권한 — 허용·물어봄·막기, 그리고 여섯 모드

클로드 코드를 수동 모드로 쓰면 파일을 고치거나 명령을 실행하기 전에 사장에게 허락을 구합니다. 지금 버전은 처음 켜면 자동 모드로 시작하는 것이 기본이라, 작업 폴더 안 파일 고치기는 묻지 않고 하고 명령 실행·인터넷 접속 같은 그 밖의 일은 또 하나의 AI가 사람 대신 판단합니다(모드 페이지 참고). 무엇을 묻지 않고 하게 두고, 무엇을 물어보게 하고, 무엇을 아예 막을지 정하는 일이 권한(permission) 관리입니다. 회사로 치면 결재 규정입니다. 좋은 브레이크가 달린 차라야 더 빨리 달릴 수 있듯, 권한을 잘 정해 둘수록 더 큰 일을 안심하고 맡길 수 있습니다. 권한의 선을 사람이 그어 주어야 하는 것은 AI가 어떤 일이 되돌릴 수 없고 위험한지를 스스로 가려내지 못하기 때문입니다. 이 약점이 왜 생기는지는 「AI는 자기가 한 일을 스스로 판단하지 못합니다」 페이지에서 설명합니다. 이 선을 회사 구조로 옮기는 이야기는 「만든 사람과 검사하는 사람을 나눕니다」 페이지에 있습니다.

큰 그림 — 위험도에 따라 셋으로 나눕니다

클로드 코드는 도구의 위험도에 따라 허락받는 방식을 셋으로 나눕니다.

위 표는 수동 모드 기준입니다. 들여다보기만 하는 일은 묻지 않고 바로 하고, 무언가를 바꾸거나 실행하는 일은 허락을 받습니다. 자동 모드에서는 작업 폴더 안 파일 고치기는 묻지 않고 하고, 그 밖의 허락은 또 하나의 AI가 대신 판단합니다.

또 하나의 기본 울타리가 작업 폴더 경계입니다. 클로드 코드는 실행한 폴더와 그 하위 폴더에만 파일을 씁니다. 상위 폴더나 엉뚱한 폴더의 파일은 별도 허락 없이 고치지 못합니다. 이 경계가 실수로 다른 폴더를 건드리는 일을 막아 줍니다.

허락 질문이 한꺼번에 여러 개 쌓일 때도 있습니다. 이때는 먼저 온 질문부터 차례로 뜨고, 질문 화면에 “2 of 5”처럼 지금 몇 번째 질문인지가 함께 보입니다. 새 질문이 읽고 있던 질문을 덮지 않으니 하나씩 읽고 답하면 됩니다. 시간 제한이 있는 질문만은 예외로, 읽던 질문 위에 바로 뜹니다.

부탁이 아니라 강제입니다

권한 규칙은 클로드 코드라는 프로그램이 직접 지키는 것이지, AI에게 말로 부탁하는 것이 아닙니다. 프롬프트(AI에게 건네는 지시)나 CLAUDE.md에 “이건 하지 마”라고 적으면 AI가 무엇을 하려 할지에는 영향을 주지만, 실제로 되고 안 되고를 바꾸지는 못합니다. 사규에 적힌 문장과 출입문 잠금장치의 차이입니다.

“하지 마라”라고 적어 두는 데서 멈추지 않고, AI가 설령 어기려 해도 프로그램이 막아서는 장치를 따로 둡니다. 진짜 통제는 아래에서 설명하는 권한 규칙과 권한 모드가 맡습니다. 이 원리를 경영 차원으로 넓힌 것이 책 13장의 통제경영입니다.

세 가지 규칙 — 허용·물어봄·막기

권한 규칙은 세 종류이고, 각각 하나의 목록으로 관리합니다.

