Qwen3.7-Max, GitHub 보안 사고, NVIDIA Verified Agent Skills, Runway Aleph 2.0

AI 생태계에 있어 밀도 높은 한 주였다: Alibaba는 에이전트 시대를 위해 설계된 플래그십 모델 Qwen3.7-Max를 출시했고, GitHub는 악성 VS Code 확장 프로그램과 관련된 보안 사고를 공개했으며, NVIDIA는 AI 에이전트의 skills를 위한 공개 거버넌스 프레임워크를 발표했고, Runway는 Aleph 2.0과 Edit Studio로 비디오 편집 모델을 새롭게 선보였다. 개발자 도구 측면에서는 Claude Code 2.1.146이 /simplify를 /code-review로 이름을 바꾸고, Codex 26.519이 macOS에 Appshots를 도입했다.

Qwen3.7-Max — 에이전트 시대를 위한 Alibaba의 플래그십

5월 21일 — Alibaba가 자율 에이전트를 위해 특별히 설계된 새로운 플래그십 프로프라이어터리 모델 Qwen3.7-Max를 출시했다. 이 모델은 5월 18일 Arena에서 평가된 Qwen3.7-Max-Preview와 Qwen3.7-Plus-Preview를 잇는다.

포지셔닝은 명확히 “Agent Era”다: Qwen3.7-Max는 순간적인 이해를 넘어 장기 자율성과 복잡한 오케스트레이션의 영역에 속하는 작업을 목표로 한다.

지표	값
AAII 점수	56,6
이전 대비 향상	+4,8 pts
연속 자율 시간(코어 테스트)	35 h
도구 호출 수(코어 테스트)	1 000+
주요 트윗 조회수	~325 000

발표된 다섯 가지 기능:

엔드투엔드 코딩 에이전트 — 프런트엔드 프로토타입, 다중 파일 리팩터링, 실제 디버깅
데스크톱 생산성 — MCP 통합과 멀티 에이전트 관리를 통한 작업
장기 자율성 — 커널 최적화 작업에서 35시간 연속, 1 000회 이상 도구 호출에도 치명적 환각 없이 수행
스캐폴드에 구애받지 않음 — Claude Code, OpenClaw, Qwen Code 또는 어떤 맞춤형 스택과도 호환
강화된 과학적 추론 — AAII 점수: 56,6 (+4,8 pts)

Tongyi Lab(Alibaba)에 따르면 Qwen3.7-Max는 “에이전트 시대를 위해 특별히 설계된 우리의 최신 프로프라이어터리 모델”이며, 프런티어 코딩 에이전트, 데스크톱 생산성 어시스턴트, 장기 자율성을 갖추고 있고 — 매번 신뢰할 수 있으며, 스캐폴드에 구애받지 않는다.

이 모델은 Qwen Studio(chat.qwen.ai)와 Alibaba Cloud API를 통해 이용할 수 있다.

🔗 Qwen3.7-Max 공식 블로그

GitHub — 보안 사고: 악성 VS Code 확장 프로그램

5월 20일 — GitHub가 중대한 보안 사고를 공개했다: 한 직원이 Microsoft 마켓플레이스에서 악성 VS Code 확장 프로그램을 설치했고, 이로 인해 GitHub 내부 저장소에 대한 무단 접근이 가능해졌다.

X에 올린 초기 공지는 1,340만 조회수, 8,000 리포스트, 25,000 좋아요를 기록했으며 — 커뮤니티에 상당한 영향을 미쳤음을 보여준다. GitHub는 타임라인과 조치를 상세히 설명하는 5부작 스레드를 게시했다.

“1/ Yesterday we detected and contained a compromise of an employee device involving a poisoned VS Code extension. We removed the malicious extension version, isolated the endpoint, and began incident response immediately.”

