Claude Code 안전 점검

약점은 언제 찾아야 할까

왜 지금 이 이야기인가

고치기 가장 쉬운 때는 쓴 직후

만들고 있는 것에 약한 곳이 섞여 드는 일은 드물지 않습니다. 문제는 "언제 알아차리는가"뿐입니다. 쓴 직후에 알아차리면 책상 위 초안 한 장을 고치는 것과 같습니다. 쓴 본인이 아직 전부를 기억하고 있기 때문입니다.

그런데 밖으로 내보낸 뒤에 발견되면 이야기가 달라집니다. 누구에게 알릴지, 언제 멈출지, 고친 뒤 정말 고쳐졌는지 누가 확인할지. 사람과 시간이 한꺼번에 듭니다. 게다가 고치는 사람은 대개 쓴 본인이 아닙니다.

또 하나, 지금 갑자기 중요해진 이유가 있습니다. AI에게 도움을 받을수록 완성되는 양은 늘어납니다. 예전에는 하루가 걸리던 분량이 오전 중에 나옵니다. 그런데 그것을 읽고 확인하는 사람의 눈은 늘지 않았습니다. 만드는 속도만 올라가고, 보는 속도가 뒤처지고 있는 것입니다. 여기가 지금 가장 위험한 지점입니다.

이 글에서 하고 싶은 말은 딱 하나입니다. 봐 주는 횟수를 두 번으로 늘린다. 쓴 직후에 한 번, 밖으로 내보내기 직전에 한 번 더. 아래 한 장이 그 이유를 그대로 말해 줍니다.

이 도구의 입구

Claude Code란

여기서 쓰는 것은 Claude Code(클로드 코드)라는 도구입니다. 글로 부탁하면 만들고 있는 내용을 스스로 살펴보고 고쳐 줍니다. 어려운 표현을 외울 필요는 없습니다. 한국어로 "여기 이상한 데 없어?"라고 물으면 그것으로 통합니다.

느낌으로는 꼼꼼한 신입에게 인수인계 문서를 건네는 것과 비슷합니다. "전부 읽고, 걸리는 곳에 포스트잇을 붙여 둬"라고 부탁하는 것이죠. 다른 점은 이 신입은 지치지도, 질리지도 않고, 몇 번이든 같은 정성으로 다시 읽어 준다는 점입니다.

그 자리에서 봐 달라고 하기

우선은 밖으로 내보내기 전에, 내 손안에서 약점을 찾게 합니다. 아무에게도 보이지 않은 상태에서 고칠 수 있으니 가장 마음 편한 단계입니다. 절차는 세 가지뿐입니다.

먼저 도구를 새것으로

가장 먼저 할 일은 도구를 최신 상태로 바꾸는 것입니다. 번거로워 보이지만, 가장 많이 걸려 넘어지는 곳이기도 합니다. 이번에 쓸 점검 기능은 새 버전에만 들어 있어서, 옛것 그대로면 "그런 지시는 모른다"는 답이 돌아옵니다. 원인을 몰라 한참 고민하게 되는, 가장 아까운 실수입니다.

방법을 모르겠다면 잘 아는 사람에게 "최신판으로 바꿔 달라"고 한마디 부탁하면 됩니다. 교체가 끝나면 버전 번호가 화면에 나옵니다. 이 번호가 나오면 준비 완료 신호입니다.

불러내고 기다리게 하기

절차 2

실행되고 나면, 나머지는 한국어로 부탁하기만 하면 됩니다.

다음으로, 만들고 있는 것이 놓여 있는 자리에서 이 도구를 불러냅니다. 불러내면 지시를 기다리는 상태가 됩니다. 여기서 멈춘 것처럼 보여도 고장이 아닙니다. 이쪽에서 뭔가 말하기를 기다리고 있을 뿐입니다.

위험해 보이는 곳을 찾게 하기

절차 3

/security-review 라고 입력하면 점검만 한꺼번에 해 줍니다.

기다리는 상태에서 /security-review 라고 입력합니다. 외울 말은 이것 하나입니다. 앞의 빗금으로 시작하는 것은 "이건 부탁이 아니라 정해진 작업의 이름입니다"라는 신호라고 생각하면 됩니다. 긴 설명문을 쓸 필요는 없습니다.

입력하면 내용을 끝에서부터 읽기 시작합니다. 분량에 따라서는 조금 기다립니다. 여기서 도중에 멈추지 않는 것이 중요합니다. 전체를 훑어본 뒤에 답을 내놓는 구조라서, 도중에 끊으면 어중간한 결과만 남습니다. 차 한 잔 내리는 정도의 마음으로 기다립니다.

무엇을 찾아 주는가

점검의 내용

"위험한 곳"이라고 해도, 무엇을 보고 있는지 모르면 불안합니다. 내용은 대체로 다음 네 가지입니다. 전문적인 이야기처럼 보이지만, 가까운 예로 바꿔 보면 이해할 수 있습니다.

• 입력한 글자가 그대로 명령으로 작동한다
  검색창에 적은 문장이 보관소에 대한 명령으로 실행되어 버리는 빈틈입니다. 접수처 기입란에 "금고를 열어라"라고 적었더니 정말로 열려 버리는 것과 같습니다.
• 남이 쓴 글자가 보는 사람의 화면에서 작동한다
  올라온 글에 장치가 섞여 들어, 읽은 사람의 화면에서 제멋대로 작동해 버립니다. 회람판에 손댄 종이가 끼워져 있어서, 읽은 사람이 자기도 모르게 무언가를 하게 되는 상태입니다.
• 본인 확인 빠져나가기
  원래는 보이지 않아야 할 남의 정보까지 들여다볼 수 있는 구조가 아닌지 봅니다. 내 서류함인 줄 알았는데 옆 사람의 서랍까지 열려 버리는 상태입니다.
• 빌려 온 부품이 옛것 그대로
  밖에서 빌려 온 부품에 이미 알려진 약점이 남아 있지 않은지도 봅니다. 세상에서는 진작에 교체된 옛 자물쇠를 계속 쓰고 있지 않은지 확인하는 것입니다.

