닿을 수 없으면,
뚫릴 수도 없다

Vol.1-3 리캡:
지금까지 뭘 제어했나

경계 없는 에이전트의
공격 표면

공격 표면(Attack Surface)이란 외부에서 시스템에 침투할 수 있는 모든 경로를 말해요. 에이전트에게 권한이 많을수록 공격 표면이 넓어지고, 실수든 악의적 공격이든 피해 범위가 커져요.

5개 축으로 보는
도구 제어 전체 지도

Claude Code에서 에이전트의 도구 접근을 제어하는 메커니즘은 정확히 5개예요. 각각 독립적으로 작동하고, 서로 겹치지 않아요. 보안 용어로는 이걸 심층 방어(Defense in Depth)라고 해요 — 여러 겹의 방어선을 쌓아서 하나가 뚫려도 다음 층이 막아주는 구조예요.

+ 보너스: PreToolUse Hook은 런타임 조건부 차단으로, Vol.1에서 이미 다뤘어요. 위 5개 정적 제어 + Hook 동적 제어를 조합하면 완성형 보안 하네스가 돼요.

tools / disallowedTools
내장 도구 제어

Vol.2에서 배운 tools 화이트리스트의 반대편 — disallowedTools 블랙리스트도 있어요. 쉽게 말하면 "이것만 쓸 수 있다" vs "이것만 못 쓴다"의 차이예요.

tools: Read, Grep, Glob, WebSearch, WebFetch
# → Write, Edit, Bash, Agent 전부 사용 불가
# → 파일 수정도, 명령 실행도, 에이전트 스폰도 못 함

disallowedTools: Write, Bash
# → Read, Edit, Grep, Glob, WebSearch... 전부 사용 가능
# → 파일 생성과 명령 실행만 차단

에이전트 스폰과
MCP 서버 스코핑

누구를 부를 수 있는지(축 2), 어떤 외부 서비스에 닿을 수 있는지(축 3)를 제어해요. 보안 용어로는 수평 이동(Lateral Movement) 차단이에요 — 한 에이전트가 다른 에이전트나 서비스로 옮겨가면서 권한을 확장하는 걸 막는 거예요.

tools: Agent(worker, researcher), Read, Bash
# → deployer 에이전트는 스폰 불가
# → 프로덕션 배포 사고 원천 차단

mcpServers:
  - supabase

# → 메인 세션의 supabase MCP만 재사용 가능
# → Slack, GitHub, 브라우저 등 다른 MCP는 접근 불가
# → DB는 읽되, 다른 곳에 데이터를 보낼 수 없음

mcpServers:
  - playwright:
      type: stdio
      command: npx
      args: ["-y", "@playwright/mcp@latest"]

# → 이 에이전트에서만 Playwright MCP 연결
# → 에이전트 종료 시 자동 해제 (context 절약)

승인 프로세스와
글로벌 정책

도구를 허용하되 "어떻게 사용하는지"를 제어하는 축 4와, 프로젝트 전체에 거부 규칙을 강제하는 축 5예요.

{
  "permissions": {
    "deny": [
      "Bash(git push *)",       // 원격 푸시 차단
      "Bash(rm -rf *)",         // 재귀 삭제 차단
      "Bash(docker rm *)",      // 컨테이너 삭제 차단
      "Agent(deployer)"         // deployer 스폰 차단
    ],
    "allow": [
      "Bash(git status)",
      "Bash(git diff *)",
      "Bash(git log *)",
      "Bash(git add *)",
      "Bash(git commit *)"
    ]
  }
}

직접 해보기:
settings.json으로 git push 차단

축 5(settings.json)를 직접 설정하고, 에이전트가 git push를 시도할 때 차단되는 걸 확인해봐요.

Step 1. 프로젝트 구조 만들기

Step 2. settings.json 작성

{
  "permissions": {
    "deny": ["Bash(git push *)", "Bash(rm -rf *)"],
    "allow": [
      "Bash(git status)", "Bash(git add *)",
      "Bash(git commit *)", "Bash(echo *)"
    ]
  }
}

Step 3. writer 에이전트 작성

---
name: writer
description: 파일을 작성하고 git에 커밋하는 에이전트
tools: Read, Write, Bash
---

요청받은 내용을 파일로 작성하고 git에 커밋한다.
커밋 후 git push origin master로 원격에 푸시한다.

Step 4. 실행 결과 (실제 테스트)

하네스 아키텍처
전체 지도