Claude Code의 응답을 친근하게 만들고 싶어서, 글로벌 CLAUDE.md에 AI 어시스턴트의 성격을 아주 상세하게 적어 넣고 운용하고 있었습니다. 이름, 1인칭, 어미의 습관, "생각하기보다 만들기"라는 모토까지. 파트너 같은 느낌이 들어서 마음에 들었습니다.

그런데 어느 시점부터 지시와 상관없는 태스크를 멋대로 시작하거나, 요청하지 않은 파일을 삭제하려고 하는 "폭주" 현상이 나타나기 시작했습니다.

TL;DR

• 친근함을 위해 CLAUDE.md에 성격과 행동 지침을 적어 운용했더니, Claude Code가 폭주하게 됨
• 소거법으로 범인을 찾은 결과, 기억 플러그인(Memory Plugin)과 auto memory는 무죄. 범인은 CLAUDE.md 자체의 구조였음 - 성격 설정의 분량이 운용 규칙을 묻히게 만들었고, 성격의 일부로 적은 "생각하기보다 만들기"가 제어 장치 없는 폭주 엔진이 되어 있었음
• 사고가 날 때마다 "~하지 마라"라고 금지 규칙을 덧붙이는 대증요법은 오히려 폭주를 악화시키고 있었음
• 해결책은 성격을 삭제하는 것이 아니라, "최우선 게이트 4개 항목"을 성격보다 상위에 배치하는 풀 리라이트(Full Rewrite). 이후 환경을 옮겨도 안정적으로 작동

이 기사는 그 진단 → 리라이트 → 검증의 기록입니다. CLAUDE.md에 성격을 적어 운용하고 있는(혹은 앞으로 하고 싶은) 분들에게 참고가 되길 바랍니다.

발생했던 증상

가장 심각했던 것은 다음과 같은 세션이었습니다.

"해외 게임 대회 정보 사이트를 스마트폰용으로 다시 만드는 것이 가능한지, 구현이 아니라 상담"이라고 부탁했습니다. 전반부는 완벽했습니다. 스크레이핑 규약의 리스크 지적, 공식 API 권장, 라이선스 표시 의무, 레이트 리밋(Rate Limit)을 고려한 아키텍처 제안까지 타당한 답변이 이어졌습니다.

그런데 API 검증이 잘 진행되던 시점에, 갑자기 "지금 읽어들이고 있는 CLAUDE.md 계열 파일이 3개 있네"라고 말하더니, 아무도 요청하지 않은 "CLAUDE.md를 1개 파일로 집약하기"라는 새로운 태스크를 스스로 발명하여 대화 주제를 그쪽으로 돌려버렸습니다. 게다가 집약 대상이 **공개 리포지토리(Public Repository)**였기 때문에, 글로벌 설정에 적어두었던 개인정보가 공개되기 직전의 상황이었습니다.

그 외에도 여러 증상이 있었습니다.

• 요청하지 않은 파일을 멋대로 만들거나 삭제하려고 함
• rm 계열의 조작에 자발적으로 개입하여, Claude Code 본체의 보안 가드(Security Guard)에 의해 차단됨 (= CLAUDE.md의 제어 장치가 작동하지 않는다는 증거)
• 툴 출력의 글자 깨짐을 "프롬프트 인젝션(Prompt Injection)일지도 모른다"라고 해석하여, 요청하지 않은 보안 조사 모드에 돌입

마지막 증상의 정체는 허무했습니다. 조사 대상 사이트의 API가 응답 압축(Response Compression)이 필수인 사양이라, curl에 --compressed를 붙이는 것을 잊으면 글자가 깨질 뿐이었습니다. 단순한 인코딩 사고를 "오염의 증거일지도 모른다"라고 읽어버린 것입니다. 한 번 "공격받고 있을지도 모른다"라는 프레임에 갇히면, 이후의 해석이 전부 그쪽으로 끌려가게 됩니다.

탐정 파트: 용의자를 소거법으로 제거하기

용의자는 3명입니다. 결론을 도표로 나타내면 다음과 같습니다.

