클로드 코드, 8월14일부터 오토 모드 기본 전환…승인 90%대가 형식적 클릭

앤트로픽이 AI 코딩 도구 클로드 코드(Claude Code)의 권한 설정을 오토 모드(Auto Mode)로 기본 전환한다. 8월14일(현지시각)부터 프로·맥스·팀 플랜 사용자는 별도 설정 없이도 오토 모드로 작업을 시작한다. 지금까지는 매번 실행 승인을 받는 수동 방식이 기본이었지만, 앤트로픽 자체 조사에서 사용자가 권한 요청의 90%대(매체별로 93~97%로 다르게 보도됨)를 그대로 승인해왔다는 결과가 나온 것으로 알려지면서 방향을 바꿨다. 승인 절차가 안전장치가 아니라 형식적인 클릭에 가까웠다는 판단이다. 엔터프라이즈 고객과 API·클라우드 플랫폼 이용자는 당분간 기존처럼 직접 오토 모드를 켜야 한다.

오토 모드, 왜 기본값이 됐나

앤트로픽은 올해 초 오토 모드를 연구 프리뷰 형태로 처음 선보였다. 구체적으로는 3월24~25일(현지시각) 테스트 버전으로 공개해 수개월간 개발자들의 피드백을 받았다. 이번 8월14일 전환은 그 결과물이다.

앤트로픽이 1,053명의 유료 테스터를 대상으로 진행한 조사에서 사람은 위험한 명령어의 13.6%만 걸러냈다. 반면 오토 모드는 같은 조건에서 89%를 차단했다. 더 눈에 띄는 대목은 시간이 지날수록 벌어지는 격차다. 테스터들이 50번째 승인 요청에 다다르자 위험 명령어 발견율은 5%까지 떨어졌다. 앤트로픽은 “대부분의 요청이 안전하고 일상적인 명령이겠지만, 이렇게 높은 승인율은 많은 사용자가 각 명령을 검토하기보다 반사적으로 클릭하고 있다는 뜻”이라고 설명했다.

2단계 분류기와 하드데니(hard deny), 안전장치 작동 원리

오토 모드의 핵심은 별도의 분류기(classifier) 모델이다. 먼저 빠른 단일 토큰 필터가 모든 요청을 1차로 스크리닝한다. 위험 신호가 감지되면 사고연쇄(chain-of-thought) 방식의 더 정교한 평가 단계로 넘어간다. 파일을 읽거나 표준 빌드 명령을 실행하는 등 저위험 작업은 중단 없이 그대로 진행되고, 고위험 작업만 수동 승인 요청으로 넘어간다. 분류기가 한 세션에서 3회 연속 차단하거나 총 20회를 차단하면 자동으로 수동 승인 모드로 되돌아간다.

앤트로픽은 이번 전환에 앞서 오토 모드를 더 단단하게 다듬었다. 가장 눈에 띄는 변화는 하드데니(hard deny) 규칙이다. 코드나 비밀 정보를 외부로 빼돌리는 데이터 유출 행위는 분류기가 어떤 경우에도 승인하지 않도록 설계했다. 이런 작업을 실제로 실행하려면 개발자가 오토 모드를 끄고 직접 명령을 입력해야 한다. 조직 단위로 자체 하드데니 규칙을 추가하는 것도 가능하다. 분류기는 깃(git) 푸시나 풀리퀘스트의 목적지가 공개·비공개·신뢰된 곳인지 확인하고, 깃 리셋 하드처럼 되돌릴 수 없는 명령을 실행하기 전에는 저장소의 커밋되지 않은 작업 상태까지 미리 확인한다. API 쪽에서는 웹페이지와 파일, 도구 출력 내용을 훑어 프롬프트 인젝션 시도가 의심되면 클로드에게 경고 신호를 넘기는 별도 탐지 장치도 새로 추가됐다.

앤트로픽 내부 사례도 공개됐다. 한 세션에서 오토 모드는 클로드가 기밀 데이터를 공개 페이지에 업로드하려는 시도를 막았다. 또 다른 장시간 세션에서는 진행 중이던 GPU 학습 작업을 방해할 뻔한 프로세스 약 2,000개를 자동으로 종료시켰다고 회사 측은 밝혔다.

프롬프트 인젝션 실험 성적표…오픈AI 코덱스와 비교

보안성을 검증하기 위해 앤트로픽은 아폴로 리서치(Apollo Research)와 2주간 레드팀 파일럿을 진행했다. 실제 작업 흐름에 합성 공격을 주입하는 방식이었다. 강화 작업 전 분류기는 이런 공격의 12%를 놓쳤지만, 강화 후에는 별도 테스트셋에서 놓치는 비율이 7%로 줄었다.

독립 감사기관 트라젝토리 랩스(Trajectory Labs)는 72개 공격 시나리오를 각각 10회씩, 총 720회 시도했다. 클로드의 현재 모델인 페이블5, 오퍼스5, 소넷5를 오토 모드로 돌린 결과 720건 전부를 막아냈다. 권한 검증을 완전히 우회한 상태에서도 공격 통과율은 0.09%에 그쳤다. 같은 조건에서 오픈AI의 GPT-5.6 Sol을 코덱스(Codex)의 완전접근 모드로 테스트하자 공격의 19%가 통과했다. 오토리뷰 모드로 바꿔도 통과율은 5.83% 수준이었다.

생산성과 남은 과제

오토 모드를 쓴 팀은 풀리퀘스트(PR)를 약 25% 더 많이 만들어냈다는 게 앤트로픽 측 설명이다. 승인 대기 시간이 줄어든 만큼 작업량이 늘었다는 의미다. 분류기 자체가 소비하는 소량의 추가 토큰에는 별도 요금을 물리지 않기로 했다. 어도비(Adobe), 뉴로(Nuro), 구스토(Gusto) 등은 이미 오토 모드를 도입해 효율성 개선과 개발자 피로 감소 효과를 언급한 것으로 전해졌다.

다만 엔터프라이즈 고객과 아마존웹서비스(AWS) 베드록, 구글 버텍스 등 API·클라우드 플랫폼 이용자는 여전히 직접 켜야 하는 옵트인 상태다. 앤트로픽은 이 영역에도 한 달 안에 기본값 전환을 확대할 계획이라고 밝혔다. 관리자는 언제든 기존 수동 승인 방식으로 되돌릴 수 있다.

앤트로픽 스스로도 한계를 인정한다. 회사는 “프로덕션 인프라에 대한 고위험 변경은 여전히 직접 클로드의 작업을 검토하길 권장한다”고 밝혔다. 분류기가 위험을 줄여주지만 없애주지는 못한다는 뜻이다. 개발자의 역할이 직접 코드를 작성하는 것에서 AI가 만든 결과물을 검토하는 쪽으로 옮겨가는 흐름 속에서, 개입이 줄어들수록 그 개입의 중요성은 오히려 커지는 역설도 남아 있다. 한편 앤트로픽은 이번 발표와 함께 병렬로 실행 중인 클로드 코드 세션들이 서로 메시지를 주고받는 기능도 새로 공개했다. 한 세션이 요약 정보를 보내면 다른 세션이 이를 받아 작업을 이어갈 수 있다.