🇰🇷 어제 우리는 오염된 VS Code 확장 프로그램과 관련된 직원 기기 침해를 탐지하고 차단했습니다. 우리는 확장 프로그램의 악성 버전을 제거하고, 해당 엔드포인트를 격리했으며, 즉시 사고 대응을 시작했습니다. — @github X에서

무슨 일이 있었나:

경로: Microsoft 마켓플레이스의 악성 VS Code 확장 프로그램
GitHub 직원 기기 침해
GitHub 내부 저장소에 대한 무단 접근

영향을 받지 않은 것(GitHub 발표 기준):

고객 데이터에 대한 확인된 영향 없음(기업, 조직, 공개 또는 비공개 저장소)

즉각적인 조치:

악성 확장 프로그램 제거
침해된 엔드포인트 격리
로그 분석(logs) 및 비밀값 교체
인프라에 대한 감시 강화

GitHub는 조사 종료 후 완전한 보고서를 공개하겠다고 약속했다. 이번 사고는 수만 개의 확장 프로그램이 존재하지만 검증은 여전히 제한적인 VS Code 확장 마켓플레이스의 보안 문제를 다시 불러일으켰다.

🔗 X의 GitHub 공지

NVIDIA Verified Agent Skills — AI 에이전트 거버넌스를 위한 공개 표준

5월 21일 — NVIDIA가 AI 에이전트의 능력(skills)을 안전하게 관리하기 위한 공개 거버넌스 프레임워크인 NVIDIA-Verified Agent Skills를 출시했다. 이 이니셔티브는 커지는 문제에 대응한다: skills는 에이전트의 능력을 높이지만, 잠재적 취약점도 함께 도입한다.

NVIDIA 기준에서 “검증됨”은 네 가지 축으로 구성된다:

구성 요소	설명
카탈로그화	NVIDIA 제품 팀으로부터의 일일 동기화
SkillSpector	OWASP LLM과 MITRE ATLAS 기반 위험 스캐너
암호학적 서명	OpenSSF Model Signing으로 검증 가능한 분리 서명 `skill.oms.sig`
Skill Card (SKILLCARD.yaml)	provenance, dependencies, limitations, status를 담은 machine-readable 메타데이터

이 프레임워크는 특히 취약한 의존성, 프롬프트 주입, trigger abuse, excessive agency, tool poisoning을 탐지한다.

기술 사양은 agentskills.io(SKILL.md 형식)를 통해 공개되어 있으며, Claude Code, OpenAI Codex, Cursor와 기본적으로 호환된다. NVIDIA의 공개 skills 저장소는 github.com/nvidia/skills에서 확인할 수 있다.

“Verified means cataloged, scanned, signed, and documented with a skill card.”

🇰🇷 검증됨이란 카탈로그화되고, 스캔되고, 서명되고, 역량 카드로 문서화되었다는 뜻입니다. — NVIDIA Developer Blog, 2026년 5월 21일

사양이 공개되어 있고 세 가지 주요 AI 코딩 도구(Claude Code, Codex, Cursor)와 호환된다는 점은, 단순한 NVIDIA 내부 도구가 아니라 산업 표준을 목표로 한다는 의도를 시사한다.

🔗 NVIDIA 개발자 블로그

Runway Aleph 2.0 및 Edit Studio — 최대 30초, 1080p 비디오 편집

5월 21일 — Runway가 비디오 편집 모델의 주요 업데이트인 Aleph 2.0을 출시했으며, 마케팅 팀과 영화 제작자를 위한 새로운 전용 인터페이스 Edit Studio를 함께 선보였다.

Aleph 2.0의 핵심 신규 기능은 image-level 제어다: 사용자가 편집된 프레임을 시각적 참조로 제공하면, 모델이 그 변경 사항을 비디오 전체에 일관되게 적용한다. 생성 전에는 최종 결과를 알 수 없었던 이전 방식과 달리, 이 방법은 출력물에 대한 예측 가능한 제어를 제공한다.

