AI 에이전트 권한 — 디렉터리에 있다고 보안 감사를 받은 건 아닙니다

에이전트 · 권한

"공식 목록에 있으니 검증된 거겠지"
— 문서가 아니라고 적어놨습니다.

원문 — "does not security-audit or manage any MCP server." 등재 심사와 보안 감사는 다른 일입니다.

AI가 답만 해주던 시절은 지났습니다. 이제는 파일을 고치고, 명령을 실행하고, 외부 서비스에 연결합니다. 편한 만큼 질문도 생깁니다 — 이거 어디까지 할 수 있는 거지?

그래서 공식 보안 문서를 열었습니다. 전반적으로는 안심되는 구조였습니다 — 기본이 읽기 전용이고 승인이 여러 겹입니다. 그런데 세 군데가 눈에 걸렸고, 그 셋은 아마 대부분 모르고 지나갈 항목입니다.

📌 30초 요약

• 기본은 읽기 전용입니다. 파일 수정·명령 실행은 그때그때 승인을 받습니다. 이건 좋은 구조입니다.
• ①공식 디렉터리 등재는 보안 감사가 아닙니다 — "reviews connectors against its listing criteria… but does not security-audit or manage any MCP server."
• ②자동화로 돌리면 신뢰 확인이 꺼집니다 — "Trust verification is disabled when running non-interactively with the -p flag."
• ③자동 승인 모드에는 삭제·이동 명령이 포함됩니다 — mkdir, touch, rm, mv, cp, sed. 단 작업 디렉터리 경로에 한해서입니다.
• 윈도우 사용자 경고가 따로 있습니다 — WebDAV 관련 경로는 권한 시스템을 우회할 수 있습니다.
• 문서가 스스로 한계를 적습니다 — "no system is completely immune to all attacks."

먼저, 무엇을 열었나

📂 오늘(8/12) 직접 읽은 문서

• Claude Code 공식 보안 문서 — 권한 모델, 프롬프트 인젝션 대응, MCP 보안, 클라우드 실행

⚠️ 미리 밝히는 한계

• 직접 실행해 검증하지 않았습니다. 문서에 적힌 동작을 정리한 것입니다.
• 세부 설정 문서(권한·샌드박싱)는 열지 않았습니다. 본문에서 그 내용은 인용하지 않았습니다.
• 한 도구 이야기입니다. 다른 에이전트 도구는 ⑥번 방법으로 직접 보세요.

그리고 이 글은 "위험하니 쓰지 말라"는 글이 아닙니다. 문서를 읽어보면 보호 장치가 꽤 촘촘합니다. 다만 그 장치가 언제 꺼지는지를 아는 게 실무에서는 더 중요합니다.

① 기본 구조는 안심되는 쪽입니다

먼저 좋은 소식부터. 문서가 밝힌 기본값입니다.

장치	내용
기본 읽기 전용	파일 수정·명령 실행은 명시적 승인을 받습니다
작업 폴더 경계	시작한 폴더와 하위 폴더에만 쓸 수 있습니다. 상위 폴더는 별도 허가 필요
네트워크 명령	curl·wget은 자동 승인되지 않습니다
웹 가져오기 격리	별도 컨텍스트에서 처리해 악성 지시 주입을 차단
미매칭은 차단	"Fail-closed matching" — 규칙에 없으면 수동 승인으로 떨어집니다

특히 "규칙에 없으면 막는다"는 설계는 보안 검토에서 좋게 평가받는 방식입니다. 그리고 문서는 책임 소재도 분명히 합니다 — "Claude Code only has the permissions you grant it. You're responsible for reviewing proposed code and commands for safety before approval."

② 디렉터리 등재는 보안 감사가 아닙니다

여기가 이 글에서 가장 중요한 문장입니다. 외부 도구(MCP 서버·커넥터)를 붙일 때 대부분 "공식 디렉터리에 올라와 있으니 괜찮겠지"라고 생각합니다.

"Anthropic reviews connectors against its listing criteria before adding them to the Anthropic Directory, but does not security-audit or manage any MCP server."

등재 기준 심사는 하지만 보안 감사는 하지 않는다고 문서가 직접 씁니다. 그리고 권고도 명확합니다 — "either writing your own MCP servers or using MCP servers from providers that you trust."

🧩 왜 이 구분이 중요한가

MCP 서버를 붙인다는 건 그 서버에 우리 데이터가 지나갈 통로를 여는 것입니다. 그런데 그 서버는 제3자가 만들어 제3자가 운영합니다. 플랫폼이 감사하지 않는다면, 그 검증은 우리 몫으로 남습니다.

