Astro 7은 3중 Rust 마이그레이션으로 실제 빌드 시간을 15-61% 단축하고, Next.js 16.3은 Instant Navigations와 퍼스트파티 AI 에이전트 Skills를 추가했으며, Vercel AI SDK 7은 WorkflowAgent와 HarnessAgent를 갖춘 본격 에이전트 런타임으로 진화했습니다.
북한 해킹 그룹 Sapphire Sleet이 탈취한 기여자 계정으로 Mastra npm 패키지 145개를 침해하자 npm이 고영향 계정에 72시간 게시 동결 조치를 도입했으며, 백악관은 연방 기관의 2030년까지 포스트 양자 암호화 도입을 의무화하는 행정명령에 서명했습니다.
DTCG Color Module 시리즈는 Style Dictionary를 활용한 OKLCH 구조 토큰으로 WCAG 준수 자동 색상 ramp 생성을 권장하고, Open Design System Format(ODSF)은 AI 코딩 에이전트가 읽을 수 있는 번들로 디자인 시스템을 패키징합니다.
Stack Overflow는 DaloyJS처럼 안전하지 않은 설정에서 부팅을 거부하는 프레임워크가 없으면 AI가 생성한 Node.js 백엔드가 심각한 보안 결함을 출시하게 된다고 경고하고, Mozilla는 기기 증명 기반 봇 차단 방식의 대안으로 PACT 익명 자격증명을 제안합니다.
141개의 Mastra npm 패키지가 dayjs를 위장한 악성 의존성 주입 공급망 공격을 받았으며, JetBrains IDE 플러그인이 약 7만 건의 설치에서 AI API 키를 탈취하였고, 미국 정부는 외국 국적자의 Anthropic Fable 5 접근을 차단하였습니다.
Vercel이 내부 TypeScript 에이전트 프레임워크 eve를 오픈소스로 공개하였으며, AutoGen Studio의 MCP WebSocket을 대상으로 한 AutoJack RCE 익스플로잇과 Meta AI 어시스턴트가 confused deputy 취약점으로 Instagram 계정 2만 개를 탈취한 사건 등 AI 에이전트 보안 이슈가 이번 주를 장악하였습니다.
Evil Martians는 LLM이 읽을 수 있는 OKLCH 토큰을 활용하여 7주 만에 Currents를 위한 AI 보조 디자인 시스템을 구축하였으며, Style Dictionary는 빌드 타임에 WCAG 색상 대비 생성을 자동화하였습니다.
CSS Day 2026에서 Safari 26.4에 탑재된 grid-lanes를 통한 masonry 레이아웃, appearance: base-select를 활용한 스타일 가능한 select, 그리고 모든 브라우저에서 기본 지원되는 CSS style query가 소개되었습니다.
Node.js가 WebCrypto AES 정수 오버플로와 TLS 와일드카드 우회를 포함한 11개 CVE를 패치하였으며, Angular 22는 OnPush를 기본 변경 감지 전략으로 채택하여 signals 기반 반응성 모델을 완성하였습니다.
네이티브 CSS @function이 Chromium 139에 도입되어 Sass 없이 타입 지정 파라미터와 런타임 조건문을 지원하며, Safari는 CSS 전용 masonry 레이아웃인 Grid Lanes를 출시하고 WebKit은 gridlanes.webkit.org에서 인터랙티브 가이드를 공개하였습니다.
Miasma 공급망 웜이 악성 AI 도구 설정 파일을 심어 Microsoft GitHub 저장소 73개를 침해하였으며, npm 12는 생태계 최대의 코드 실행 공격 면을 차단하기 위해 라이프사이클 설치 스크립트를 기본적으로 비활성화할 예정입니다.
프랑스 법원이 Carrefour에 6개월 내 전자상거래 플랫폼의 EAA 준수를 명령하는 첫 번째 주요 집행 사례가 발생하였으며, Auth0 디자인 팀은 디자이너가 코드베이스에 직접 수정 사항을 커밋함으로써 디자인-엔지니어링 핸드오프를 사실상 없앴다고 밝혔습니다.