​
보안에 대한 우리의 접근 방식

​
보안 기반

귀하의 코드 보안이 가장 중요합니다. Claude Code는 보안을 핵심으로 구축되었으며, Anthropic의 포괄적인 보안 프로그램에 따라 개발되었습니다. Anthropic Trust Center에서 더 자세히 알아보고 리소스(SOC 2 Type 2 보고서, ISO 27001 인증서 등)에 액세스하세요.

​
권한 기반 아키텍처

Claude Code는 기본적으로 엄격한 읽기 전용 권한을 사용합니다. 추가 작업(파일 편집, 테스트 실행, 명령 실행)이 필요한 경우, Claude Code는 명시적인 권한을 요청합니다. 사용자는 작업을 한 번 승인할지 또는 자동으로 허용할지 제어할 수 있습니다. 우리는 Claude Code가 투명하고 안전하도록 설계했습니다. 예를 들어, bash 명령을 실행하기 전에 승인을 요구하여 직접적인 제어권을 제공합니다. 이러한 접근 방식을 통해 사용자와 조직이 권한을 직접 구성할 수 있습니다. 자세한 권한 구성은 Identity and Access Management를 참조하세요.

​
내장된 보호 기능

에이전트 시스템의 위험을 완화하기 위해:
  • 쓰기 액세스 제한: Claude Code는 시작된 폴더와 그 하위 폴더에만 쓸 수 있으며, 명시적인 권한 없이는 상위 디렉토리의 파일을 수정할 수 없습니다. Claude Code는 작업 디렉토리 외부의 파일을 읽을 수 있지만(시스템 라이브러리 및 종속성에 액세스하는 데 유용함), 쓰기 작업은 프로젝트 범위로 엄격히 제한되어 명확한 보안 경계를 만듭니다
  • 프롬프트 피로 완화: 사용자별, 코드베이스별 또는 조직별로 자주 사용되는 안전한 명령의 허용 목록 지원
  • 편집 수락 모드: 부작용이 있는 명령에 대한 권한 프롬프트를 유지하면서 여러 편집을 일괄 수락

​
사용자 책임

Claude Code는 귀하가 부여한 권한만 가집니다. 승인하기 전에 제안된 코드와 명령의 안전성을 검토할 책임은 귀하에게 있습니다.

​
프롬프트 주입으로부터 보호

프롬프트 주입은 공격자가 악성 텍스트를 삽입하여 AI 어시스턴트의 지시사항을 재정의하거나 조작하려고 시도하는 기법입니다. Claude Code는 이러한 공격에 대한 여러 보호 장치를 포함합니다:

​
핵심 보호 기능

  • 권한 시스템: 민감한 작업에는 명시적인 승인이 필요합니다
  • 컨텍스트 인식 분석: 전체 요청을 분석하여 잠재적으로 유해한 지시사항을 감지합니다
  • 입력 정화: 사용자 입력을 처리하여 명령 주입을 방지합니다
  • 명령 차단 목록: 기본적으로 curl 및 wget과 같이 웹에서 임의의 콘텐츠를 가져오는 위험한 명령을 차단합니다. 명시적으로 허용된 경우, 권한 패턴 제한사항을 인지하세요

​
개인정보 보호 장치

다음을 포함하여 귀하의 데이터를 보호하기 위한 여러 보호 장치를 구현했습니다:
  • 민감한 정보에 대한 제한된 보존 기간(Privacy Center에서 자세히 알아보세요)
  • 사용자 세션 데이터에 대한 제한된 액세스
  • 데이터 훈련 기본 설정에 대한 사용자 제어. 소비자 사용자는 언제든지 개인정보 설정을 변경할 수 있습니다.
전체 세부사항은 상업적 서비스 약관(Team, Enterprise 및 API 사용자용) 또는 소비자 약관(Free, Pro 및 Max 사용자용) 및 개인정보 보호정책을 검토하세요.

​
추가 보호 장치

  • 네트워크 요청 승인: 네트워크 요청을 하는 도구는 기본적으로 사용자 승인이 필요합니다
  • 격리된 컨텍스트 창: 웹 가져오기는 잠재적으로 악성인 프롬프트 주입을 피하기 위해 별도의 컨텍스트 창을 사용합니다
  • 신뢰 검증: 처음 실행하는 코드베이스와 새로운 MCP 서버는 신뢰 검증이 필요합니다
    • 참고: -p 플래그로 비대화형으로 실행할 때는 신뢰 검증이 비활성화됩니다
  • 명령 주입 감지: 의심스러운 bash 명령은 이전에 허용 목록에 있었더라도 수동 승인이 필요합니다
  • 실패 시 닫힘 매칭: 일치하지 않는 명령은 기본적으로 수동 승인을 요구합니다
  • 자연어 설명: 복잡한 bash 명령에는 사용자 이해를 위한 설명이 포함됩니다
  • 안전한 자격 증명 저장: API 키와 토큰은 암호화됩니다. 자격 증명 관리를 참조하세요
신뢰할 수 없는 콘텐츠 작업을 위한 모범 사례:
  1. 승인하기 전에 제안된 명령을 검토하세요
  2. 신뢰할 수 없는 콘텐츠를 Claude에 직접 파이핑하지 마세요
  3. 중요한 파일에 대한 제안된 변경사항을 확인하세요
  4. 특히 외부 웹 서비스와 상호작용할 때 스크립트를 실행하고 도구 호출을 하기 위해 가상 머신(VM)을 사용하세요
  5. /bug로 의심스러운 행동을 신고하세요
이러한 보호 기능이 위험을 크게 줄이지만, 모든 공격에 완전히 면역인 시스템은 없습니다. AI 도구를 사용할 때는 항상 좋은 보안 관행을 유지하세요.

​
MCP 보안

Claude Code는 사용자가 Model Context Protocol(MCP) 서버를 구성할 수 있게 합니다. 허용된 MCP 서버 목록은 엔지니어가 소스 제어에 체크인하는 Claude Code 설정의 일부로 소스 코드에 구성됩니다. 우리는 자체 MCP 서버를 작성하거나 신뢰할 수 있는 제공업체의 MCP 서버를 사용할 것을 권장합니다. MCP 서버에 대한 Claude Code 권한을 구성할 수 있습니다. Anthropic은 MCP 서버를 관리하거나 감사하지 않습니다.

​
IDE 보안

IDE에서 Claude Code 실행의 보안에 대한 자세한 정보는 여기를 참조하세요.

​
보안 모범 사례

​
민감한 코드 작업

  • 승인하기 전에 모든 제안된 변경사항을 검토하세요
  • 민감한 저장소에 대해 프로젝트별 권한 설정을 사용하세요
  • 추가 격리를 위해 devcontainers 사용을 고려하세요
  • /permissions로 권한 설정을 정기적으로 감사하세요

​
팀 보안

  • 조직 표준을 시행하기 위해 엔터프라이즈 관리 정책을 사용하세요
  • 버전 제어를 통해 승인된 권한 구성을 공유하세요
  • 팀 구성원에게 보안 모범 사례를 교육하세요
  • OpenTelemetry 메트릭을 통해 Claude Code 사용을 모니터링하세요

​
보안 문제 신고

Claude Code에서 보안 취약점을 발견한 경우:
  1. 공개적으로 공개하지 마세요
  2. HackerOne 프로그램을 통해 신고하세요
  3. 자세한 재현 단계를 포함하세요
  4. 공개 공개 전에 문제를 해결할 시간을 허용하세요

​
관련 리소스