• 허용(allow) — 묻지 말고 바로 쓰게 합니다.
• 물어봄(ask) — 쓰려 할 때마다 물어봅니다. 수동 모드에서 바꾸거나 실행하는 일은 규칙이 없어도 이렇게 묻습니다.
• 막기(deny) — 아예 쓰지 못하게 막습니다(마지노선).

규칙은 막기 → 물어봄 → 허용 순서로 검사하고, 먼저 걸리는 규칙이 결과를 정합니다. 그래서 막기가 항상 이깁니다. 같은 명령이 허용과 막기 목록에 동시에 들어 있으면 막기가 적용됩니다. 예를 들어 Bash(aws *)를 막아 두면, 더 구체적인 Bash(aws s3 ls)를 허용해 두었더라도 막힙니다. 규칙이 얼마나 구체적인지와 상관없이 이 순서는 늘 같습니다.

지금 들어가 있는 규칙을 보려면 슬래시 명령어 하나면 됩니다. 규칙 목록과 각 규칙이 어느 설정 파일에서 왔는지를 한눈에 보여 줍니다.

# 클로드 코드 입력창에
/permissions

전체 검사 순서 — 여섯 단계

방금 본 세 규칙은 사실 더 긴 검사 순서의 한가운데에 있습니다. 도구를 하나 쓰려 할 때마다 정해진 여섯 단계를 순서대로 밟고, 앞 단계에서 결판이 나면 뒤 단계는 건너뜁니다. 공항에서 보안 검색대를 차례로 지나는 것과 같습니다.

사장이 기억할 것은 막는 장치가 앞줄에 서 있다는 점입니다. 훅(정해진 순간이 오면 저절로 실행되는 자동 장치)과 막기 규칙이 1·2번이라, 뒤에 어떤 허용 규칙이 있어도 이 둘이 먼저 작동합니다. 확인을 거의 건너뛰는 bypassPermissions를 켜 두어도 이 둘은 그대로 살아 있습니다. 반대로 허용은 5번이라 늦게 오고, 앞에서 이미 승인된 도구는 마지막 6번 검사에 아예 도달하지 않습니다.

설정 파일을 손으로 고칠 필요는 없습니다

말로 시키면 됩니다.

# 클로드 코드 입력창에
파일 읽기는 항상 허용해 줘. 삭제·발송·결제는 어떤 경우에도 막아 줘.
반영 전에 바뀌는 내용을 먼저 보여 줘

이렇게 말하면 클로드가 바뀔 내용을 먼저 보여 주고, 내가 좋다고 해야 아래 문법의 규칙을 설정 파일에 적습니다. 적힌 결과는 /permissions로 확인하면 됩니다. 다음 항목의 문법은 “클로드가 써 준 규칙을 읽고 검사할 수 있는 눈”을 갖추기 위한 것입니다.

규칙 문법 — 괄호 안에 조건을 적습니다

규칙은 도구이름 또는 도구이름(조건) 형태로 씁니다. 조건을 빼면 그 도구의 모든 사용에 적용되고, 괄호 안에 조건을 넣으면 특정 경우만 좁혀 겨냥합니다.

터미널 명령어 규칙에서는 *가 “아무 글자나”라는 뜻의 만능 표시입니다. 아래는 npm 명령어와 git 커밋은 허용하되 git push만 막는 설정입니다.

# npm 명령·git 커밋은 허용, git push만 차단
{
  "permissions": {
    "allow": ["Bash(npm run *)", "Bash(git commit *)"],
    "deny": ["Bash(git push *)"]
  }
}

클로드 코드는 터미널 명령의 연결 기호(&&, ||, ; 등)도 이해합니다. Bash(안전한명령 *)를 허용해 두어도, “안전한명령 && 위험한명령”처럼 뒤에 다른 명령을 이어 붙인 것은 자동으로 통과되지 않습니다. 이어 붙인 명령은 하나하나 따로 규칙에 맞아야 합니다.