결과를 읽는 법에도 요령이 두 가지 있습니다. 하나, 지적이 하나도 없어도 "절대 안전"은 아닙니다. 흔한 약점이 보이지 않았다는 뜻입니다. 둘, 지적이 나와도 전부가 진짜인 것은 아닙니다. 우선 "이건 정말 곤란한 일인가요?"라고 되물어 보고, 납득이 되는 것부터 "그럼 고쳐 주세요"라고 부탁하는 것이 안전합니다. 통째로 맡기고 내용을 보지 않는 것이 가장 해서는 안 되는 일입니다.

내보낼 때마다 자동으로

여기까지는 생각났을 때 스스로 하는 점검이었습니다. 다만 사람은 바쁘면 반드시 잊습니다. 급한 날일수록 건너뜁니다. 그리고 급한 날의 수정일수록 위험한 것이 섞입니다. 그래서 두 번째 단계로, 매번 반드시 봐 주는 장치를 놓습니다.

신청할 때마다 알아서 작동

GitHub(만든 것을 모아 두는 자리)

많은 현장에서는 고친 부분을 곧바로 실제 환경에 넣지 않고, GitHub라는 자리에 "이걸 넣어도 될까요?"라고 올려서 누군가 봐 준 뒤에 넣습니다. 결재를 올리는 흐름과 비슷합니다.

자동으로 시작된다. 그 "넣어도 될까요?"를 올린 시점에 점검이 알아서 돌아갑니다. 누군가 기억해 낼 필요가 없습니다. 잊어버리는 성향이 결과에 영향을 주지 않게 되는 것, 이것이 가장 큰 효과입니다.

낭비를 줄인다. 우리끼리 정한 것을 미리 적어 두면 엉뚱한 지적은 나오지 않게 됩니다. "우리는 이 부분을 사내에서만 만지니까 거기는 지적하지 않아도 됩니다" 같은 전제입니다. 신입에게 건네는 사내 규칙 종이와 같아서, 이것을 건네지 않으면 당연한 것까지 전부 지적당하고, 점점 아무도 읽지 않게 됩니다.

그 자리에 적는다. 지적은 별도의 보고서가 아니라, 걸리는 부분 바로 옆에 고치는 방법 제안과 함께 적힙니다. 찾으러 갈 필요가 없으니 그 자리에서 고칠 수 있습니다.

무엇이 달라지는가

전과 후

달라지는 곳은 세 가지입니다. 지금까지는 알아차린 사람이 보는 방식이었습니다. 앞으로는 매번 반드시 본다. 당번이나 세심함에 기대지 않게 됩니다.

지금까지는 내보낸 뒤에 발각되었습니다. 앞으로는 내보내기 전에 발견된다. 같은 문제라도 고치는 수고가 전혀 다릅니다. 그리고 지금까지는 고치는 방법이 막막했습니다. 앞으로는 고치는 방법 제안이 따라온다. "위험합니다"만 남기고 내던져지지 않으니, 잘 모르는 사람도 다음 한 걸음을 내디딜 수 있습니다.

시작하는 법은 여기에 적혀 있다

공식 안내

내 손안에서 쓰는 법과 자동 점검을 넣는 법은 공식 안내에서 차례대로 따라갈 수 있습니다. 스스로 전부를 풀어 읽을 필요는 없습니다. 잘 아는 사람에게 부탁할 때도 이 안내의 위치만 알려 주면 이야기가 빨리 끝납니다.

만든 쪽도 직접 쓰고 있다

실제로 있었던 이야기

반영하기 전에 막은 예가 있습니다

이 도구를 만들고 있는 쪽 자신도 같은 방식으로 자기들의 것을 점검하고 있습니다. 거기서 실제로 멈춘 예가 소개되어 있습니다.

• 사내용 도구에서 밖에서 가로채일 수 있는 구멍이 발견되었습니다.
• 암호를 맡아 두는 구조에서도 밖에서 악용될 수 있는 구멍에 표시가 붙었습니다.
• 둘 다 실제 환경에 들어가기 전에 고칠 수 있었습니다.

중요한 것은 "대단한 구멍이 발견되었다"는 점이 아니라, 실제 환경에 들어가기 전이었다는 점입니다. 같은 구멍이라도 들어가기 전이라면 조용히 고칠 수 있습니다. 들어간 뒤라면 사고로 다루게 됩니다.

정리: 내일부터 할 일

어렵게 생각할 필요는 없습니다. 내 손안에서 한 번 해 보고, 잘되면 자동에 맡긴다. 이 순서뿐입니다.

• 먼저 도구를 최신으로 바꾼 뒤에 시작한다(여기를 건너뛰면 작동하지 않습니다)
• 내 손안에서 /security-review 라고 입력해 점검한다
• 나온 지적은 납득한 것부터 고치는 것까지 그대로 부탁한다
• 내보낼 때마다 도는 자동 점검도 넣어 둔다(잊어도 돌아가도록)
• 일찍 찾을수록 고치는 수고는 작다

하나만 고른다면 두 번째입니다. 오늘 퇴근길에 한 번 입력해 본다. 그것만으로 내일의 내 부담이 가벼워집니다.

마지막으로

AI 도서관

팔로우와 좋아요, 부탁드립니다

AI를 일에 쓰는 이야기를 쉽게 한 편씩 내고 있습니다. 다음 회에도 여기서 만나요.