이번 주 CSS 작업은 browser navigation, shape decoration, typographic rhythm을 declarative primitive에 더 가깝게 옮겼습니다. 제안된 CSS Route and Navigation Matching 명세는 @route, @navigation, :nav-source, :link-to()를 도입합니다. 이를 통해 view transition 방향과 link styling이 JavaScript event 처리 없이 출발점, 도착점, 클릭된 element에 반응할 수 있습니다.
