"ok" 한 마디에 $0.07 — AI 코딩 도구 비용은 어디서 새는가

이미지
“ok” 한 마디에 $0.07 — AI 코딩 도구 비용은 어디서 새는가 AI 코딩 도구 비용은 월 구독료로 끝나는 것처럼 보인다. 화면에 금액이 안 뜨니 그렇게 읽힌다. 헤드리스 모드로 실험을 하나 했다. 모델에게 “ok” 한 마디만 시켰다. 청구된 금액은 $0.0697 이었다. 실제로 주고받은 토큰은 123개다. 나머지 51,386개는 지시한 적이 없다. 단 이 비율은 가장 나쁜 경우에 가깝다는 점을 미리 적어둔다. 결론부터 적는다. 비용은 대화가 아니라 함께 실려 가는 컨텍스트에 몰려 있고, 그 값은 대부분 기록되지 않는다. 같은 도구인데 실행 방식에 따라 금액이 보이기도 하고 아예 안 남기도 했다. 5월에 발행한 글에서는 이 수집기를 “비용 0원”이라고 적었다. 그때 이미 유료 API가 하루 두 번 돌고 있었다. 청구서를 열어보게 만든 것 한도 경고를 90%에서 처음 본 적이 있다. 어떤 작업이 비쌌는지 되짚지 못한 적도 있다. 매일 도는 자동화의 회당 비용을 모른 채 몇 달을 굴린 적도 있다. 밖에서도 같은 얘기가 올라온다. Hacker News에 “Cursor removed cost information from the usage page and CSV export”라는 글이 걸렸다. 8월 2일 작성이고, 조회 시점 기준 336점에 댓글 154개다. 스레드 본문은 안 읽었으니 제거 의도는 모른다. 같은 날 수집된 제목 중에는 이런 것도 있었다. “I don’t trust agent tools when I can’t understand what the work costs”. 제목만 봤다. 그래서 남의 도구 말고 직접 굴리는 것부터 쟀다. “ok” 한 마디의 내역 정기권을 끊는 상황을 떠올려보자. 처음에 목돈이 나가고, 많이 탈수록 한 번당 값이 내려간다. 캐시 요금이 그 모양이다. 이번 실측은 끊자마자 한 번만 타고 만 경우였다. 명령은 단순하다. claude -p "Reply with exactly: ok"...

rm -rf는 안 물어보고 .env는 물어본다 — Claude Code 훅 실측

rm -rf는 안 물어보고 .env는 물어본다 — Claude Code 훅 실측 두 달 전에 Claude Code 훅을 전수 점검했다. 보안 훅 하나가 필드명 오타 때문에 한 번도 안 돌고 있었다. 고쳤고, 그 과정을 글로 적었다. 8월 2일에 같은 설정을 다시 쟀다. 이번엔 성격이 다른 게 나왔다. 세 줄 요약. 6월 감사가 잡은 건 “선언은 됐는데 작동은 안 한다”였다. 이번에 나온 건 “작동은 하는데 그 범주를 안 본다”다. 파괴적 명령을 검사하는 훅은 원격 세션 전용이라 로컬에서는 네 번째 줄에 빠져나가고, 같은 자리의 시크릿 훅은 로컬에서도 확인을 요구한다. 남은 방어선인 permissions.deny 46개는 무해한 명령으로 세 건을 시험했는데, 목록이 실제로 잡은 건 한 건이었다. 여기서 하네스는 모델을 감싸는 설정·훅·권한 묶음을 뜻한다. 설정 파일에 훅을 등록해두고 그 뒤로 다시 안 열어본 적이 있다. 위험해 보이는 명령을 넘기면서 “이건 어딘가 걸리겠지”라고 넘어간 적이 있다. 에이전트가 서버를 날렸다는 글을 보고 잠깐 내 쪽을 생각하다 그냥 닫았다. 다시 재보게 만든 것 8월 2일 수집 데이터에 r/ClaudeAI 글이 올라왔다. 제목은 “Fable 5 ultracode deleted 2.2M files on my server”였다. 같은 날 한국어권에도 Claude 보안 사고를 다룬 글이 세 건 잡혔다. 같은 커뮤니티에 반대편 스레드도 같이 있었다. “Genuine question for the ‘Claude deleted my server’ crowd: What are you actually asking it to do?” 사용자가 뭘 시켰는지부터 보자는 주장이다. 수집된 건 제목뿐이고 본문·삭제 규모·원인은 확인하지 않았다. 사건의 진위도 책임 소재도 판단할 자료가 없다. 그걸 보...