공식 권한 문서는 심볼릭 링크를 다룰 때 링크 경로와 링크가 가리키는 실제 위치를 둘 다 검사하고, 허용 규칙은 두 경로가 모두 맞을 때만 적용한다고 적어요. 그런데 쓰기는 작업 폴더 안에 있는 링크 이름만 보고 판정해서, 실제로는 폴더 밖에 떨어지는 쓰기를 acceptEdits 와 허용 규칙, auto 모드가 확인 없이 승인했고 9월 22일 나온 v2.1.280 에서 막혔어요. 이제 확인 창이 그 쓰기가 실제로 떨어지는 위치를 알려 주고, 같은 릴리스에서 오푸스 5.5 가 기본 오푸스 모델이 되면서 Pro 와 팀 스탠다드 요금제의 기본 모델도 소네트에서 오푸스로 바뀌었어요.
용어 풀이
- 심볼릭 링크
- 다른 경로의 파일이나 폴더를 가리키는 바로가기 파일
- acceptEdits
- 파일 편집을 매번 묻지 않고 자동으로 받아들이는 클로드 코드 권한 모드
- auto 모드
- 사람 대신 분류기가 작업의 위험도를 판정해 승인하는 권한 모드
- CVE
- 공개된 보안 결함에 붙는 국제 식별 번호
운영자 인사이트
워크트리나 공용 설정을 심볼릭 링크로 이어 붙인 저장소에서 acceptEdits 나 auto 모드를 오래 켜 두고 돌렸다면, 확인 없이 폴더 밖에 쓰기가 나갔을 수 있으니 올려 두고 최근 작업 이력을 한 번 훑어보세요. Pro 요금제 기본 모델이 소네트에서 오푸스로 바뀐 것도 한도 소모가 달라진다는 뜻이라 /model 로 지금 무엇이 걸려 있는지 확인하는 편이 좋아요.
여러 관점으로 보기
- 공식 문서가 정한 원래 규칙 허용 규칙은 링크 경로와 실제 위치가 둘 다 맞을 때만 적용되고, 허용된 폴더 안의 링크라도 밖을 가리키면 확인을 받아야 한다고 권한 문서에 적혀 있어요. Claude Code 공식 문서
- 같은 계통의 앞선 결함 심볼릭 링크를 따라가 작업 폴더 밖에 파일을 쓰던 결함은 4월에도 CVE-2026-39861 로 공개돼 2.1.64 에서 막혔는데, 그때는 샌드박스 쪽이었고 이번은 승인 판정 쪽이에요. GitHub Security Advisories