2026년 7월 8일부터 17일까지의 10일 동안, Claude Code는 v2.1.205에서 v2.1.212까지 8개의 버전을 출시했다. v2.1.212는 일본 시간으로 오늘인 2026년 7월 17일 09:26(UTC 00:26)에 막 출시되었다.

개별 항목들은 사소한 버그 수정처럼 보인다. 하지만 나열해서 읽어보면 하나의 방침이 명확하게 떠오른다. Anthropic은 신뢰 경계(trust boundary)를 '세션의 안쪽인가 바깥쪽인가'에서 '인간이 내놓은 것인가, 그 외인가'로 재설정하고 있다.

그리고 '그 외'에는 모델 자신의 출력도, 리포지토리에 커밋된 파일도 포함된다. 본 기사는 공식 체인지로그(changelog)의 원문을 근거로, 이 10일간의 변경 사항을 4가지 유형으로 정리한다.

본 기사의 인용은 모두 anthropics/claude-code의 공식 CHANGELOG.md 원문에서의 직접 인용이다. 버전의 출시 일시는 GitHub Releases API의 published_at (UTC)에 기반한다.

오늘 출시된 v2.1.212의 신기능부터 살펴보는 것이 이해하기 쉽다. 3가지 상한(limit)이 추가되었다.

- Added a session-wide limit on WebSearch tool calls (default 200, tunable via CLAUDE_CODE_MAX_WEB_SEARCHES_PER_SESSION) to stop runaway search loops
- Added a per-session cap on subagent spawns (default 200, override with ...

주목해야 할 점은 '왜 지금까지 없었는가'가 아니라, 상한값이 세션 단위이며, 게다가 환경 변수로만 조절할 수 있다는 설계 방식이다. 서브 에이전트(subagent) 생성 상한은 기본 200이며, 리셋되는 것은 /clear를 입력했을 때뿐이다. 즉, 모델은 자신의 재량으로 이 예산을 늘릴 수 없다.

'runaway delegation loops'라는 표현이 공식 체인지로그에 실린 것 자체가 시사하는 바가 크다. 서브 에이전트가 서브 에이전트를 낳는 재귀(recursion)는 실제로 운용 중에 발생하고 있다.

여기서부터가 본론이다. 이 10일 동안 가장 일관되었던 것은, 모델 유래의 텍스트가 인간의 입력으로 취급되어 버리는 경로를 차단하는 작업이었다.

v2.1.205 (7월 8일):

- Background task notifications now explicitly state that no human input has occurred, preventing fabricated in-transcript approvals from being acted on
- Added an auto mode rule that blocks tampering with session transcript files

'fabricated in-transcript approvals', 즉 트랜스크립트(transcript) 내에 날조된 승인이다. 백그라운드 태스크의 완료 통지가 트랜스크립트에 삽입되었을 때, 그것이 인간의 발화와 구별되지 않는다면 모델은 '사용자가 승인했다'라는 문자열을 스스로 작성하여 그것을 근거로 다음 행동을 정당화할 수 있게 된다. 수정 사항은 '인간의 입력은 발생하지 않았다'라고 통지 자체에 명시하게 하는 것이었다.

같은 릴리스에서 트랜스크립트 파일에 대한 변조를 auto mode가 차단하도록 되어 있다. 승인의 기록이 수정 가능하다면, 승인 기록은 의미가 없다.

v2.1.210 (7월 14일)은 더욱 직접적이다.

- Fixed the `ultracode` keyword opt-in firing on non-human-originated input such as webhook payloads and relayed PR comments

ultracode는 대량의 에이전트를 기동하여 토큰을 소비하는 강력한 옵트인(opt-in) 키워드다. 이것이 webhook의 페이로드(payload)나 전달된 PR 코멘트에 포함되어 있는 것만으로도 발화(firing)되고 있었다. 외부의 누군가가 PR 코멘트에 한 마디 적는 것만으로, 타인의 세션에서 과금을 동반하는 멀티 에이전트 실행을 기동할 수 있었다는 뜻이다.

그리고 v2.1.211 (7월 15일)의 한 줄은, Trojan Source 공격 그 자체다.

• 채팅 채널로 전달되는 권한 미리보기(permission previews)가 양방향 오버라이드(bidirectional-override), 제로 너비(zero-width), 유사 인용 부호(look-alike quote) 문자를 중화하지 못하여, 도구 입력값이 승인 메시지의 시각적 형태를 변경할 수 있었던 문제 수정

채팅을 통해 승인을 요청할 때, 승인 다이얼로그에 표시되는 내용은 도구의 입력값 그 자체다. 여기에 Unicode의 양방향 오버라이드(bidirectional-override) 문자나 제로 너비(zero-width) 문자, 혹은 매우 유사한 인용 부호를 섞으면, 승인 화면의 외관을 실제 실행 내용과 다르게 만들 수 있다. 인간은 '안전해 보이는 명령'을 읽고 승인하지만, 실제로 실행되는 것은 전혀 다른 명령인 구도가 형성된다.

