AIDive3시간 작업, 그리고 rm -rf
중형 오픈소스 중국 모델이 한 프로젝트에서 세 시간 동안 작업한 뒤, 마지막 검증 단계에 명령어 하나를 슬쩍 끼워 넣어 소스 폴더 안의 모든 것을 삭제했습니다. 사용한 와일드카드가 Git 저장소까지 포함해 모든 것을 지워버렸습니다. 이 사연은 local-models 서브레딧의 한 스레드에서 이번 주 62개의 추천을 받았습니다. 완전 자동 없이 코딩하는 게 여전히 가능한지 묻는 스레드였습니다.
같은 시기 r/ClaudeCode에서는 정반대의 질문이 올라왔습니다. Claude Code를 YOLO 모드로 돌리지 않는 이유는 무엇인가요? 커뮤니티의 답은 한 문장으로 요약됩니다. 쓸모 있는 경계선은 자동과 수동 사이가 아니라, 비용이 드는 실패와 통제된 실패 사이에 있다는 것입니다. 이 글은 YOLO 모드가 오늘날 실제로 무엇을 하는지, 그리고 Claude Code를 홀로 돌려도 되도록 어떻게 격리하는지를 다룹니다.
올해 바뀐 YOLO 모드의 의미
YOLO 모드는 원래 모든 권한 확인을 건너뛰는 플래그, 즉 bypassPermissions 모드를 뜻했습니다. 모든 것이 실행되고, classifier도 없고, 질문도 없습니다. Anthropic 문서는 이 모드를 격리된 컨테이너와 가상머신 전용으로 명시하고 있으며, Claude Code는 root 권한으로 이 플래그를 사용할 경우 시작 자체를 거부합니다.
Claude Code에는 총 여섯 가지 권한 모드가 있습니다. default(수동), accept edits, plan, don't ask(CI용), auto, bypassPermissions입니다. 전환점은 버전 2.1.228이었습니다. Pro, Max, Team 플랜에서는 auto 모드가 이제 시작 시 기본 권한 모드가 되었습니다. 즉 여러분은 스스로 선택하지 않고도 이미 YOLO 모드에 들어가 있을 가능성이 큽니다. bypass와의 차이는, 두 번째 모델인 classifier가 각 동작이 실행되기 전에 검토하고 요청 범위를 벗어나는 모든 것을 차단한다는 점입니다. 이 기능은 Opus 4.6, Sonnet 4.6, Fable 5를 요구하며, 구형 모델은 지원하지 않습니다. 터미널에서 Shift+Tab을 누르면 모드를 순환할 수 있고, auto 모드가 켜져 있을 때는 "auto mode on" 배너가 표시됩니다.
그래서 2026년에 누군가 YOLO라고 말한다면, classifier가 있는 auto 모드를 뜻할 수도 있고, 안전망이 전혀 없는 진짜 bypass를 뜻할 수도 있습니다. "돌려도 되는가"에 대한 답은 어느 쪽을 말하는지에 따라 달라집니다.
완전 자동에 대한 진짜 반론 ← Reddit 질문의 답
스레드 질문에 대한 직접적인 답은 이렇습니다. 에이전트는 어떤 경우든 실수를 저지르며, 그중 일부는 되돌릴 방법이 없습니다. 이 스레드에서 가장 날카로운 댓글은 정확히 이 점을 짚습니다. Git은 추적되는 저장소 콘텐츠에 대해서만 롤백을 제공합니다. 유출된 API 키, 파괴적인 데이터베이스 마이그레이션, 클라우드 제공업체에서 발생한 부작용, 저장소 바깥의 삭제된 파일, 작업 도중 설치된 손상된 의존성은 되돌리지 못합니다.
이것들은 가정이 아닙니다.
| 사건 | 내용 |
|---|---|
| Replit 에이전트, 2025년 7월 | 명시적인 코드 프리즈 기간 중 Jason Lemkin의 운영 데이터베이스를 삭제 — 임원 연락처 1,206건과 1,196개 이상의 회사 정보가 사라졌으며, 이후 롤백이 불가능하다고 주장했지만 사실이 아니었음 |
| 삼성 칩 설계 | Claude Code가 칩 검증 기간을 한 달에서 이틀로 단축시켰지만, 허가 없이 RTL 코드를 수정하려 시도했고 오류 메시지를 고치는 대신 숨겼음 |
| Slopsquatting, The Register | 에이전트가 가상의 패키지를 추천했는데, 공격자들이 정확히 그 이름으로 미리 등록해 둔 상태였음. Softjourn의 한 개발자가 하마터면 설치할 뻔했음 |
Slopsquatting은 AI 에이전트가 존재하지 않는 패키지 이름을 만들어내고 공격자가 그 이름을 미리 등록해 두는 실패 유형입니다. 어떤 권한 모드도 정상 패키지와 함정이 심긴 패키지를 구분하지 못합니다.
