2026년 10월 9일 AI 코딩 소식

앤트로픽은 6개월 동안 후보 취약점 2만 9,000여 건을 찾았지만 사람이 검토한 것은 약 6,000건이라고 밝혔어요. 신청 전에 미검증 보고서를 걸러 낼 인력이 있는지 먼저 따져 보고, 저장소가 권하는 threat_model.md 로 위협 모델을 적어 두면 심각도 과장이나 위협 모델 오해를 줄이는 데 도움이 돼요.

보안 검사용 PreToolUse 훅을 운영한다면 onFailure: "block" 을 켜서, 스크립트가 깨지거나 느려질 때 검사 없이 통과되는 일을 막아 두세요. 그 대신 훅이 멈추면 작업도 함께 멈추니 timeout 값도 같이 점검해야 해요. 10월 9일 기준 공식 훅 문서에는 이 설정이 아직 없어서, 지금은 릴리스 노트가 유일한 근거예요.

prompt·agent 훅으로 위험 명령 차단을 걸어 둔 팀은 v2.1.294 이상으로 올린 뒤 실제로 막히는지 한 번 시험해 보세요. 노트에는 결함이 언제부터 있었는지가 적혀 있지 않으니, 비밀 파일 읽기처럼 꼭 막아야 하는 규칙은 결과가 정해진 command 훅이나 권한 거부 규칙으로 함께 걸어 두는 편이 안전해요.

클로드 코드에 화를 내는 정도는 발표문이 명시적으로 제외했어요. 개발자가 챙길 것은 개정된 정책 본문 쪽이에요. 직접 만들거나 배포한 에이전트가 도구·브라우저로 한 행동까지 정책을 지킬 책임이 있고, 소비자용 챗봇은 AI 라는 사실을 알려야 한다고 적혀 있으니 11월 12일 전에 서비스 약관과 안내 문구를 맞춰 보세요.

"몇 시간 동안 계속하라"는 지시는 오래 혼자 돌리는 작업의 길이를 보장하지 않고, 모델이 스스로 보고한 소요 시간도 실제와 다를 수 있어요. 무인 작업을 맡길 때는 종료 조건을 시간 대신 검증 가능한 완료 기준(테스트·체크리스트)으로 주고, 실제 경과 시간과 하위 에이전트 수·비용은 하네스 기록으로 따로 확인하는 편이 안전해요.

공개 저장소를 관리한다면 설정의 Interaction limits 에서 개수 제한을 이미 켰더라도 초안 포함은 따로 켜야 초안을 이용한 우회가 막혀요. 깃허브는 6월 글에서 코파일럿 등 AI 에이전트가 만든 풀 리퀘스트도 똑같이 센다고 밝혔으니, 에이전트로 외부 오픈소스에 초안을 여러 개 열어 두는 방식은 이제 제한에 걸릴 수 있어요.

클로드·GPT 처럼 API 로만 쓰는 모델에는 붙일 수 없어요. 가중치 공개 모델을 직접 서빙하면서 에이전트 동작을 판정 모델로 전부 검사하고 있다면 프로브를 앞단에 두는 2단 구조로 감시 비용을 줄일 여지가 있지만, 수치는 굿파이어 자체 평가이고 사이버 악용 기준이라 자기 작업에서 다시 재 봐야 해요.

오픈라우터 점유율은 이용자가 AI 스타트업 위주이고 판촉에 따라 크게 움직이는 지표라 모델 선택 근거로 삼기는 어려워요. 가격 경쟁이 이어지는 동안에는 모델을 바꿔 끼울 수 있게 호출부를 나눠 두고, 지금 쓰는 경로의 할인이 언제 끝나는지와 같은 작업을 두 회사 모델로 돌린 비용을 직접 확인해 두는 편이 안전해요.

엔터프라이즈 관리자라면 Dashboards·Motion 은 기본으로 꺼져 있어 조직 설정의 Artifacts 에서 켜야 하고, 문서·슬라이드·디자인은 10월 15일에 기본으로 켜져요. 사내 데이터 웨어하우스를 연결하기 전에 어떤 커넥터를 허용할지, 클로드 디자인 독립 사이트에 둔 디자인 시스템은 12월 14일 전에 옮길지부터 정해 두세요.