4가지 수정 사항은 모두 동일한 질문에 답하고 있다. 이 승인은 정말로 인간이 내린 것인가?

권한 게이트(permission gate)의 설계 원칙은 fail-closed, 즉 고장 나면 멈추는 것이다. 지난 10일간의 수정 사항은 몇몇 게이트가 오히려 열려 있었다는 사실을 보여준다.

오늘의 v2.1.212:

- 권한 프롬프트나 SDK의 `canUseTool` 콜백 없이 파일 수정 Bash 명령(예: `touch`, `rm`)이 플랜 모드(plan mode)에서 자동 실행되던 문제 수정
- 도구가 실패하거나 ... 할 때 `continue:false` 훅(hook)의 중단 명령이 무시되던 문제 수정

전자는 심각하다. 플랜 모드는 파일을 수정하지 않는 것이 핵심인 모드이며, 사람들은 그 전제를 바탕으로 안심하고 긴 계획을 실행시킨다. 그런데 그곳에서 touch나 rm이 권한 프롬프트 없이 통과되고 있었다. SDK의 canUseTool 콜백조차 호출되지 않았다.

후자는 훅(hook)의 중단 지시가 묵살되는 문제다. continue:false는 훅이

방향성이 명확하다. 리포지토리(repository)에 놓인 설정 파일이 권한과 관련된 결정에서 제외되었다. auto mode의 활성화는 사용자 스코프(user scope) 설정으로만 가능하게 되었으며, 플러그인 옵션 값도 프로젝트 설정에서는 읽히지 않게 되었다.

이유는 단순하다. git clone한 리포지토리의 .claude/settings.json은 타인이 작성한 텍스트다. 만약 그것이 자동 실행 모드를 활성화할 수 있다면, 리포지토리를 clone 하는 것만으로 상대방의 에이전트(agent)를 자동 실행 상태로 만들 수 있다.

동일한 발상이 심볼릭 링크(symbolic link)를 통한 경로에도 적용되었다. v2.1.212:

- Fixed worktree creation following a repository-committed symlink at
`.claude/worktrees`, which could create files outside the repository

리포지토리에 커밋된 심볼릭 링크가 .claude/worktrees에 놓여 있으면, worktree 생성이 이를 따라가서 리포지토리 외부에 파일을 만들 수 있었다. 악의적인 리포지토리에 심어둘 수 있는 파일 쓰기 경로인 것이다. v2.1.210의 "late-appearing .claude/* symlinks not being reconciled into the sandbox deny-write list"도, v2.1.205의 Windows에서 NTFS 정션(junction)을 통한 worktree 외 파일 삭제 문제도 근본적인 원인은 같다.

나아가 v2.1.207에는 동의 자체가 조작되었다는 한 줄이 있다.

- Fixed remote managed settings from a non-interactive run (`claude -p`, the
SDK) being permanently recorded as consented without ever showing the
security consent dialog

비대화형 실행(non-interactive run)에서는 동의 다이얼로그를 띄울 방법이 없다. 거기서 무슨 일이 일어나고 있었냐면, 다이얼로그를 한 번도 보여주지 않은 채 '동의 완료'로 영구적으로 기록되고 있었다. 이후의 대화 세션에서도 그 동의는 기성 사실로서 효력을 발휘한다.

v2.1.210의 한 줄.

- Fixed `isolation: 'worktree'` subagents being able to run git-mutating
commands against the main repo checkout instead of their own isolated worktree

isolation: 'worktree'는 여러 서브 에이전트(subagent)가 병렬로 파일을 변경할 때 경합을 방지하기 위한 기능이다. 각각이 전용 worktree를 갖는다는 것이 약속이다. 그 약속 하에서 서브 에이전트가 메인 리포지토리 체크아웃(main repo checkout)에 대해 git 변경 명령을 실행할 수 있었다. 격리를 명시적으로 지정했을 때만 사용하는 기능이기에, 이를 믿고 병렬 실행을 했던 사람일수록 영향이 크다.

같은 릴리스에는 간결하지만 영향 범위가 넓은 한 줄도 있다.

