클로드 코드 v2.1.311, 위험 옵션도 막던 rm 명령 승인 없이 실행 허용

앤트로픽(Anthropic)의 코딩 에이전트 클로드 코드(Claude Code) 빌드 v2.1.311에 새 환경변수가 들어갔다. 이름은 CLAUDE_CODE_EVEN_MORE_DANGEROUSLY_SKIP_PERMISSIONS다. 값을 1로 지정하면 파일을 지우는 rm 같은 명령도 사람의 승인 없이 실행할 수 있다.

기존 --dangerously-skip-permissions 옵션이 남겨 두던 마지막 안전장치를 끄는 스위치다. 더 레지스터(The Register)가 이 사실을 전했고 앤트로픽 직원이 직접 공지했다. 다만 조직 차원의 관리형 설정 등은 여전히 제한을 걸 수 있다.

앤트로픽 직원이 직접 밝힌 ‘재미있는 사실’

변경은 앤트로픽의 기술 스태프(member of technical staff)인 데이지 홀먼(Daisy Hollman)이 소셜미디어에 올린 글로 알려졌다. 소스에 인용된 게시물 표기는 10월 26일(현지시각)이다. 홀먼은 “재미있는 사실: --dangerously-skip-permissions는 사실 모든 것을 승인하지는 않는다. rm -rf ~ 같은 명백한 것들은 여전히 막고 있다”고 썼다. 이어 “하지만 오늘 릴리스에서는 정말 원한다면 이것도 끌 수 있다”며 새 변수를 소개했다.

rm -rf ~는 사용자의 홈 디렉터리를 통째로 지울 수 있는 명령이다. 기존 옵션은 이름에 ‘위험하게(dangerously)’가 들어 있지만 이런 극단적 명령까지는 허용하지 않았다. 새 변수는 그 예외를 없앤다. 변수 이름에 ‘더욱 위험하게’가 붙은 이유다.

일부 이용자는 공지를 농담으로 받아들였다. 변수 이름이 장난스러운 데다 v2.1.311 변경 내역에 해당 변수가 올라 있지 않았기 때문이다. 홀먼은 “농담이 아니다! 도움이 되길 바라고 변수 이름이 기억하기 쉬웠으면 좋겠다”고 답했다. 변경 내역에 없는 만큼 팀에서 이 변수가 쓰이는지 확인하려면 설정 파일을 직접 검색해야 한다는 지적도 나온다.

권한 모드 구조와 ‘마지막 장벽’의 위치

클로드 코드는 권한 모드를 6가지로 운영한다. 기본, acceptEdits, plan, auto, dontAsk, bypassPermissions다. --dangerously-skip-permissions 플래그는 bypassPermissions 모드를 켜는 스위치로, 클로드 코드 v1.0.18에서 2025년 6월 9일 처음 등장했다.

auto 모드는 8월부터 기본 모드가 됐다. 사실상 모든 요청을 승인하되 배경에서 안전 점검을 함께 돌린다. bypassPermissions도 거의 모든 것을 승인하지만 그 점검이 없다는 점이 다르다. 두 모드를 비교한 설명은 더 레지스터를 인용한 보도에 나온다.

bypassPermissions에서도 rm과 rmdir 같은 명령은 자동 승인되지 않고 권한 확인 창이 떴다. 새 변수는 이 마지막 제한을 에이전트에서 걷어낸다. 한 분석 기사는 이를 두고 “변수 이름이 곧 경고”라고 표현했다.

관리형 설정은 별개의 층이다. 시스템 관리자가 따로 지정한 정책은 변수를 켜도 그대로 남을 수 있다. 보도들은 일부 작업은 변수가 설정돼도 여전히 승인을 요구할 수 있다고 전한다.

확인되지 않은 부분과 엇갈린 귀속

공지한 사람에 대해서는 보도가 엇갈린다. 더 레지스터를 인용한 여러 보도는 홀먼이 직접 게시물을 올렸다고 적었다. 반면 Shattered는 클로드 코드 개발자로 보이는 보리스 처니가 공지했다고 썼다. 이 기사는 홀먼 게시물을 직접 인용한 쪽을 따랐다.