과장하지 않겠습니다. 이건 이 플랫폼만의 문제가 아니고, 앱스토어·확장프로그램 생태계가 대체로 비슷합니다. 특별히 나쁜 게 아니라 원래 그런 구조이고, 문서가 그 사실을 감추지 않고 적어뒀다는 점은 오히려 평가할 만합니다. 문제는 읽지 않으면 반대로 안다는 것입니다.

③ 자동화로 돌리면 신뢰 확인이 꺼집니다

처음 실행하는 코드베이스나 새 MCP 서버에는 신뢰 확인 절차가 있습니다. 그런데 조건이 붙습니다.

"Trust verification is disabled when running non-interactively with the -p flag."

비대화형 실행 — 즉 CI 파이프라인, 스케줄러, 자동화 스크립트에 붙여 돌릴 때입니다. 사람이 앞에 없으니 물어볼 수가 없고, 그래서 그 확인 단계가 빠집니다.

⚠️ 실무에서 이렇게 어긋납니다

사람이 앉아서 쓸 때는 "이 서버 믿을 만합니까?"를 물어봅니다. 그래서 직접 써보고 "괜찮네"라고 판단한 다음, 그대로 자동화에 옮기면 — 그 자동화에는 그 질문이 없습니다.

그래서 자동화에 붙일 때는 대화형에서 검증한 것과 같은 구성인지를 사람이 대신 확인해야 합니다. 설정 파일을 버전 관리에 올려두고 변경 시 리뷰를 거치게 하는 게 현실적인 방법입니다. 문서도 MCP 서버 목록을 "checked into source control" 하도록 안내합니다.

④ 자동 승인 모드에 들어 있는 명령들

승인 창이 자꾸 뜨면 피곤해서 자동 승인 모드를 켜게 됩니다. 그때 무엇이 자동으로 통과되는지 문서에 적혀 있습니다.

"Accept Edits mode: Auto-approves file edits and a fixed set of filesystem Bash commands like mkdir, touch, rm, mv, cp, and sed for paths in the working directory."

목록에 삭제(rm)와 이동(mv), 그리고 파일 내용을 바꾸는 sed가 들어 있습니다. 다만 단서를 반드시 같이 읽어야 합니다 — "작업 디렉터리 경로에 한해서"입니다. 그 밖의 명령과 범위를 벗어난 경로는 여전히 물어봅니다.

💡 그래서 실무 결론은 단순합니다

자동 승인 모드는 "이 폴더 안은 마음대로 해도 된다"고 선언하는 것입니다. 그러니 켜기 전에 두 가지만 확인하세요 — ①지금 시작한 폴더가 어디인가 ②그 폴더가 버전 관리되고 있는가.

두 번째가 사실상 안전망입니다. 커밋되지 않은 작업물이 있는 폴더에서 자동 승인을 켜는 것이 제일 위험합니다. 반대로 깨끗한 상태에서 시작하면 되돌리기가 쉽습니다.

⑤ 윈도우를 쓴다면 이 경고를 보세요

문서에 윈도우 전용 경고가 따로 있습니다. 국내 업무 환경에 윈도우가 많으니 옮겨둡니다.

WebDAV를 켜두거나 \\* 같은 경로에 접근을 허용하는 것을 권장하지 않는다고 적혀 있습니다. 이유가 중요합니다 — "Enabling WebDAV may allow Claude Code to trigger network requests to remote hosts, bypassing the permission system."

권한 시스템을 우회할 수 있다는 것입니다. 앞에서 본 보호 장치들이 무력해지는 경로라는 뜻이라, 다른 항목보다 우선순위가 높습니다. 참고로 문서는 마이크로소프트가 WebDAV를 지원 중단했다는 점도 함께 밝힙니다.

⑥ 팀에 적용한다면 — 다섯 줄

1. 외부 도구 연결은 통보제로 — 목록을 확보하는 게 우선입니다. 승인제로 하면 안 알리고 씁니다(이유).
2. 설정 파일은 버전 관리에 — 어떤 서버가 붙어 있는지가 코드 리뷰에 걸립니다.
3. 자동화에 붙일 때는 사람이 한 번 검증 — 비대화형에서는 신뢰 확인이 꺼집니다(③번).
4. 자동 승인은 깨끗한 폴더에서만 — 커밋되지 않은 작업물이 있으면 켜지 않기.
5. 윈도우는 WebDAV 경로를 확인 — 권한 우회 가능성이 있는 유일한 항목입니다.

그리고 다른 에이전트 도구를 검토하신다면 이 네 가지를 문서에서 찾아보세요.

