AI 에이전트 스킬을 설치하기 전: 출처·훅·권한을 거르는 7단계 수용 게이트

왜 설치물이 실행 경로가 될까요?

AI 에이전트의 skill과 plugin은 작업 방법을 알려 주는 문서처럼 보일 수 있습니다. 그러나 실제 구성에는 실행을 유도하는 지시문, 로컬 파일을 읽는 경로, 명령을 호출하는 스크립트, 특정 시점에 자동으로 반응하는 hook, 외부 서비스와 통신하는 설정이 함께 들어갈 수 있습니다. 그래서 설치 여부는 “기능이 유용한가”만으로 결정하기보다 “우리 환경에서 무엇을 할 수 있게 되는가”로 판단해야 합니다.

Claude Code 문서는 권한 규칙을 allow·ask·deny로 설정할 수 있으며, 신뢰되지 않은 콘텐츠를 다룰 때는 격리와 명령 검토를 권고합니다. Hook 역시 이벤트에 맞춰 자동 동작을 연결할 수 있는 기능입니다. 이 사실이 모든 hook이나 확장이 위험하다는 뜻은 아닙니다. 다만 설명되지 않은 자동 실행 경로는 별도 검토 항목이라는 뜻입니다.

설치 전 통과해야 할 7단계 수용 게이트

아래 순서는 특정 제품의 설정법이 아니라, 어떤 제3자 확장에도 적용할 수 있는 최소한의 판단 흐름입니다. 한 단계에서 설명할 수 없는 항목이 나오면 다음 단계로 넘기지 말고 보류하는 편이 좋습니다.

1. 출처를 확인합니다. 배포 위치, maintainer, 라이선스, 공식 문서와의 연결을 적습니다. 출처가 여러 번 바뀌거나 책임자를 확인할 수 없으면 보류합니다.
2. 버전을 고정합니다. 설치 시점의 버전과 가능한 경우 해시 또는 릴리스 식별자를 남깁니다. “최신 버전”만 기록하면 나중에 무엇이 달라졌는지 비교하기 어렵습니다.
3. 선언된 동작을 인벤토리합니다. README만 읽지 말고 지시문, 스크립트, hook, MCP 또는 네트워크 설정, 파일 경로, 필요한 환경변수를 목록화합니다.
4. 추가 권한을 비교합니다. 기본적으로 허용된 읽기 범위를 넘어 파일 수정, 명령 실행, 네트워크 연결, 비밀값 접근을 요구하는지 확인합니다.
5. 격리 환경에서 시험합니다. 실제 토큰이나 고객 데이터를 넣지 않고 정상 동작, 권한 거부, 네트워크 차단, 실패 후 복원 가능성을 확인합니다.
6. 수용 기록을 남깁니다. 승인자, 활성 범위, 검토일, 제한 조건을 남깁니다. 팀원이 바뀌어도 “왜 허용했는지”를 다시 찾을 수 있어야 합니다.
7. 업데이트·철회 기준을 정합니다. hook·권한·네트워크·의존성이 바뀌면 재승인하고, 이상 징후가 나면 비활성화 또는 이전 버전 복원으로 돌아갈 수 있게 합니다.

한 장짜리 수용 카드로 설치 결정을 남겨보세요

길고 복잡한 심사 문서가 없어도 됩니다. 아래처럼 한 장에 핵심 사실과 중단 신호를 모으면, 설치 전 대화가 기능 홍보가 아니라 실행 범위와 책임에 집중됩니다.

예시: 사내 문서 요약만 하는 확장을 검토한다고 가정해 보겠습니다. 읽기 전용 문서 디렉터리만 대상으로 하고, 외부 네트워크와 비밀값이 필요 없으며, 명령 실행과 hook이 없다면 시험 범위를 작게 잡을 수 있습니다. 반대로 “요약” 기능인데 홈 디렉터리 전체 접근, 셸 명령, 외부 전송을 함께 요구한다면 이유를 문서화할 때까지 보류하는 것이 합리적입니다.