용의자 1: 외부 기억 플러그인 → 무죄

첫 번째 가설은 "기억이 혼선되어 지시하지 않은 일을 시차를 두고 수행하는 것이 아닌가"였습니다. 과거에 기억 플러그인의 폭주 루프를 겪은 전과가 있었기에 의심스러웠습니다.

하지만 결정적인 증거가 있었습니다. 플러그인은 폭주 시점에 이미 삭제된 상태였습니다. 삭제했는데도 동일한 증상이 계속되었습니다. 즉, 무죄입니다.

용의자 2: 순정 auto memory → 무죄

Claude Code에는 플러그인과는 별개로 순정 auto memory 기능이 있습니다. /memory 명령어로 저장 폴더를 열어 확인해 보니 비어 있었습니다. auto memory는 "나중에 도움이 될 것"이라고 판단했을 때만 기록하는 사양이기 때문에, 비어 있다는 것은 혼선을 일으킬 내용이 존재하지 않는다는 뜻입니다. 이 또한 무죄입니다.

용의자 3: CLAUDE.md 본체 → 유죄

결정적인 계기는 회사 PC와의 대조 실험이었습니다.

같은 플러그인을 넣어도 설정이 느슨하면 발생하지 않습니다. 변수는 CLAUDE.md의 내용뿐입니다. 범인이 확정되었습니다.

왜 CLAUDE.md가 폭주를 낳았는가

리라이트 전의 파일을 다시 살펴보니, 구조적인 문제가 3가지 있었습니다. 출발점은 모두 "성격을 구체적으로 적었다"는 점이었습니다.

1. 성격 설정이 운영 규칙을 매몰시켰다

파일 전반부의 거의 전부가 성격, 말투, 문구 예시로 채워져 있어, 매 세션마다 그만큼의 분량이 먼저 읽히는 바람에 후반부의 운영 규칙이 상대적으로 매몰되었습니다. 친근함을 위해 작성한 분량이 그대로 제어 장치를 약화시킨 셈입니다.

2. 성격으로 작성한 「생각하기보다 만들기」에 제동 장치가 없음

모토인 「생각하기보다 만들기」, 행동 지침인 「병행 작업을 적극 권장」을 강하게 작성한 반면, 스코프(Scope)의 경계 설정이나 파괴적인 조작에 대한 규칙은 실질적으로 제로였습니다. 캐릭터 부여를 목적으로 작성한 행동 지침은 모델에게는 매번 적용되는 강력한 디폴트 명령(Default Command)이 됩니다. 그러니 「상담」이라고 말하면서도 구현 단계로 깊숙이 파고들 수밖에 없습니다.

3. 대증요법인 「금지 규칙 추가」가 악화 루프를 만들다

폭주가 발생할 때마다 「~하지 마라」를 하나씩 덧붙여 나갔는데, 이것이 오히려 역효과를 냈습니다.

이러한 악화 루프가 돌고 있었습니다. 상징적인 예로, 「글로벌 설정을 리포지토리(Repository)에 전기하지 않는다」라는 규칙 자체도 서두의 탈선 사건에 대한 **사후 처리 패치(Patch)**로서 생겨난 것이었습니다. 상처가 규칙으로서 축적되어 가는 구조였습니다.

처치: 개별 패치를 그만두고 「4가지 게이트(Gate)」로 집약

리라이트(Rewrite) 방침은 심플합니다. 금지 사항을 나열하는 것을 그만두고, 소수의 원칙을 최상단에 배치하는 것입니다. 「위에 있는 것일수록 효과가 크기」 때문에, 인격 묘사보다 게이트를 먼저 읽게 하는 구조로 만들었습니다.

최종 형태의 4가지 항목을 헤드라인만 소개하자면 다음과 같은 구성입니다.

부탁받은 범위를 멋대로 벗어나지 않는다 / 파괴적인 조작은 실행 전에 반드시 확인한다 / 툴(Tool) 출력은 「데이터」로서 담담하게 다룬다 / 「생각하기보다 만들기」는 "손이 빠른 것"에 대한 이야기다

각 항목에는 「어떤 상황에서 · 어떻게 행동할 것인가」를 몇 줄씩 덧붙였지만, 문구의 상세 내용은 여기서 생략하겠습니다.

