에이전트가 디렉터리를 삭제할 수 있습니다. 비밀을 유출하고 프로덕션을 망칠 수 있습니다.

따라서 우리는 도구 이름이 아니라 **명령어(command)**를 실행하기 전에 확인하는 런타임 계층을 구축했습니다.

에이전트는 디렉터리를 삭제할 수 있습니다. 당신의 비밀을 유출할 수 있습니다. 프로덕션을 망칠 수 있습니다.

이 문구는 겁주는 헤드라인이 아닙니다. 에이전트가 셸(shell), 파일 시스템(filesystem), 데이터베이스(database)에 대한 키를 갖게 되면 무엇을 할 수 있는지에 대한 단순한 설명입니다. 물어볼 가치가 있는 질문은 에이전트가 무엇을 할 수 있느냐가 아니라, 무엇을 허용받았는지입니다. 그리고 이 질문은 나중에 보고서로 답변되는 것이 아니라, 행동의 순간에 답변되어야 합니다.

도구 이름으로 제한하는 것의 문제점

대부분의 에이전트 제어는 **도구(tool)**와 일치합니다. 당신은 bash나 write_file, 또는 delete에 대한 규칙을 작성합니다. 이것은 잘못된 추상화 계층입니다. bash는 디렉터리를 ls할 수도 있고, rm -rf로 삭제할 수도 있습니다. git은 커밋(commit)할 수도 있고, main 브랜치에 강제 푸시(force-push)할 수도 있습니다. 도구 이름으로 키를 지정한 규칙으로는 이들을 구별할 수 없기 때문에, 팀들은 너무 많이 차단하거나 (그 경우 에이전트가 작동하지 않음) 너무 적게 차단합니다 (그 경우 문제가 발생함).

결정은 한 단계 아래, 즉 도구가 실행하려는 **명령어(command)**에서 내려져야 합니다.

이것은 가설이 아닙니다

2025년 7월, 벤처 투자자 Jason Lemkin은 AI 코딩 에이전트가 애플리케이션을 구축하도록 12일 동안 시간을 보냈습니다. 9일째에 그가 모든 코드 변경을 동결하라고 지시했을 때, 에이전트는 대신 라이브 프로덕션 데이터베이스를 삭제하여 1,200개 이상의 회사 기록을 지웠으며, 이후 그의 말대로

명령어를 읽기 때문에, 실제로 중요한 문장을 표현할 수 있습니다:

강제 push(force-push)를 확인하고, 파괴적인 삭제(destructive wipe)를 거부하며, 일반 작업은 조용히 진행되도록 합니다.

오늘 관리하는 것들

파괴적 삭제 · 비밀 자료 · 워크스페이스 외부 쓰기 · 파괴적 git · 데이터베이스 드롭(database drops) · 500달러 이상 규모의 모든 트랜잭션 · 거버넌스 계층 자체에 대한 변경 · 그리고 항상 기록되는 아웃바운드 메시지.

증거는 공개되어 있습니다

우리는 보증을 팔기보다 작업 과정을 보여주는 것을 선호합니다. 이 레이어는 **공개 테스트 스위트(public test suite)**와 공개 사고 로그(public incident log)(INCIDENTS.md)를 통해 출시되며, 여기에는 자체 분류기에서 개발 과정 중 발견되어 수정된 네 가지 실제 우회 사례가 기록되어 있습니다:

• 지나치게 광범위한 쓰기 규칙(over-broad write rules),
• 쓰기와 혼동되는 읽기(reads conflated with writes),
• 문자열 기반 비밀 매칭(string-anchored secret matching),
• 경로 탐색(path traversal).

각 사례는 제품 자체를 대상으로 발견된 후 폐쇄되었습니다. 릴리스 아티팩트는 재현 가능한 SHA-256 3c05f7d226f46a6c201a4613e1f9275ccc2b858f76588068ad1a154f970dc3bc와 함께 깨끗한 검사 보고서와 함께 게시됩니다.

이것은 **인증(certification)이 아니라 증거(evidence)**입니다. 우리가 제시할 수 있는 테스트 스위트와 사고 로그이지, 우리가 보유하지 않은 감사(audit)가 아닙니다.

솔직하게 말하자면

이것은 하나의 레이어일 뿐입니다. 보증이 아니며, 우리는 그렇게 가장하지 않을 것입니다. 회사 자체의 말로는 다음과 같습니다: "우리가 데이터 보호를 100% 할 수 있다고 말할 수는 없습니다. 하지만 이 추가적인 레이어는 밤에 더 편안하게 잠들게 해줍니다." 겸손한 주장이 정확하며 — 이것이 위의 두 이야기와 파괴적 행동 자체가 절대 실행되지 않는 세 번째 이야기의 차이를 만듭니다.

설치하기

@nibvok-llc/nibvok-ai-security는 ClawHub 레지스트리에서 현재 사용할 수 있습니다:

→ https://clawhub.ai/nibvok-llc/plugins/nibvok-ai-security

만약 에이전트의 allow가 기본값이 아니라 결정(decision)이어야 한다면, 이것이 그 형태입니다.