보안

​

보안에 대한 우리의 접근 방식

​

보안 기반

귀하의 코드 보안이 가장 중요합니다. Claude Code는 보안을 핵심으로 구축되었으며, Anthropic의 포괄적인 보안 프로그램에 따라 개발되었습니다. Anthropic Trust Center에서 자세한 내용을 확인하고 리소스(SOC 2 Type 2 보고서, ISO 27001 인증서 등)에 액세스하세요.

​

권한 기반 아키텍처

Claude Code는 기본적으로 엄격한 읽기 전용 권한을 사용합니다. 추가 작업이 필요한 경우(파일 편집, 테스트 실행, 명령 실행), Claude Code는 명시적인 권한을 요청합니다. 사용자는 작업을 한 번 승인할지 또는 자동으로 허용할지 제어할 수 있습니다.

우리는 Claude Code가 투명하고 안전하도록 설계했습니다. 예를 들어, git 명령을 실행하기 전에 승인을 요구하여 직접적인 제어권을 제공합니다. 이러한 접근 방식을 통해 사용자와 조직이 권한을 직접 구성할 수 있습니다.

자세한 권한 구성은 Identity and Access Management를 참조하세요.

​

내장된 보호 기능

에이전트 시스템의 위험을 완화하기 위해:

• 폴더 액세스 제한: Claude Code는 시작된 폴더와 그 하위 폴더에만 액세스할 수 있으며, 상위 디렉토리로 올라갈 수 없습니다. 이는 명확한 보안 경계를 만들어 Claude Code가 의도된 프로젝트 범위 내에서만 작동하도록 보장합니다
• 프롬프트 피로 완화: 사용자별, 코드베이스별 또는 조직별로 자주 사용되는 안전한 명령의 허용 목록 지원
• 편집 수락 모드: 부작용이 있는 명령에 대한 권한 프롬프트를 유지하면서 여러 편집을 일괄 수락

​

사용자 책임

Claude Code는 귀하가 부여한 권한만 가집니다. 승인하기 전에 제안된 코드와 명령의 안전성을 검토할 책임은 귀하에게 있습니다.

​

프롬프트 인젝션으로부터 보호

프롬프트 인젝션은 공격자가 악성 텍스트를 삽입하여 AI 어시스턴트의 지시를 재정의하거나 조작하려고 시도하는 기법입니다. Claude Code는 이러한 공격에 대한 여러 보호 장치를 포함합니다:

​

핵심 보호 기능

• 권한 시스템: 민감한 작업에는 명시적인 승인이 필요합니다
• 컨텍스트 인식 분석: 전체 요청을 분석하여 잠재적으로 유해한 지시를 감지합니다
• 입력 정화: 사용자 입력을 처리하여 명령 인젝션을 방지합니다
• 명령 차단 목록: curl 및 wget과 같이 웹에서 임의의 콘텐츠를 가져오는 위험한 명령을 차단합니다

​

추가 보호 장치

• 네트워크 요청 승인: 네트워크 요청을 하는 도구는 기본적으로 사용자 승인이 필요합니다
• 격리된 컨텍스트 창: 웹 가져오기는 잠재적으로 악성인 프롬프트 주입을 피하기 위해 별도의 컨텍스트 창을 사용합니다
• 신뢰 검증: 처음 실행하는 코드베이스와 새로운 MCP 서버는 신뢰 검증이 필요합니다
• 명령 인젝션 감지: 의심스러운 bash 명령은 이전에 허용 목록에 있었더라도 수동 승인이 필요합니다
• 실패 시 닫힘 매칭: 일치하지 않는 명령은 기본적으로 수동 승인을 요구합니다
• 자연어 설명: 복잡한 bash 명령에는 사용자 이해를 위한 설명이 포함됩니다

신뢰할 수 없는 콘텐츠 작업 시 모범 사례:

1. 승인하기 전에 제안된 명령을 검토하세요
2. 신뢰할 수 없는 콘텐츠를 Claude에 직접 파이핑하지 마세요
3. 중요한 파일에 대한 제안된 변경 사항을 확인하세요
4. 특히 외부 웹 서비스와 상호 작용할 때 스크립트를 실행하고 도구 호출을 하기 위해 가상 머신(VM)을 사용하세요
5. /bug로 의심스러운 동작을 신고하세요

​

MCP 보안

Claude Code는 사용자가 Model Context Protocol(MCP) 서버를 구성할 수 있도록 합니다. 허용된 MCP 서버 목록은 엔지니어가 소스 제어에 체크인하는 Claude Code 설정의 일부로 소스 코드에 구성됩니다.

자체 MCP 서버를 작성하거나 신뢰하는 제공업체의 MCP 서버를 사용하는 것을 권장합니다. MCP 서버에 대한 Claude Code 권한을 구성할 수 있습니다. Anthropic은 MCP 서버를 관리하거나 감사하지 않습니다.

​

보안 모범 사례

​

민감한 코드 작업

• 승인하기 전에 모든 제안된 변경 사항을 검토하세요
• 민감한 저장소에 대해 프로젝트별 권한 설정을 사용하세요
• 추가 격리를 위해 devcontainers 사용을 고려하세요
• /permissions로 권한 설정을 정기적으로 감사하세요

​

팀 보안

• 조직 표준을 시행하기 위해 엔터프라이즈 관리 정책을 사용하세요
• 버전 제어를 통해 승인된 권한 구성을 공유하세요
• 팀 구성원에게 보안 모범 사례를 교육하세요
• OpenTelemetry 메트릭을 통해 Claude Code 사용량을 모니터링하세요

​

보안 문제 신고

Claude Code에서 보안 취약점을 발견한 경우:

1. 공개적으로 공개하지 마세요
2. HackerOne 프로그램을 통해 신고하세요
3. 자세한 재현 단계를 포함하세요
4. 공개 공개 전에 문제를 해결할 시간을 허용하세요

​

관련 리소스

• Identity and Access Management - 권한 및 액세스 제어 구성
• 사용량 모니터링 - Claude Code 활동 추적 및 감사
• 개발 컨테이너 - 안전하고 격리된 환경
• Anthropic Trust Center - 보안 인증 및 규정 준수