앤트로픽 부최고보안책임자가 7월 21일 올린 글에서, 병합되는 코드의 약 80%를 클로드가 쓰는 조직을 실제로 어떻게 통제하는지 단계별로 공개했어요. 핵심은 원칙이 아니라 권한을 쪼개는 구조예요 — 에이전트마다 목적 하나짜리 신원과 최소 권한만 주고, 장애 대응 에이전트에는 문서 작성·사내 채널 게시·운영 로그 조회 세 가지만 허용해서 고친 코드를 스스로 배포하지는 못하게 막았어요. 개발용 가상 머신은 바깥으로 나가는 통신을 허용 목록으로 묶어 프롬프트 인젝션을 당한 에이전트도 감시 중인 몇 곳 말고는 데이터를 빼낼 수 없게 했고, 새로 붙인 AI 리뷰어는 신뢰가 쌓일 때까지 의견만 남기는 관찰 모드로 돌려요.
용어 풀이
- 프롬프트 인젝션
- 겉보기엔 평범한 문서나 웹페이지에 숨겨 둔 문장으로 AI 에이전트에게 몰래 다른 명령을 시키는 공격
- 허용 목록
- 미리 정해 둔 대상만 통과시키고 나머지는 전부 막는 방식
- PR
- 풀 리퀘스트. 코드 변경을 본 저장소에 합치기 전에 검토받으려고 올리는 요청
- 감사 로그
- 누가 언제 무엇을 했는지 나중에 되짚어 볼 수 있게 남기는 기록
운영자 인사이트
자율성을 프롬프트로 억누르지 말고 권한 경계로 끊으라는 게 요지예요. 우리 팀엔 '에이전트는 PR을 열 수 있지만 병합·배포 권한은 절대 갖지 않는다', '에이전트 계정을 사람 계정과 분리해 감사 로그를 남긴다' 두 줄부터 옮길 수 있어요. 다만 앤트로픽도 사람 리뷰가 오히려 병목이 됐다고 밝힌 적이 있으니, 리뷰 자동화 없이 생성량만 늘리면 그 병목을 그대로 떠안게 돼요.
여러 관점으로 보기
- 원문 — 단계별 통제 장치 계획·생성·검증·배포·운영 다섯 단계마다 어떤 장치를 뒀는지 이름까지 밝혀요 — 저장소를 위험도별로 나눠 자동 승인 수준을 다르게 두고, 에이전트 행동은 내부자 위협으로 간주해 경보를 울리게 했어요. Anthropic
- 지금 바로 켜볼 수 있는 것 글에 나오는 `/security-review` 는 이미 공개된 기능이라, 클로드 코드를 최신으로 올리고 명령 한 줄만 치면 커밋 전에 취약점 점검을 돌려볼 수 있어요. Anthropic Support
- PR마다 자동 점검 붙이기 같은 점검을 깃허브 액션으로 붙이는 공개 저장소예요. 워크플로 파일 하나면 풀 리퀘스트마다 취약점 의견이 달리고, 오탐으로 걸러낼 항목도 직접 지정할 수 있어요. GitHub (anthropics/claude-code-security-review)
- 숫자 이면의 한계 80%라는 수치는 6월에 이미 나왔던 이야기고, 그때 앤트로픽은 사람의 코드 리뷰가 오히려 병목이 됐다고 밝혔어요. The Next Web