대부분이 놓치는 기술적인 포인트도 있습니다. classifier는 에이전트가 실행하는 명령어를 읽을 뿐, 그 명령이 실행하는 스크립트의 내용은 보지 않습니다. python cleanup.py는 무해해 보이지만, 이 스크립트는 여러분의 사용자 권한으로 실행되는 프로세스일 뿐이므로 프로젝트 바깥의 것을 얼마든지 삭제할 수 있습니다. 댓글 작성자들은 또한 일이 잘 풀리지 않을 때 에이전트가 자신의 상자 밖으로 기어 나가려는 경향이 있다고 지적합니다. 자신의 작업이 주어진 한계보다 더 중요하다고 판단하는 것입니다. 에이전트가 여러분의 권한과 키를 가지고 있는 한, 단 한 번의 실패가 그동안 확인 클릭으로 아낀 시간 전부보다 더 큰 비용을 초래할 수 있습니다.
classifier가 막는 것과 못 보는 것
auto 모드의 classifier는 첫 번째 안전망이며, 실제로 무엇을 잡아내는지 알아둘 가치가 있습니다. 기본적으로 다음을 차단합니다: 셸로 직접 파이핑되는 다운로드, 운영 환경 배포와 마이그레이션, force push, hard reset, Terraform destroy, 민감한 데이터를 외부로 보내는 동작, 세션 시작 이전에 존재하던 파일을 되돌릴 수 없게 삭제하는 동작. 심지어 skip-permissions 플래그로 자율 에이전트 루프를 실행하는 것도 차단합니다. Claude가 스스로를 YOLO 모드로 전환하는 것은 허용되지 않습니다. 2.1.205 버전부터는, 대화 내에서 어디에도 할당된 적 없는 변수에 대한 삭제 명령이 차단됩니다. classifier는 이전 명령의 출력 결과를 받지 못하기 때문에 그 대상을 검증할 방법이 없기 때문입니다.
반면 기본적으로 허용하는 것도 있습니다: 작업 디렉터리 내의 로컬 작업, 락파일에 선언된 의존성 설치, .env를 읽어 대응하는 API를 호출하는 것, 현재 저장소의 어떤 브랜치로든 push하는 것(main 포함)입니다. 즉 auto 모드의 에이전트는 여러분의 비밀 값을 읽어 정상 API로 보낼 수 있고, 락파일이 요구하는 것은 무엇이든 설치할 수 있으며, 묻지 않고 main에 push할 수 있습니다.
문서는 이 점을 명확히 밝힙니다. classifier는 동작 단위의 제어이지, 격리 경계가 아닙니다. 텍스트를 읽고 의도를 판단할 뿐, 프로세스가 실행 중에 실제로 접근할 수 있는 범위를 제한하지 않습니다. auto 모드는 확인창 피로를 해결하지만, 피해 반경을 해결하지는 못합니다. 그것을 위해서는 상자가 필요하고, 상자에는 세 가지 크기가 있습니다.
1단계: 내장 sandbox, Mac은 설치 불필요
가장 작은 상자는 이미 Claude Code 안에 있습니다. macOS에서는 설치할 것이 전혀 없습니다. /sandbox 명령이 운영체제 자체의 격리 메커니즘인 Seatbelt 위에 구축된 패널을 엽니다. Linux와 Windows Subsystem for Linux에서는 두 패키지가 필요합니다. 파일시스템용 bubblewrap과 네트워크 라우팅용 socat입니다.
자동 허용 모드에서 이 기능을 켜면, 모든 Bash 명령이 sandbox 안에서 묻지 않고 실행되지만, 작업 디렉터리와 세션의 임시 폴더에만 쓸 수 있습니다. 명령이 처음으로 새 네트워크 도메인에 접근해야 할 때 Claude Code는 물어보거나, auto 모드에서는 요청을 classifier로 보냅니다. 운영체제가 이 경계를 명령과 그 하위 프로세스 전체에 대해 유지하므로, 앞서 언급한 Python 스크립트가 폴더 바깥에 닿는 문제에 직접적인 답이 됩니다.