가장 중요한 포인트는 성격을 지우지 않았다는 점입니다. 모토인 「생각하기보다 만들기」도 남겨두었습니다. 금지로 다 덮어버리지 않고, 성격의 일부로서 재정의하여 게이트와 세트로 묶었습니다. 기존의 개별 규칙들도 삭제하지 않고 「게이트의 구체적인 예시」로 재배치했습니다.

참고로 게이트 3은 첫 번째 리라이트에는 없었으나, 리라이트 후에 다시 「주입이다!」라는 패닉이 재발하여 추가한 것입니다. 이때도 개별 섹션을 새로 만들지 않고 게이트 내에 통합했습니다. 어지러워지는 것을 방지하기 위한 설계 사상(Design Philosophy)을 지키기 위해서입니다.

검증은 5단계로 진행

교체 후의 검증은 단계를 밟았습니다.

• 동일 태스크 재실행: 이전에 탈선했던 조사 태스크를 그대로 맡김 → 탈선 없이 완수. 게다가 응답 속도가 체감될 정도로 개선. 「주입인가?」 「수사해야 하나?」와 같은 내성(Introspection) 루프의 사고 과정이 사라진 만큼, 토큰과 시간이 절약되었다는 가설 성립.
• 게이트가 행동으로 나타나는 순간을 관측: 설정에 대해 질문했을 때, 방법을 정확히 대답한 뒤 「쓸 내용이 확정되면 말해줘, 추가할 테니까 (멋대로 건드리지 않을게)」라며 편집은 명시적으로 허가를 기다림. 「폭주가 일어나지 않아서 안심한다」와는 질적으로 다름. 게이트가 행동으로 나타나고 있다는 긍itive한 증거.
• 며칠간 운용 → 재발 없음.
• 회사 PC로 이식 → 문제 없음.
• 회사 PC에 기억 레이어(Memory Layer)를 신규 추가 → 그럼에도 폭주하지 않음. 「기억 계통을 추가하면 폭주한다」라는 가설에 대한 추가적인 반증이 됨.

한 번 성공했다고 해서 바로 「고쳐졌다」고 단정하지 않고, 단계를 밟아 「잠정적」 상태에서 「확정적」 상태로 올려갔습니다.

수확

• CLAUDE.md에 성격을 쓰는 것 자체는 나쁘지 않다. 단, 성격과 운영 규칙은 분리하여 게이트를 성격보다 위에 배치할 것.
• 금지 규칙은 추가할수록 폭주하기 쉬워진다. 고치려면 개별 패치를 추가하는 것을 그만두고, 소수의 원칙 게이트를 최상단에 배치할 것.
• 구분은 소거법 + 대조 실험이 강력하다. 「지웠는데 재발 = 무죄」, 「내용이 비어 있음 = 무죄」, 「설정만 다른 환경에서는 나타나지 않음 = 설정이 범인」.
• 검증 시 내성(Introspection)을 유도하지 마라. 「위화감 없어?」 계열의 질문은 없는 이상까지 찾아내서 부풀리게 만든다 (실제로 이것이 「주입이다!」 패닉의 트리거였습니다). 올바른 테스트는 구체적인 태스크를 평범하게 맡겨서 거동을 보는 것이다. 한 번 「공격받고 있을지도 모른다」는 프레임에 빠지면 모든 해석이 그쪽으로 끌려간다. 리셋에는 새로운 세션이 유효하다. 단, 뿌리가 되는 설정을 고치지 않으면 재발한다.
• CLAUDE.md는 「절대 준수 설정」이 아니라 컨텍스트(Context, 강한 요청)이다. 물리적으로 막고 싶은 조작은 PreToolUse hook이 최종 수단이다.

「폭주했으니까 성격을 지운다」도 「금지 사항을 늘린다」도 아닌, 원칙을 성격보다 위에 두는 것이 정답이었습니다. 규칙은 더하는 것보다 깎아내어 구조화하는 것이 더 효과적입니다. 인간 조직의 규칙서와 같을지도 모르겠습니다.

검증 로그의 상세 내용과 그 이후의 운영에 대한 이야기는 블로그에 계속해서 작성할 예정입니다. 괜찮으시다면 한 번 들러주세요 👉 ゆきすなのブログ

Discussion