기본값과 추가 권한의 차이를 표로 비교하세요

권한을 “있음/없음”으로만 보면 실제 영향이 흐려집니다. 기본 동작과 추가 요청을 나란히 놓으면, 어떤 요청이 업무상 정말 필요한지 질문하기 쉬워집니다.

격리 smoke test는 ‘정상 동작’만 확인하는 시험이 아닙니다

처음 시험할 때는 실제 비밀값과 운영 데이터를 넣지 않습니다. 격리된 샘플 파일과 최소 권한으로 시작하고, 의도적으로 거부와 차단 상황도 만들어 봅니다. 이 과정은 취약점을 공격하는 방법을 찾는 일이 아니라, 확장이 약속한 경계 안에서 멈추는지 확인하는 일입니다.

• 예상한 샘플 입력에서 결과가 재현되는지 확인합니다.
• 허용하지 않은 파일 또는 명령 요청이 거부되는지 확인합니다.
• 외부 연결이 막힌 상태에서 실패가 명확히 드러나는지 확인합니다.
• 비밀값이 없는 상태에서 불필요한 접근 요구가 발생하지 않는지 확인합니다.
• 중단 후 설정과 파일을 이전 상태로 돌릴 수 있는지 확인합니다.

여기서 실패했다면 “조금 더 지켜보자”보다 설치 보류가 명확한 결과입니다. 재현되지 않는 동작, 설명되지 않는 hook, 기능과 무관한 네트워크 연결, 불필요한 비밀값 요구, 복원 절차 부재는 모두 멈춤 신호가 될 수 있습니다.

설치 뒤에도 수용 결정은 끝나지 않습니다

한 번 승인된 확장도 업데이트로 실행 경로가 달라질 수 있습니다. 새 릴리스가 hook을 추가하거나, 접근 경로를 넓히거나, 네트워크 의존성을 바꾸거나, 새로운 비밀값을 요구한다면 같은 이름의 업데이트라도 새 수용 카드로 다시 검토하는 편이 좋습니다.

팀에는 최소한 다음 네 가지를 남겨두세요. 승인자, 활성 범위, 재승인 조건, 즉시 비활성화 방법입니다. 이 기록은 누군가를 감시하기 위한 것이 아니라, 장애·품질 저하·권한 변경이 생겼을 때 빠르게 판단하고 업무를 복원하기 위한 운영 장치입니다.

설치 직전, 이 다섯 가지만 다시 확인하세요

1. 출처·maintainer·라이선스·버전 또는 해시를 기록했나요?
2. 지시문·스크립트·hook·네트워크·파일 경로를 목록으로 만들었나요?
3. 추가 읽기·쓰기·명령·네트워크·비밀값 접근을 기본 동작과 비교했나요?
4. 비밀값 없는 격리 환경에서 정상·거부·차단·복원을 확인했나요?
5. 업데이트 재승인 기준과 즉시 비활성화 방법을 정했나요?

다섯 질문에 짧고 구체적으로 답할 수 있다면 설치 판단은 훨씬 투명해집니다. 답이 비어 있는 항목이 있다면, 그 빈칸이 바로 다음 검토 작업입니다.

자주 묻는 질문

참고 자료

• Claude Code Security 문서 — 권한 검토, 신뢰되지 않은 콘텐츠 작업 시 격리와 명령 검토에 관한 공식 안내입니다.
• Claude Code Permissions 문서 — allow·ask·deny 규칙으로 접근 범위를 설정하는 방식의 공식 설명입니다.
• Claude Code Hooks Reference — 이벤트에 따라 자동 동작을 연결하는 hook의 구성과 확인 지점입니다.
• OWASP Agentic Skills Top 10 — agent skill 공급망, 권한, 메타데이터 위험을 벤더 중립 관점에서 분류한 보안 가이드입니다.