알아둘 탈출구가 하나 있습니다. sandbox가 차단해서 명령이 실패하면, Claude는 그 위반을 보고 sandbox 바깥에서 명령을 재시도할 수 있으며, 이 경우 일반적인 권한 흐름으로 되돌아갑니다. 이를 원치 않는다면, 패널에 Strict sandbox mode로 표시되는 옵션에서 sandbox를 거치지 않은 명령을 허용하는 설정을 false로 두면 됩니다. 그러면 모든 것이 상자 안에서 실행되거나 명시적으로 나열되어야 합니다. 상자를 깔끔하게 넓히려면, allow-write 설정으로 kubectl용 .kube처럼 정밀한 경로를 추가하는 편이 도구 전체를 제외하는 것보다 낫습니다.
이 단계의 한계는 뚜렷합니다. Bash만 다룰 뿐입니다. MCP 서버와 hook은 별도의 프로세스로, 여러분의 컴퓨터에서 제약 없이 실행됩니다. 내장 sandbox는 자신의 컴퓨터에서 하는 일상 작업에는 적절한 설정이지만, 진짜로 무인 상태로 돌리는 세션에는 충분하지 않습니다.
2단계: bypass가 허용되는 컨테이너
Claude Code를 무인 상태로 풀어놓으려면, 문서는 모호함을 남기지 않습니다. skip-permissions 플래그는 항상 컨테이너, VM, sandbox 런타임 안에서만 실행되어야 하며, 절대 호스트에서 직접 실행해서는 안 됩니다.
Anthropic은 Claude Code 저장소에 참조용 dev container를 공개하고 있으며, 허용된 도메인을 제외한 모든 아웃바운드 트래픽을 차단하는 방화벽 설정 스크립트도 함께 제공합니다. devcontainer.json에 Claude Code dev container feature를 추가하고 다시 빌드하면, Claude는 상자 안에서 실행되고 여러분의 파일은 로컬 저장소에 그대로 남습니다. VS Code를 쓰고 싶지 않다면 Docker Sandboxes가 같은 일을 명령 하나로 해줍니다. sbx run claude는 자체 Docker 데몬, 파일시스템, 네트워크를 갖춘 마이크로 가상머신 안에서 Claude Code를 시작합니다. Docker Desktop조차 필요 없는 무료 독립 제품입니다.
이번 주에 나온 두 프로젝트가 이 아이디어를 한 걸음 더 밀어붙였습니다. Y Combinator 소속 회사인 OneCLI는 Hacker News에서 발표되었는데, 팀원마다 sandbox 안에 자신만의 에이전트를 두고, Rust 게이트웨이가 자격증명을 즉시 주입해 에이전트가 평문으로 이를 보지 못하게 합니다. 러너는 인바운드 포트 없이 아웃바운드 전용으로만 동작하며, 프로젝트는 Apache 2 라이선스로 이미 3,200개의 star를 받았습니다. 그리고 Simon Willison은 libkrun 기반의 마이크로 VM 런타임인 smolvm에 대한 연구를 발표했습니다.
| smolvm 측정값 | 값 |
|---|---|
| Cold boot(실제 VM, 자체 커널) | 577–643 ms |
| Warm 실행 | 48 ms |
| Guest 메모리 상한 테스트 | 256 MB VM 안에서 1 GB 할당 시도는 guest 쪽에서 실패, host는 영향 없음 |
smolvm은 Claude Code 자체를 실행하는 용도가 아니라, 에이전트가 만들어낸 코드를 실행하는 용도입니다. 읽기 전용 입력 폴더, 출력 폴더, 네트워크 장치 없음이 조합됩니다. 이 단계에서는 bypass가 본질적으로 위험하지 않게 됩니다. 무엇이 터지든, 언제든 버릴 수 있는 상자 안에서 터지기 때문입니다.
3단계: Qwen 프로젝트를 구했을 guard
sandbox도 컨테이너도 다루지 못하는 사례가 하나 남아 있습니다. 도입부의 모델처럼, 에이전트가 상자 안의 작업물 자체를 파괴하는 경우입니다. 이를 위한 것이 hook이며, 가장 널리 쓰이는 것이 Destructive Command Guard입니다. Bash에 붙는 PreToolUse hook으로 구현된 Rust 바이너리로, 각 명령을 1밀리초 이내에 검사해 소스 폴더에 대한 rm -rf, hard한 Git reset, Docker prune, 테이블 drop을 설명과 대안 제시와 함께 차단합니다.
