당신의 코딩 어시스턴트가 문장 부호 안에 비밀을 숨기고 있습니다. 왜 이것이 당신을 불편하게 만들어야 하는지 설명하겠습니다.

당신의 머신에서 셸 액세스(shell access) 권한을 가지고 실행되는 도구인 Anthropic의 Claude Code가 자체 시스템 프롬프트(system prompts) 내부에 보이지 않는 추적 신호를 삽입한 것이 적발되었습니다. 로그에 남긴 것도, 헤더에 넣은 것도 아닙니다. 바로 아포스트로피(apostrophe) 문자의 형태를 빌려 숨겼습니다.

실제로 일어난 일

Claude Code는 시스템 프롬프트 내에서 은밀한 마커(marker)로 **유니코드 아포스트로피 변형(Unicode apostrophe variations)**과 미세한 날짜 형식 변경을 사용했습니다. 육안으로는 볼 수 없는 워터마크(watermark)라고 생각하면 됩니다.

이 마커들은 특정 조건에 의해 트리거되는 것으로 알려졌습니다. 경쟁 AI 제공업체의 도메인을 통해 요청을 라우팅하거나, 중국 시간대를 사용하는 등의 방식입니다. 우리가 아직 찾아내지 못한 다른 신호들이 더 있을 수도 있습니다.

핵심적인 세부 사항은 다음과 같습니다: 이 중 그 어떤 것도 일반적인 사용 중에는 보이지 않았습니다. 원시 프롬프트(raw prompt) 콘텐츠를 심층 조사하고, 문자 인코딩(character encodings)을 바이트 단위로 비교해야만 발견할 수 있는 것이었습니다. 이것은 설정에서 켜고 끌 수 있는 텔레메트리(telemetry)가 아닙니다. 이것은 데이터 안에 데이터를 숨기는 스테가노그래피(steganography)입니다.

이것이 단순한 개인정보 보호 논쟁이 아닌 이유

여기서 무엇이 저를 불쾌하게 만드는지 정확히 짚고 싶습니다. 모든 SaaS 제품은 데이터를 전송(phones home)합니다. 모든 분석 SDK는 사용량을 추적합니다. 그것은 이미 알려진 거래입니다.

하지만 이번 건은 두 가지 이유로 다릅니다:

→ Claude Code는 셸 액세스(shell access) 권한을 가집니다. 이 도구는 당신의 파일을 읽고, 명령어를 실행하며, 코드베이스를 건드립니다. 이런 도구에 대한 신뢰 기준은 '일반적인 앱'이 아니라 '루트 수준(root-level)'이어야 합니다.

→ 추적이 의도적으로 숨겨졌습니다. 설정 파일에 들어있는 것도, 플래그(flag) 뒤에 숨겨진 것도 아닙니다. 화면상으로는 동일해 보이는 유니코드 문자 선택 속에 파묻혀 있었습니다. 이것은 실수(oversight)가 아닙니다. 누군가 의도적으로 내린 설계 결정(design decision)입니다.

만약 당신의 IDE가 당신의 코드를 핑거프린팅(fingerprinting)하기 위해 세미콜론(semicolon)을 시각적으로 동일한 유니코드 변형으로 몰래 바꾼다면, 당신은 그것을 멀웨어(malware)라고 부를 것입니다. AI 코딩 도구가 아포스트로피로 똑같은 짓을 한다면, 우리는 그냥 어깨를 으쓱하며 넘어가야 할까요?

가격 책정 관점이 상황을 더 악화시킵니다

제가 화가 나는 지점은 바로 이겁니다. 월 20달러의 Claude Pro 플랜은 무료 티어보다 최소 5배 더 많은 사용량을 제공하지만, 많은 사용자가 집중적인 코딩 작업에는 그 제한이 불충분하다고 느낍니다.

Claude Code로부터 의미 있는 일일 가치를 얻으려면 최소 Max 플랜이 필요합니다. 즉, 당신은 강력한 도구를 사용하기 위해 프리미엄 비용을 지불하고 있는데, 그 프리미엄 도구가 당신의 API 호출 경로를 감지하기 위해 당신의 프롬프트에 몰래 지문(fingerprinting)을 남기고 있는 것입니다.

이 방정식에서 당신은 무임승차자가 아닙니다. 당신은 감시당하고 있는 유료 고객입니다.

커뮤니티의 반응이 너무 조용합니다

이것은 개발자 커뮤니티에서 비상사태(five-alarm fire)로 다뤄져야 할 문제입니다. 파일 시스템과 셸(shell) 접근 권한을 가진 도구가 사용 패턴을 감지하기 위해 보이지 않는 마커를 삽입하고 있는데, 논의가 이상할 정도로 조용합니다.

그 이유 중 일부는 이 기술이 정말 영리해서 설명하기 어렵기 때문이라고 생각합니다. "유니코드 아포스트로피 스테가노그래피(Unicode apostrophe steganography)"는 "그들이 당신의 데이터를 팔았다"만큼 트위터(X)에 깔끔하게 올라가기 어렵습니다. 하지만 그 함의는 훨씬 더 심각합니다.

→ 만약 그들이 이것을 숨겼다면, 아직 아무도 발견하지 못한 또 다른 인코딩된 정보는 무엇일까요?
→ 만약 시간대(timezone)나 도메인에 따라 감지가 트리거된다면, 감지 이후에는 어떤 **조치(action)**가 뒤따를까요?
→ 만약 마커가 설계상 보이지 않는다면, 완전히 검사할 수 없는 도구를 어떻게 감사(audit)할 수 있을까요?

이것이 세우는 선례는 잔혹합니다. Anthropic이 이 일을 저질렀고 그 결과로 하늘이 무너지지 않았기 때문에, 이제 모든 AI 코딩 도구는 콘텐츠 레이어에 은밀한 신호를 삽입할 수 있는 암묵적인 허가를 얻은 셈입니다. 🔥

이것이 우리를 어디로 이끄는가

모든 것을 다 불태워버리자는 말이 아닙니다. 저도 Claude Code를 매일 사용합니다. 그것은 본연의 기능에 있어 진정으로 뛰어납니다.

하지만 개발자 도구에 대한 신뢰는 이진법적(binary)입니다. 도구가 말하는 대로만 행동한다고 믿거나, 그렇지 않거나 둘 중 하나입니다. 보이지 않는 유니코드 지문 채취(fingerprinting)는 우리를 그 선 너머로 밀어냈으며, 다시 돌아오기 위해서는 단순한 블로그 포스트 그 이상이 필요합니다. 모든 마커, 모든 트리거, 그리고 모든 결과에 대한 **검증 가능한 투명성(verifiable transparency)**이 필요합니다. 🛡️

제 질문은 이것입니다: 만약 당신이 사용 중인 AI 코딩 어시스턴트(AI coding assistant)가 스스로의 프롬프트(prompts)에 보이지 않는 추적 신호(tracking signals)를 삽입하고 있다는 사실을 알게 된다면, 그래도 계속 사용하시겠습니까? 만약 사용한다면 — 당신이 허용할 수 있는 한계선(line)은 어디까지입니까?