- Hardened the Agent tool against indirect prompt injection via content a
subagent read

서브 에이전트가 읽은 내용을 경유한 간접 프롬프트 인젝션(indirect prompt injection)에 대한 대책이다. 서브 에이전트의 반환값은 부모의 컨텍스트(context)로 들어간다. 서브 에이전트가 오염된 파일을 읽으면 그 오염은 부모에게 승격된다. 멀티 에이전트 구성에서는 신뢰할 수 없는 데이터를 읽는 역할이 그대로 신뢰받는 보고자가 된다는 구조적인 문제가 있다.

v2.1.206(7월 10일)의 EnterWorktree가 프로젝트의 .claude/worktrees/ 외부의 worktree에 들어가기 전에 확인을 요청하게 된 것도 같은 맥락에 있다.

체인지로그(changelog)를 읽고 내린 결론으로서, 구체적으로 해야 할 일은 세 가지가 있다.

1. auto mode 설정을 사용자 스코프로 옮긴다. v2.1.207 이후, .claude/settings.local.json의 autoMode

는 읽히지 않는다. 리포지토리(Repository) 측에 그대로 둔다면, 현재 조용히 적용되지 않고 있을 가능성이 있다. ~/.claude/settings.json으로 옮긴다.

2. 폭주 상한선을 업무에 맞춰 낮춘다. 기본값인 200은 많은 팀에게 너무 느슨하다.

export CLAUDE_CODE_MAX_SUBAGENTS_PER_SESSION=30
export CLAUDE_CODE_MAX_WEB_SEARCHES_PER_SESSION=50

3. /doctor를 한 번 실행한다. v2.1.205에서 /doctor는 읽기 전용 리포트에서, 진단 및 수정까지 제안하는 완전한 셋업 점검(Setup Inspection) 도구로 변경되었다 (/checkup이 에일리어스(Alias)). 사용되지 않는 스킬(Skill), MCP 서버, 플러그인을 컨텍스트 비용(Context Cost)과 대비하여 분류하고, 로컬의 CLAUDE.md와 체크인(Check-in)된 항목 간의 중복을 제거하며, 느린 훅(Hook)을 지적한다. 변경 전에 반드시 확인을 요청하도록 설계되어 있다. isolation: 'worktree'를 사용한 병렬 서브 에이전트(Sub-agent) 실행을 v2.1.210 이전 버전에서 운용했다면, 서브 에이전트가 메인 체크아웃(Main Checkout)에 대해 git 변경을 수행할 수 있었던 기간이 존재한다. 해당 기간의 커밋(Commit) 이력에 예상치 못한 변경 사항이 섞여 있지 않은지 확인하는 것이 좋다.

에이전트 제품의 보안 논의는 지금까지 "샌드박스(Sandbox)를 탈출할 수 있는가"에 너무 치우쳐 있었다. 하지만 지난 10일간의 수정 사항이 보여주는 것은 그보다 훨씬 앞선 문제다.

에이전트 시스템의 진짜 약점은 권한 그 자체가 아니라, 권한을 작동시키기 위한 "신호(Signal)"의 출처가 검증되지 않았다는 점에 있다. 승인한 것은 누구인가. 이 설정을 작성한 것은 누구인가. 이 정지 지시를 삭제한 것은 누구인가. 이 ultracode를 입력한 것은 인간인가, 아니면 PR 코멘트에 섞여 들어온 문자열인가.

Anthropic이 하고 있는 것은 이 모든 것에 출처 라벨을 다시 붙이는 작업이다. 모델의 출력은 인간이 아니다. 리포지토리의 파일은 인간이 아니다. 웹훅(Webhook)의 페이로드(Payload)는 인간이 아니다. 그리고 인간이 아닌 것은 인간만이 내릴 수 있는 결정을 내릴 수 없다.

직접 에이전트를 구축하고 있는 사람에게 있어, 지난 10일간의 체인지로그(Changelog)는 사실상의 설계 체크리스트로 읽힐 수 있다. 당신의 시스템에서 모델이 작성한 문자열이 승인으로서 통과되는 경로가 있는가? 클론(Clone)해 온 리포지토리의 설정이 자동 실행을 활성화할 수 있는가? 훅(Hook)이 "멈춰"라고 말했을 때 확실히 멈추는가?

이것은 Claude Code만의 문제가 아니다. 다만 Claude Code는 이를 공개된 체인지로그를 통해 한 줄씩 해결해 나가고 있을 뿐이다.

anthropics/claude-code CHANGELOG.md (v2.1.205~v2.1.212 원문)

Claude Code Releases (각 버전의 출시 일시)

Week 28 · July 6–10, 2026 (공식 다이제스트, /doctor 및 In-app browser)

Claude Code Settings (settings.json의 스코프와 우선순위)

Claude Code Hooks Reference (PreToolUse의 ask / continue:false 동작)