매일 기록한 AI 기록

rm -rf는 안 물어보고 .env는 물어본다 — Claude Code 훅 실측 두 달 전에 Claude Code 훅을 전수 점검했다. 보안 훅 하나가 필드명 오타 때문에 한 번도 안 돌고 있었다. 고쳤고, 그 과정을 글로 적었다. 8월 2일에 같은 설정을 다시 쟀다. 이번엔 성격이 다른 게 나왔다. 세 줄 요약. 6월 감사가 잡은 건 “선언은 됐는데 작동은 안 한다”였다. 이번에 나온 건 “작동은 하는데 그 범주를 안 본다”다. 파괴적 명령을 검사하는 훅은 원격 세션 전용이라 로컬에서는 네 번째 줄에 빠져나가고, 같은 자리의 시크릿 훅은 로컬에서도 확인을 요구한다. 남은 방어선인 permissions.deny 46개는 무해한 명령으로 세 건을 시험했는데, 목록이 실제로 잡은 건 한 건이었다. 여기서 하네스는 모델을 감싸는 설정·훅·권한 묶음을 뜻한다. 설정 파일에 훅을 등록해두고 그 뒤로 다시 안 열어본 적이 있다. 위험해 보이는 명령을 넘기면서 “이건 어딘가 걸리겠지”라고 넘어간 적이 있다. 에이전트가 서버를 날렸다는 글을 보고 잠깐 내 쪽을 생각하다 그냥 닫았다. 다시 재보게 만든 것 8월 2일 수집 데이터에 r/ClaudeAI 글이 올라왔다. 제목은 “Fable 5 ultracode deleted 2.2M files on my server”였다. 같은 날 한국어권에도 Claude 보안 사고를 다룬 글이 세 건 잡혔다. 같은 커뮤니티에 반대편 스레드도 같이 있었다. “Genuine question for the ‘Claude deleted my server’ crowd: What are you actually asking it to do?” 사용자가 뭘 시켰는지부터 보자는 주장이다. 수집된 건 제목뿐이고 본문·삭제 규모·원인은 확인하지 않았다. 사건의 진위도 책임 소재도 판단할 자료가 없다. 그걸 보고 설정 파일을 열었다. 확인한 건 그게 전부다. 로컬을 보는 훅과 안 보는 훅 ~/.claude/settings.json ...