저는 Vibe coding (바이브 코딩)을 통해 초보자가 비밀값(secrets), 프론트엔드 번들(frontend bundles), 또는 Git 히스토리(Git history)가 어떻게 작동하는지 배우기도 전에 앱을 구동할 수 있게 되면서 이 프로젝트를 시작했습니다.

.env에 값이 있다고 해서 그것이 항상 비공개로 유지된다는 의미는 아닙니다. VITE_*, NEXT_PUBLIC_*, REACT_APP_*와 같은 변수들은 브라우저 코드에 도달할 수 있습니다. 또한, 만약 API 키가 커밋(commit)되었다면, 현재 파일에서 이를 삭제한다고 해서 Git 히스토리에서 제거되는 것은 아닙니다.

그래서 저는 소규모 오픈소스 안전 점검 도구인 Wardrail을 제작했습니다:

npx wardrail scan --history

이 도구는 현재 프로젝트와 제한된 범위의 Git 히스토리를 스캔합니다. 또한 MCP 설정 및 Agent 지침 파일(instruction files)을 확인하여 위험한 명령, 자격 증명(credential) 접근, 그리고 안전 우회(safety-bypass) 패턴을 점검합니다.

Wardrail은 기본적으로 로컬(locally)에서 실행됩니다. 소스 코드를 업로드하지 않으며, 스캔 중인 프로젝트를 실행하지도 않습니다.

현재 버전에 포함된 내용

• wardrail@0.3.0
• 17개의 설명 가능한 정적 규칙 (static rules)
• 38개의 자동화된 테스트
• Terminal, JSON, 및 SARIF 출력 지원
• Pre-commit 및 GitHub Code Scanning 지원

이것이 초보자에게 중요한 이유

AI 코딩 도구는 누군가가 유용한 애플리케이션을 매우 빠르게 출시할 수 있도록 도울 수 있습니다. 하지만 속도는 보안에 대한 잘못된 가정을 숨길 수 있습니다:

• .env가 자동으로 비공개 처리된다고 간주함
• 공개된 프론트엔드 변수를 서버 측 비밀값(server-side secrets)으로 오해함
• 삭제된 키가 Git 히스토리에서도 사라졌다고 가정함
• 제3자 MCP 서버나 Agent Skill의 명령어를 읽어보지 않고 신뢰함

Wardrail은 푸시(push)나 릴리스(release) 전의 조기 경보 역할을 하기 위해 만들어졌습니다. 단순히 위험 점수(risk score)만 반환하는 대신, 일치하는 증거를 설명하고 해결 방법을 제안합니다.

솔직한 한계점

이것은 아직 초기 단계의 프로젝트이며, 아직 언급할 만한 외부 사용자가 없습니다. 오탐(false positives)을 발생시킬 수 있고 위험을 놓칠 수도 있습니다. 이것은 침투 테스트(penetration test)가 아니며, 깨끗한 보고서가 애플리케이션이 안전하다는 것을 의미하지는 않습니다.

현재는 인증 (authentication), 인가 (authorization), 데이터베이스 정책 (database policies), 의존성 취약점 (dependency vulnerabilities), 배포 설정 (deployment settings) 또는 런타임 동작 (runtime behavior)을 테스트하지는 않습니다. 더 광범위한 비밀 정보 탐색을 위해서는 Gitleaks와 TruffleHog가 여전히 성숙한 선택지입니다.

첫 번째 실제 테스터를 찾습니다

저장소 및 CLI 데모:

https://github.com/3196973848/wardrail

가장 도움이 될 피드백은 다음과 같습니다:

• 어떤 규칙이 노이즈가 심하거나 혼란스러웠나요?
• 어떤 비밀 정보 형식이나 위험한 패턴을 놓쳤나요?
• 제안된 수정 사항이 초보자가 이해하기 쉬웠나요?
• 다음에 어떤 MCP 또는 에이전트 (Agent) 설정을 지원해야 할까요?

규칙 ID와 편집된(redacted) 예시만 공유해 주세요. 실제 자격 증명 (credential)을 절대 게시하지 마십시오. 만약 실제 키가 노출되었을 가능성이 있다면, 먼저 해당 키를 폐기하거나 교체(rotate)하십시오.

무엇이 실패했는지에 대한 짧은 보고서라도 저에게는 정중한 "멋지네요"라는 말보다 훨씬 유용합니다.