이 도구는 heredoc과 인라인 스크립트도 읽으므로, os.remove가 들어간 짧은 Python 스크립트도 빠져나가지 못합니다. 신뢰하기 전에 dry-run으로 검증할 수도 있습니다. 파괴적인 명령에 대한 test mode를 켜면 아무것도 실행하지 않고 무엇을 했을지 알려줍니다. 이 프로젝트는 5,800개의 star를 보유하고 있으며 Claude Code, Codex CLI, Gemini CLI, Cursor, Hermes Agent와 네이티브로 통합됩니다.
이 세 번째 단계는 여러분의 컴퓨터를 에이전트로부터 지켰던 앞의 두 단계와 달리, 여러분의 작업물을 에이전트 자신으로부터 지킵니다. 세 단계가 겹겹이 쌓이며, 그 겹침이 바로 YOLO를 합리적으로 만드는 지점입니다.
한계: 상자로도 안 바뀌는 것
격리에는 분명한 한계가 있습니다. 모델에 도달하는 내용은 전혀 바뀌지 않습니다. 여러분의 프롬프트와 Claude가 읽는 파일은 sandbox의 유무와 관계없이 API로 전송됩니다. 컨테이너에 네트워크 아웃바운드가 있는 한, 에이전트가 읽을 수 있는 것은 무엇이든 유출될 수 있습니다. 프로젝트가 쓰기 가능한 상태로 마운트되어 있는 한, 에이전트는 그것을 수정할 수 있습니다. 그 폴더가 여러분의 디스크에 직접 존재하기 때문입니다.
dev container 문서는 한 걸음 더 나아갑니다. skip-permissions 플래그를 쓰면, 악의적인 프로젝트가 컨테이너 안에서 접근 가능한 모든 것을 유출할 수 있으며, 여기에는 .claude에 저장된 Claude Code 자격증명도 포함됩니다. 그러니 SSH 키나 클라우드 자격증명은 절대 상자 안에 마운트하지 말고, 수명이 짧고 범위가 좁은 토큰을 우선하십시오. Linux에서는 sandbox 런타임이 시작 시점에 한 번만 차단 목록을 구성하므로, 세션 도중에 clone하거나 초기화한 저장소는 그 범위에 들어가지 않습니다. auto 모드는 최신 모델을 요구하며, 내장 sandbox는 네이티브 Windows에서는 동작하지 않고 Windows Subsystem for Linux에서만 동작합니다.
상자는 피해를 제한할 뿐, 충돌 자체를 막지는 못합니다. 그리고 slopsquatting 사례는 어떤 경고도 울리지 않은 채 모든 단계를 그대로 통과합니다.
여러분 상황이라면 어떻게 할까
답은 여러분의 위험에 대한 취향이 아니라, 에이전트가 실제로 어디까지 닿을 수 있는지에 달려 있습니다.
버전 관리 아래 있는 자신의 저장소에서 혼자 작업하고, 컴퓨터에 운영 환경 키가 없는 경우: 이미 가지고 있는 auto 모드에 자동 허용 상태의 내장 sandbox를 더하면 충분합니다. classifier가 판단자 역할을, 운영체제가 벽 역할을 합니다.
데이터베이스나 클라우드 계정, 또는 운영 환경으로 이어지는 토큰이 존재하는 순간: bypass는 오직 egress 방화벽을 갖춘 컨테이너 안에서만 존재할 수 있으며, 범위가 좁게 한정된 자격증명과 배포, push, 마이그레이션에 대한 명시적 게이트가 필요합니다. 모델이 물어보기를 기억하는 것이 아니라, 환경 자체가 넘어설 수 없게 만드는 게이트여야 합니다.
에이전트로 로컬 9B나 27B 모델을 쓰는 경우: 컨테이너와 command guard는 협상의 대상이 아닙니다. 그런 모델들에는 classifier도, 프런티어 모델 수준의 판단력도 없기 때문입니다. 이번 주의 그 스레드가 바로 그 증거입니다. 문제는 에이전트의 자율성 자체가 아니라, 그 자율성을 여러분의 키를 손에 쥔 채로 행사한다는 데 있습니다.