기능	세부 사항
최대 길이	30초
해상도	1080p
제어	이미지 참조 프레임(image-level)
멀티샷 편집	예 — 여러 장면에 자동 적용
접근	모든 유료 Runway 플랜

Aleph 2.0의 편집 기능:

정밀한 지역 편집: 수정된 영역만 바뀌고 나머지는 보존됨
멀티샷 편집: 여러 컷이 있는 비디오에 변경 사항 적용
1080p로 최대 30초 클립 — 광고와 짧은 콘텐츠에 충분한 길이

Edit Studio의 사용 사례: 제품 교체, 배경 변경, 시즌별 캠페인 변형, 조명 보정, 방해 요소 제거, 전체 스타일 재구성.

“With Aleph 2.0, your edited frame defines what the change should look like, and the model carries it through to the right parts of your video.”

🇰🇷 Aleph 2.0을 사용하면 수정한 이미지가 원하는 외형을 정의하고, 모델이 이를 비디오의 해당 부분에 적용합니다. — Runway, 공식 블로그 2026년 5월 21일

🔗 Runway 공식 공지

Claude Code 2.1.146 — `/code-review` 및 백그라운드 에이전트 수정

5월 21일 — Anthropic이 Claude Code 버전 2.1.146을 공개하며, 주요 신규 기능 1개와 여러 중요한 안정성 수정을 포함했다.

/simplify 명령이 **/code-review**로 이름이 바뀌었고, 선택적 노력 수준(/code-review high)이 함께 제공된다. 이 변화는 해당 기능을 에이전트 워크플로에서 코드 리뷰 도구로 명확히 재배치한다.

영역	수정 사항
Windows PowerShell	winget/Microsoft Store를 통한 pwsh의 v2.1.124 회귀 문제 수정
MCP pagination	`resources/list`과 `prompts/list`가 더 이상 1페이지 이후 항목을 잃지 않음
백그라운드 세션	Windows Terminal 스트로빙, NTFS worktree, `/background` 및 `claude agents` 블로킹
Auto mode	skill 또는 사용자가 의존하는 경우 `AskUserQuestion` 유지
Bedrock	`awsCredentialExport`를 이용한 cross-account 인증 수정
VSCode Voice	조용한 마이크 피드백, WSLg용 sox 제안

🔗 Claude Code CHANGELOG

Claude Code /usage — 구성 요소별 토큰 소비 분해

5월 21일 — Anthropic의 Claude Code 리드 Boris Cherny가 X에서 /usage 명령의 의미 있는 확장을 발표했다: 다음 버전에서는 어떤 Skills, Agents, MCPs, Plugins가 세션에서 토큰을 소비하는지 정확히 볼 수 있게 된다.

이 기능은 전날의 UI 재설계보다 한 단계 더 나아간다. 컴포넌트별 세분화를 제공해 어떤 확장 기능이 컨텍스트를 가장 많이 사용하는지 식별할 수 있게 한다. 이미 CLI에서 사용할 수 있으며, 곧 Desktop 앱에도 제공될 예정이다. 이 발표는 X에서 137,527회 조회수를 기록했으며, 사용하지 않는 커넥터를 선택적으로 비활성화하고 싶다는 요청도 다수 제기되었다.

“In the next version of Claude Code: run /usage to see a breakdown of which Skills, Agents, MCPs, and Plugins are using your tokens CLI today, coming to Desktop next”

🇰🇷 다음 Claude Code 버전에서는 /usage를 실행해 Skills, Agents, MCPs, Plugins별 토큰 소비 분포를 확인하세요 — 오늘은 CLI에서, 곧 Desktop에서 제공됩니다. — @bcherny X에서

Google I/O 2026 — 공식 “100개 발표” 요약

5월 20일 — Google이 이벤트 전체 발표를 정리한 공식 요약 기사 **“I/O 2026에서 발표된 100가지”**를 공개했다. 확인된 발표에는 Antigravity 2.0 CLI(Gemini CLI의 후속), Universal Cart(멀티 스토어 쇼핑), Google Pics(지능형 사진 관리), Ask YouTube(YouTube 비디오 질의), Android XR glasses, 그리고 SynthID의 확장이 포함된다. 이 문서는 Google I/O 2026의 규모를 집약하며, 모든 공식 세부 사항을 찾고자 하는 개발자를 위한 1차 소스 역할을 한다.

