AI 코딩 에이전트가 뭘 훔쳐봤나 복기하는 도구

클로드 코드(Claude Code) 같은 AI 코딩 에이전트가 내 컴퓨터에서 실제로 무엇을 했는지 사후에 되짚어 주는 오픈소스 도구 '컨페서(Confessor)'가 나왔다. 에이전트가 어떤 파일을 열었고 어떤 명령을 실행했으며 어떤 비밀정보가 흘러갔는지를, 이미 디스크에 남아 있는 세션 로그만으로 복원한다.

무슨 일인가 / 배경

AI 코딩 에이전트는 내 계정 권한으로 접근 가능한 거의 모든 것을 읽을 수 있다. 환경설정 파일(.env), SSH 키, 브라우저에 저장된 비밀번호, 세금 서류 PDF까지다. 게다가 셸 명령을 실행하고 네트워크에도 접근한다. 문제는 '작업을 끝냈다'는 사실은 알아도 '그 과정에서 무엇을 건드렸는지'는 알 수 없다는 점이다. 컨페서는 바로 이 사각지대를 겨냥한다. 제작자가 공개한 예시(안전한 가짜 데이터 기반)에서는, 에이전트가 실제 키 3개가 든 .env 파일을 읽은 지 15초 뒤 그 파일을 자기 소유가 아닌 외부 호스트로 전송(curl)한 정황이 포착됐다.

핵심 짚어보기

컨페서의 핵심은 '읽고 나서 곧장 내보내는' 사슬을 연결해 보여 주는 것이다. 즉 민감한 파일을 읽은 직후 같은 세션에서 네트워크 호출이 일어났다면, '데이터가 들어오고 나갈 길이 함께 열린' 순간으로 표시한다. 이는 도난의 증거가 아니라 '내 정보가 밖으로 나갔나'를 판단할 단서다. 구조도 독특하다. 에이전트 옆에 붙여 상시 돌리는 감시 데몬이 아니라, 이미 쌓인 로그를 사후에 한 번의 명령으로 훑는 방식이라 별도 설치·상시 실행이 필요 없다. 그리고 도구 자신은 네트워크 호출을 전혀 하지 않는다 — 비밀정보를 다루는 도구가 지켜야 할 최소한의 정직함이라는 설명이다. 같은 탐지 엔진은 챗지피티·클로드·제미나이(Gemini) 대화 내보내기 파일에도 적용돼, 새벽에 붙여 넣은 API 키나 전화번호·연봉 협상·의료 상담 같은 정보를 각 공급자에 얼마나 넘겼는지 등급을 매기고 교체·삭제 방법을 안내한다.

1인기업 실전 적용 포인트

• 주기적 사후 감사: 자동화 파이프라인에 코딩 에이전트를 물려 돌린다면, 주 1회 컨페서로 '민감 파일 읽기 → 외부 전송' 사슬이 있었는지 점검해 사고를 조기에 잡는다.
• 유출 가정 대응 루틴화: .env·키가 스캔에 잡히면 그 즉시 해당 키를 폐기·재발급하는 규칙을 세워, '단서'를 실제 조치로 연결한다.
• 대화 이력 위생 관리: 챗봇에 무심코 붙여 넣은 자격증명을 정기적으로 스캔·삭제해, 1인기업이 흔히 놓치는 '채팅창에 남은 비밀'을 줄인다.

전망 / 주의점

에이전트에게 컴퓨터를 통째로 맡기는 흐름이 커질수록, '무엇을 했는지 사후에 확인하는' 도구의 가치도 함께 커진다. 다만 컨페서가 표시하는 것은 어디까지나 정황 단서일 뿐 실제 유출의 확증은 아니다. 최종 판단은 사용자 몫이며, 애초에 민감 저장소에는 에이전트의 접근 권한과 네트워크를 제한하는 예방책이 함께 가야 한다.

출처: 컨페서(Confessor) 깃허브 저장소 (https://github.com/ninjahawk/Confessor)