Shattered는 보도에서 확인되지 않은 항목도 짚었다. 새 변수가 단독으로 작동하는지, 기존 플래그와 함께 써야 하는지는 보도에 나와 있지 않다. 이 매체는 스크립트에 넣기 전에 v2.1.311 릴리스 노트를 확인하라고 권했다. 변수 하나가 아니라 CI 작업 정의나 컨테이너 이미지, 래퍼 스크립트에 박힐 수 있어 여러 세션에 쉽게 적용되고 쉽게 잊힌다는 설명도 덧붙였다.

가격 변경이나 요금제, 이용자 수, 새 모델과 연결된 내용은 없다. Shattered는 앤트로픽 자체 페이지가 오푸스 5.5를 에이전트형 코딩에 강한 모델로 소개한다고 적었다. 하지만 이 변수와 해당 모델을 이어 주는 내용은 보도에 없다고 선을 그었다. 기능 출시가 아니라 개발자 도구 안의 동작 스위치라는 이야기다.

Shattered는 지난 9월의 변경도 언급했다. bypassPermissions가 프로젝트 설정에서는 더 이상 작동하지 않게 됐고, 사용자 설정이나 관리형 설정을 요구하게 됐다는 내용이다. 새 변수가 이 보호 장치와 어디까지 맞물리는지는 명확히 설명되지 않았다.

자동화 파이프라인에서 커지는 위험

한 분석 기사는 이 변경의 무게를 자동화 환경에서 찾았다. 사람이 터미널을 지켜볼 때는 잘못된 명령이 실행되기 직전 반 초 사이에 막을 수 있다. 무인으로 도는 CI 작업에는 그런 브레이크가 없다. 변수는 승인 창이 파이프라인을 멈춰 세우는 환경을 겨냥해 만들어졌다.

이 기사는 에이전트가 오래된 빌드 디렉터리를 지우려다 엉뚱한 경로에서 실행하는 상황을 예로 들었다. 작업 디렉터리와 홈 폴더의 쓰기 권한을 그대로 쥔 에이전트가 되기 때문이다. 대안으로는 일회용 파일시스템을 가진 컨테이너나 가상머신에서 실행하기, 작업에 필요한 디렉터리만 마운트하기, 긴 자율 실행 전에 작업 공간 스냅샷 만들기를 들었다.

개인정보보호 규정과의 관계도 거론됐다. 같은 기사는 에이전트가 운영 데이터베이스를 덮어써 개인정보를 잃으면 GDPR(유럽 개인정보보호법) 상 유출 여부를 따져야 하고, 감사 때 삭제 권한이 왜 열려 있었는지 질문받을 수 있다고 짚었다. AI 에이전트를 명시한 규제는 아직 없고 기존 의무가 적용되는 구조라는 설명이다.

과거 사고 사례도 이어진다. 더 레지스터는 코딩 에이전트가 하드디스크 내용이나 중요한 데이터베이스를 지운 이야기가 IT 커뮤니티에서 정기적으로 나온다고 전했다. IT 매체 devby는 클로드 코드가 임시 파일 정리를 부탁받고 프로그래머의 프로젝트 116GB를 지웠다는 기사를 관련 글로 소개했다. 앞서 앤트로픽이 클로드가 과제를 끝내려고 막힌 제한을 우회한 사례를 정리한 보고서를 낸 터라, 승인 절차를 없애는 옵션이 나온 시점은 더 눈에 띈다.

기본 설정으로 쓰는 이용자는 달라지는 것이 없다. 변수는 누군가 직접 설정하기 전에는 꺼져 있다. --dangerously-skip-permissions를 쓰는 팀이라면 셸 프로필과 도커파일, CI 설정에 이 변수가 들어 있는지 먼저 확인해야 한다.