• 기본값이 읽기 전용인가 — 아니면 그때부터 다른 이야기입니다
• 쓰기 범위에 경계가 있는가 — 시작 폴더 밖으로 나갈 수 있는지
• 비대화형에서 무엇이 꺼지는가 — 문서에 안 적혀 있으면 그것 자체가 답변할 거리입니다
• 마켓플레이스가 보안 감사를 하는가 — "심사"와 "감사"를 구분해 읽으세요. 대개 앞쪽입니다

⑦ 문서가 스스로 적은 한계

"While these protections significantly reduce risk, no system is completely immune to all attacks. Always maintain good security practices when working with any AI tool."

보안 문서에 이런 문장이 있으면 오히려 신뢰가 갑니다. 완벽하다고 쓰는 문서보다 낫습니다. 다만 읽는 쪽에서는 이 문장을 "그래서 우리 쪽 절차가 필요하다"로 받아야 합니다. 우리 쪽에서 볼 항목은 팀 AI 보안 체크리스트에, 거래처가 물어올 때 답할 항목은 보안 질문지 4칸에 정리해뒀습니다.

🙏 이 글의 한계

• 직접 실행해 검증하지 않았습니다. 문서에 적힌 동작을 옮긴 것이며, 실제 동작이 다를 가능성을 배제하지 않습니다.
• 세부 설정 문서(권한·샌드박싱·인증)는 열지 않았습니다. 그 내용은 인용하지 않았습니다.
• "자동 승인 목록에 rm이 있다"는 반드시 "작업 디렉터리 경로에 한해"와 같이 읽어야 합니다. 본문에서도 그렇게 적었습니다.
• 다른 마켓플레이스가 보안 감사를 하는지 확인하지 않았습니다. "대체로 비슷하다"는 제 인상이지 확인한 사실이 아닙니다.
• 한 도구의 문서입니다. 2026년 8월 12일 기준이며 제품은 자주 바뀝니다. 제휴·협찬 없습니다.

자주 묻는 것

Q. 그래서 MCP 서버를 쓰지 말라는 건가요?

아닙니다. "검증 책임이 어디 있는지"를 알고 쓰자는 것입니다. 문서 권고도 그렇습니다 — 직접 만들거나, 신뢰하는 제공자의 것을 쓰라고요. 실무적으로는 붙일 때 세 가지만 보세요 — 누가 만들었는지, 소스가 공개돼 있는지, 그 서버에 우리 데이터의 무엇이 지나가는지. 사내에서 쓴다면 "붙인 목록을 공유하는 규칙"이 개별 심사보다 효과가 큽니다.

Q. 개인이 혼자 쓰는데도 신경 써야 하나요?

두 가지만 하시면 충분합니다. ①자동 승인은 버전 관리되는 폴더에서만 켜기, ②윈도우면 WebDAV 경로 확인하기. 나머지 장치는 기본값이 이미 보수적으로 잡혀 있습니다. 오히려 개인 작업에서 자주 생기는 문제는 보안이 아니라 내 PC 사양 쪽인데, 그건 따로 정리해뒀습니다.

✨ 한 줄로

보호 장치는 촘촘합니다. 중요한 건 그게 언제 꺼지는지입니다 — 비대화형 자동화에서는 신뢰 확인이 꺼지고, 공식 목록 등재는 보안 감사가 아닙니다. 이 둘만 알고 시작하셔도 충분히 다릅니다.

🗺️ AI 도입, 순서대로 보기

전체 단계는 AI 도입 비용 전체 지도에 있습니다.

• 팀 AI 보안 체크리스트 — 우리 쪽에서 볼 항목
• 사내 규정이 안 지켜지는 이유 — 통보제로 목록 확보하기
• 보안 검토 질문지에 답할 때 — 거래처가 물어올 때
• 개인정보 넣기 전 확인할 6곳 — 데이터를 넣기 전에

---

출처 및 확인 시점 — 2026년 8월 12일 확인.
✅ 오늘 직접 읽은 문서: Claude Code 공식 보안 문서(code.claude.com/docs/en/security) — 권한 모델, 내장 보호 장치, 프롬프트 인젝션 대응, MCP 보안, 윈도우 WebDAV 경고, 클라우드 실행 보안.
⚠️ 확인하지 않은 것: 실제 실행을 통한 동작 검증, 세부 설정 문서(권한·샌드박싱·인증), 다른 마켓플레이스의 보안 감사 여부. 추측해서 쓰지 않았습니다.
영문 인용은 원문 표기 그대로이며 한국어 설명과 팀 적용 다섯 줄은 필자의 해석·제안입니다. 자동 승인 관련 서술은 "작업 디렉터리 경로에 한해"라는 단서와 함께 읽어야 합니다. 제품과 문서는 자주 바뀌므로 설정 전 공식 문서를 직접 확인하세요. 이 글은 보안 자문이 아니며, 어떤 제휴나 협찬 관계도 없습니다.