🔗 Google 블로그 — I/O 2026 100개 발표

Gemini Connected Apps — OpenTable, Canva, Instacart

5월 21일 — Google Gemini가 Connected Apps를 세 개의 새 파트너로 확장했다: OpenTable(레스토랑 예약), Canva(비주얼 제작), Instacart(식료품 장보기). Gemini는 더 이상 정보만 검색하는 데 그치지 않고 — 사용자를 대신해 디지털 생태계에서 실제 행동을 수행한다. I/O 이후의 이 발표는 Gemini Spark의 에이전트 비전을 구체적으로 드러낸다: 에이전트가 앱을 떠나지 않고도 인기 있는 타사 서비스에서 동작한다.

🔗 Gemini Connected Apps 발표

GitHub Copilot — 개발자용 4가지 업데이트

메트릭 보고서가 copilot-reports.github.com으로 이전

5월 20일 — Copilot Usage Metrics 보고서 다운로드 URL이 기존 Azure Front Door 도메인(azurefd.net)에서 안정적인 도메인 copilot-reports.github.com로 이동한다. 방화벽 또는 프록시가 있는 조직에 필요한 조치: 가능한 한 빨리 새 도메인을 enterprise allowlist에 추가해야 한다. 기존 도메인은 전환 기간 동안 계속 활성 상태지만 이후 폐기될 예정이다. GitHub Enterprise Cloud 인스턴스의 경우 새 도메인은 copilot-reports.SUBDOMAIN.ghe.com 형식을 따른다. Azure를 사용할 수 없을 때는 *.blob.core.windows.net로 fallback할 수 있도록 설계되어 있다.

🔗 GitHub Copilot Changelog

Cloud agent — Claude Haiku 4.5 및 GPT-5.4-mini를 0,33x로

5월 18일 — Copilot cloud agent에 두 개의 새로운 경제형 모델이 통합된다: Claude Haiku 4.5와 GPT-5.4-mini로, 둘 다 표준 배수의 0,33x로 청구된다(표준 모델은 1x). 이 확장은 작업의 성격에 따라 적절한 도구를 선택할 수 있게 해준다 — 단순한 lint 수정이나 단위 테스트에는 가볍고 빠른 모델을, 복잡한 리팩터링에는 더 강력한 모델을 사용하는 식이다. 모델 선택은 작업을 cloud agent에 위임할 때 이루어지며, 실제 작업 복잡도에 따라 비용 대비 품질을 최적화할 수 있다.

🔗 cloud agent Changelog

웹 채팅 — 일반 제공되는 컨텍스트형 사이드 패널

5월 18일 — github.com의 Copilot Chat이 이제 사용 중인 리소스(PR, issue, 저장소) 바로 옆에서 직접 열리는 사이드 패널로 제공되어, 전용 페이지로 이동할 필요가 없다. 같은 세션에서 여러 PR과 issue 사이를 오가더라도 컨텍스트가 자동으로 누적되며 — 리소스 간 참조는 대화의 흐름을 잃지 않고 계속 접근할 수 있다. 전체 페이지 몰입형 경험은 “More → In immersive chat”을 통해 계속 이용할 수 있다. 또한 대화를 에이전트 세션으로 전환해 PR을 만들거나 심층 검색을 시작할 수도 있다. 모든 Copilot 플랜에서 GA로 제공된다.

🔗 Copilot Chat 웹 Changelog

Genspark가 Gemini 3.5 Flash를 무료로 통합

5월 20일 — Genspark가 Google I/O에서 발표된 다음 날 바로 Gemini 3.5 Flash를 통합했으며, AI Chat Agent와 Genspark Claw에서 무료로 사용할 수 있다. 이 플랫폼(동시에 70개 이상의 모델 제공)은 반응형 통합 전략을 보여준다: 사용자가 수동으로 선택하도록 강요하지 않고 최신 모델을 즉시 채택하는 방식이다. Gemini 3.5 Flash는 지금까지 나온 Google의 가장 성능이 뛰어난 Flash 모델로, 복잡한 작업에서 응답 속도를 최적화했다.

