이제 Claude Code가 알아서 합니다: 앤트로픽이 '자동 실행'을 기본값으로 바꾼 이유

AI 코딩 도구를 써본 분이라면 이 장면이 익숙할 겁니다. 파일 하나 읽을 때마다, 명령어 하나 실행할 때마다 “이거 해도 될까요?“라고 묻는 창. 처음엔 안심이 되지만 열 번쯤 반복되면 그냥 엔터만 연타하게 됩니다. 앤트로픽이 Claude Code의 기본 동작을 바꾼 것도 여기서 출발합니다.

먼저 짚고 갈 게 하나 있습니다. 최근 30일 커뮤니티 데이터에서는 이 주제를 두고 오간 논의를 거의 찾지 못했습니다. 레딧 검색 결과는 사실상 비어 있었습니다. 그래서 이 글은 커뮤니티 여론 분석보다는, 도구의 설계가 왜 이렇게 바뀌었는지 따져보는 쪽에 가깝습니다.

승인 피로라는 진짜 문제

매번 승인받는 방식은 이론상 안전합니다. 사용자가 모든 행동을 검토하니까요. 문제는 사람이 그렇게 굴지 않는다는 데 있습니다.

보안 업계에는 오래된 표현이 있습니다. 경고창을 너무 많이 띄우면 사용자는 경고를 읽지 않고 닫는 법을 배운다는 겁니다. 브라우저 인증서 경고가 대표적이죠. 위험을 알리려던 장치가 반사적인 클릭 습관으로 변질됩니다.

AI 에이전트도 똑같습니다. 리팩터링 하나에 파일 읽기 40번, 테스트 실행 5번, 커밋 1번이 필요하다면 승인 창은 46번 뜹니다. 세 번째쯤부터 사용자는 내용을 안 봅니다. 열 번째쯤엔 “모두 허용"을 누릅니다. 결국 아무도 검토하지 않는 검토 절차가 남습니다. 승인 모델이 준다던 안전은 처음부터 상당 부분 허구였던 셈입니다.

통제 지점을 옮긴다는 발상

그래서 방향을 바꿉니다. “이 행동을 해도 되는지 매번 묻기” 대신 “위험한 행동 자체가 불가능한 공간을 만들기"로요.

샌드박스가 그 역할입니다. 도커 컨테이너 같은 격리 환경 안에서 에이전트를 돌리면, 그 안에서는 뭘 하든 바깥이 안전합니다. 파일을 지워도 컨테이너 안의 복사본이고, 네트워크 요청을 보내도 허용된 대상만 나갑니다. 컨테이너를 버리면 흔적도 사라집니다.

달라진 건 통제 지점입니다. 기존 방식은 행동 하나하나에 게이트를 세웠습니다. 새 방식은 경계선 하나를 긋고 그 안을 자유롭게 둡니다. 공항 보안검색과 비슷합니다. 검색대를 통과하면 게이트까지 매번 신분증을 보여주지 않아도 되죠. 경계가 명확하면 내부는 느슨해도 됩니다.

자유롭게 두면 어디까지 갈 수 있나

승인 대기가 사라지면 속도만 붙는 게 아닙니다. 에이전트가 할 수 있는 일의 종류 자체가 달라집니다.

무엇보다 시행착오를 할 수 있게 됩니다. 지금까지 에이전트는 한 번에 맞히려고 애썼습니다. 틀리면 사용자가 승인을 거부하고 대화가 끊기니까요. 격리된 환경에서 승인 없이 돌아갈 수 있다면, 테스트를 돌려보고 실패하면 고치고 다시 돌리는 루프를 사람 개입 없이 반복할 수 있습니다. 개발자가 실제로 일하는 방식과 같습니다.

그림은 이렇게 됩니다. 사용자가 이슈 하나를 던지고 자리를 뜹니다. 에이전트가 코드베이스를 탐색하고, 수정하고, 테스트를 돌리고, 실패를 고치고, 다시 돌립니다. 사용자는 20분 뒤 완성된 결과물과 변경 내역을 봅니다. 검토는 그때 한 번, 진짜 검토다운 검토로요.

한 번의 의미 있는 리뷰가 마흔여섯 번의 형식적 클릭보다 낫습니다. 이게 이번 설계 변경의 논리입니다.

그래도 남는 불편함

그렇다고 마음이 완전히 편하진 않습니다.

샌드박스부터 완벽하지 않습니다. 컨테이너 탈출 취약점은 실재하고, 마운트 설정을 잘못하면 호스트 파일이 그대로 노출됩니다. 개발 환경에서 컨테이너를 쓰는 이유는 대개 격리가 아니라 재현성이었습니다. 보안 경계로 쓰기 시작하면 요구 수준이 달라집니다.

더 걸리는 건 자격 증명입니다. 에이전트가 실제로 일하려면 깃 저장소 접근 권한, 패키지 레지스트리 토큰, 때로는 API 키가 필요합니다. 이게 샌드박스 안에 들어 있다면 격리는 파일시스템까지만 유효합니다. 프롬프트 인젝션에 조작된 에이전트가 유효한 토큰으로 코드를 푸시하는 건, 컨테이너가 아무리 튼튼해도 막지 못합니다.

결과물 검토가 여전히 사람 몫이라는 점도 그대로입니다. 승인 창이 사라진 대신 최종 diff를 봐야 하는데, 300줄짜리 변경을 진지하게 읽는 사람이 얼마나 될까요. 승인 피로가 리뷰 피로로 이름만 바꿔 옮겨갈 수도 있습니다.

기본값이 곧 메시지입니다

소프트웨어에서 기본값은 초기 설정에서 끝나지 않습니다. 대다수 사용자가 끝까지 쓰는 값이고, 만든 쪽이 “이게 정상적인 사용법"이라고 선언하는 지점입니다.

자동 실행을 기본값으로 놓는다는 건 앤트로픽이 이렇게 말하는 것과 같습니다. AI 에이전트에게 일을 맡기는 게 예외적 상황이 아니라 표준이라고요. 옵션으로 숨겨두는 것과 처음부터 켜두는 것은 전혀 다릅니다.

경쟁 환경도 무관하지 않을 겁니다. 자율성 높은 코딩 에이전트가 여럿 나온 상황에서, 승인 창을 계속 띄우는 도구는 답답하게 느껴지기 쉽습니다. 다만 그 압력을 받아들이면서 샌드박스를 함께 내놓았습니다. 안전장치 없이 고삐만 푸는 것보다는 설득력 있는 순서니까요.

앤트로픽은 승인 모델이 안전을 보장하지 못했다고 판단했고, 통제 지점을 개별 행동에서 실행 환경 전체로 옮겼습니다. 문제 정의는 정확합니다. 다만 샌드박스가 실제로 얼마나 튼튼한지, 자격 증명 문제를 어떻게 다룰지는 앞으로 드러날 부분입니다.

궁금한 건 따로 있습니다. AI에게 코드 수정을 맡길 때 우리가 지키려는 건 정확히 무엇일까요. 실수로 파일이 지워지는 것? 아니면 내가 이해하지 못한 코드가 저장소에 들어가는 것? 샌드박스는 앞의 것을 잘 막습니다. 뒤의 것은 여전히 우리 몫입니다.