🔗 Genspark 발표

칸느의 Kling AI — RAPHAEL RAPHAEL, 100% AI 영화

5월 21일 — Kling AI가 2026 칸 영화제에서 RAPHAEL RAPHAEL을 공개했다. 이 프로젝트는 대규모로 100% AI 생성된 장편 영화다. 이 발표는 5월 20일의 House of David 게시물과는 별개로, House of David는 Kling을 산업 규모로 통합한 최초의 할리우드 시리즈이며 4,400만 시청자와 미국 Prime Video 1위를 기록했다. Kling AI는 이로써 칸느 2026에서 다중 프로젝트 존재감을 공고히 하며, 영화 산업을 위한 비디오 AI의 주요 플레이어로서의 입지를 강화한다.

🔗 Kling AI 발표

BFL FLUX Erase — 객체 제거 및 텍스트 지우기

5월 21일 — Black Forest Labs가 FLUX 이미지용 지능형 지우기 기능인 FLUX Erase를 출시했다. 핵심 기능은 세 가지다: 객체 제거(배경을 일관되게 재구성하며 깔끔하게 제거), 텍스트 지우기(아래 디자인은 보존한 채 텍스트만 삭제), 그리고 지워진 객체와 관련된 그림자 자동 제거. 이 기능은 정밀 보정(precision inpainting)을 위해 설계되어, 대상 영역만 수정하고 이미지의 나머지 부분은 손상시키지 않는다. flux-tools.bfl.ai/erase 웹 도구와 BFL API(docs.bfl.ai/flux_erase)에서 바로 사용할 수 있으며, 대기자 명단 없이 즉시 접근 가능하다.

🔗 BFL 발표

ElevenReader — 선택 가능한 음성과 함께하는 20만+ 프리미엄 타이틀

5월 21일 — ElevenLabs가 ElevenReader에 20만+ 프리미엄 타이틀을 통합했다: 라이선스가 있는 오디오북과 eBook 베스트셀러로, 그중 수천 개는 ElevenLabs 음성 중 내레이터 음성을 선택할 수 있다. 이 확장은 ElevenReader를 사용자 맞춤형 오디오 독서 플랫폼으로 포지셔닝한다. 이제 사용자는 책의 원래 내레이터에만 제한되지 않고, 호환되는 어떤 타이틀이든 자신이 선호하는 목소리를 선택할 수 있다. 앱은 elevenreader.io에서 이용할 수 있으며, 시작을 위한 무료 접근도 제공된다.

🔗 ElevenLabs 발표

xAI Grok × OpenCode — 코드 CLI의 Grok Build

5월 21일 — Grok 또는 X Premium 구독자는 이제 코드베이스 인텔리전스에 특화된 명령줄(CLI coding editor) 코드 편집기인 OpenCode에서 Grok Build 모델을 사용할 수 있습니다. 이 통합은 이틀 전 OpenClaw에서 발표된 통합에 이어 이루어진 것으로, xAI가 자사의 구독을 더 많은 외부 도구로 점차 확장하고 있음을 보여줍니다. 이 액세스는 기존 Grok/X Premium 구독에 포함되며 추가 비용은 없습니다. OpenCode는 코드에 대한 특별한 초점으로 OpenClaw와 구별됩니다: 코드베이스 분석, 탐색, 그리고 보조 리팩터링입니다.

🔗 xAI 발표

Codex 26.519 — Appshots, Goal mode GA, 잠금 상태 컴퓨터 사용, 플러그인 공유

5월 21일 — OpenAI가 macOS와 엔터프라이즈용 여러 새 기능과 함께 Codex 26.519를 공개합니다. Appshots를 사용하면 두 Command 키를 동시에 두 번 누르는 방식으로 Codex 스레드에 최상단 애플리케이션 창을 보낼 수 있습니다. 표시 중인 창과 macOS 접근성 API로 접근 가능한 텍스트가 캡처됩니다. Goal mode는 실험적 상태를 벗어나 정식 일반 제공(GA)으로 전환됩니다(앱, IDE 확장, CLI). Remote computer use: 이제 Codex는 Mac이 잠긴 후에도 데스크톱 애플리케이션을 사용할 수 있습니다. 플러그인 공유는 ChatGPT Business에서 사용할 수 있습니다.

기능	상태	플랫폼
Appshots	새로움(GA)	macOS 전용
Goal mode	GA(이전에는 실험적)	앱, IDE 확장, CLI
Remote computer use(잠긴 Mac)	새로움	macOS + Codex Mobile
Plugin sharing	새로움(Business)	ChatGPT Business

🔗 Codex 변경 로그

짧은 소식

Gemini Daily Brief — 정식 일반 제공 — 이제 일일 요약은 미국에서 시작하여 Google AI Plus, Pro, Ultra(18+) 구독자 모두가 이용할 수 있습니다. 🔗 출처
Grok × Imagine — 비디오 게임 에셋(조회수 810만) — Grok과 @imagine을 직접 사용한 게임 에셋 프로토타이핑의 바이럴 데모로, 게임 커뮤니티의 높은 참여를 이끌었습니다. 🔗 출처
Cohere Command A+ — HuggingFace에서 W4A4 가중치 제공 — Command A+의 W4A4 양자화 가중치를 다운로드할 수 있어, BF16 대비 +47% 속도로 2× H100 배포가 가능합니다. 🔗 출처

이것이 의미하는 바

에이전트 시대가 여러 전선에서 동시에 힘을 얻고 있습니다. 35시간의 연속 자율성과 1,000개 이상의 도구 호출을 제공하는 Qwen3.7-Max의 출시, 그리고 에이전트 기능 거버넌스를 표준화하는 NVIDIA Verified Agent Skills의 결합은 업계가 실험 단계에서 구조화 단계로 이동하고 있음을 보여줍니다. NVIDIA가 Claude Code, Codex, Cursor와 호환되는 개방형 사양 agentskills.io를 자사 표준의 기반으로 삼았다는 점은, 기반 모델과 무관하게 AI 에이전트를 위한 공통 인터페이스로의 수렴을 시사합니다.

AI 도구 체인의 보안이 중대한 이슈가 되고 있습니다. 공식 Microsoft 마켓플레이스의 악성 VS Code 확장 프로그램이 내부 장치를 침해한 GitHub 사고는, 업계가 아직 fully 대응하지 못한 새로운 공격 표면을 보여줍니다. 시점도 의미심장합니다. NVIDIA가 Verified Agent Skills를 출시한 바로 그날 GitHub가 사고를 발표했습니다. 검증되지 않은 스킬과 확장은 AI 에이전트가 중요한 시스템을 제어함에 따라 점점 커지는 공격 벡터를 의미합니다.

개발자 도구는 소비 투명성을 중심으로 수렴하고 있습니다. 구성 요소별 분해를 제공하는 Claude Code /usage의 발표와 Codex의 Appshots, GA가 된 Goal mode가 결합되면서 하나의 흐름이 드러납니다: 차세대 AI 개발자 도구는 이제 자신이 무엇을 얼마나 소비하는지, 그리고 어떻게 소비하는지를 설명해야 합니다. Skills/Agents/MCPs/Plugins 단위의 세분화는 프로덕션에 에이전트를 배포하고 실제 비용을 이해하려는 팀의 구체적인 요구에 부응합니다.

생성형 비디오 AI가 영화 산업에 진입하고 있습니다. 예측 가능한 image-level 제어를 제공하는 Runway Aleph 2.0, 칸에서 100% AI 장편 영화(RAPHAEL RAPHAEL)를 선보인 Kling AI, 그리고 House of David(시청자 4,400만 명, 미국 Prime Video 1위)가 산업 규모로 Kling을 사용한다는 확인은 분명한 전환점입니다. 스튜디오는 더 이상 기술을 시험만 하지 않습니다. 그것을 표준 제작 파이프라인에 통합하고 있습니다.