Read(읽기)·Edit(편집) 규칙에는 파일 경로를 적습니다. *는 폴더 이름 한 칸만 대신하므로 그 아래 폴더까지는 내려가지 않습니다. **는 아래로 몇 단계든 함께 포함합니다. 가장 흔한 쓰임새는 비밀번호나 열쇠(API 키) 같은 비밀 정보가 든 파일을 아예 못 읽게 막는 것입니다. 우리 회사도 비밀 파일은 읽기부터 막기 목록에 올려 두고 시작합니다.

# 비밀번호·열쇠 파일은 읽기 자체를 차단
{
  "permissions": {
    "deny": ["Read(./.env)", "Read(./.env.*)", "Read(./secrets/**)"]
  }
}

이 읽기·편집 막기 규칙이 적용되는 곳은 두 군데입니다. 클로드 코드가 직접 쓰는 파일 도구, 그리고 클로드 코드가 파일을 다룬다고 알아보는 터미널 명령어(cat, head 등)입니다. 파이썬 스크립트처럼 스스로 파일을 여는 다른 프로그램까지는 막지 못합니다. 모든 프로그램을 운영체제 차원에서 막으려면 별도의 샌드박스 기능을 켜야 합니다(맨 아래 항목).

규칙은 파일과 터미널 명령어에만 있는 것이 아닙니다.

• 웹 접근 — WebFetch(domain:example.com)처럼 도메인(사이트 주소) 단위로 어디에 접속할지 정합니다.
• MCP 도구 — 외부에서 연결한 MCP 서버의 도구도 규칙으로 다룹니다. mcp__puppeteer는 그 서버의 모든 도구를, mcp__puppeteer__puppeteer_navigate는 특정 도구 하나만 겨냥합니다.
• 서브에이전트 — Agent(Explore)처럼 특정 서브에이전트를 쓰지 못하게 막을 수 있습니다.

권한 모드 여섯 가지

규칙을 하나하나 정하는 대신, 세션(대화창을 열어 일하고 닫기까지) 전체의 일하는 방식을 한 번에 바꾸는 것이 권한 모드입니다. 모두 여섯 가지입니다. 넷은 대화 중에 Shift+Tab으로 돌려 쓰고, 남은 둘(dontAsk·bypassPermissions)은 클로드 코드를 켤 때 실행 옵션이나 설정으로만 지정하는 모드라 일상 운영에는 쓰지 않습니다.

위의 검사 순서에서 모드는 4번이라, 앞줄에 선 훅·막기·물어봄 규칙을 넘어서지 못합니다. 어떤 모드를 켜 두어도 막기 규칙에 걸린 일은 막히고, 물어봄 규칙에 걸린 일은 저절로 허락되지 않습니다. dontAsk 모드에서는 묻지 않고 거부하고, 나머지 모드에서는 그대로 물어봅니다. 그래서 모드는 묻는 횟수를 조절하는 손잡이이고, 마지노선을 세우는 일은 규칙 쪽에 맡깁니다. 여섯 모드가 각각 무엇을 하고 언제 쓰는지는 모드 페이지에 표로 정리해 두었습니다.

시작할 때 모드를 지정하려면 claude --permission-mode plan처럼 옵션을 붙입니다. 특정 프로젝트에서 늘 같은 모드로 시작하고 싶다면 설정 파일에 기본 모드를 적어 둡니다.

# 이 프로젝트는 늘 계획 모드로 시작
{
  "permissions": { "defaultMode": "plan" }
}

규칙을 어디에 적을까요 — 네 곳

권한 규칙은 여러 설정 파일에 나눠 둘 수 있고, 위치에 따라 적용 범위와 공유 여부가 다릅니다. 네 곳의 성격과 고르는 요령은 설정 파일 페이지에서 자세히 다룹니다.

여러 곳에 규칙이 겹치면 관리자 설정이 가장 우선하고, 그다음이 실행할 때 붙인 옵션·로컬·프로젝트·사용자 순입니다. 어느 한 곳에서라도 막아 두면, 다른 어디서도 그것을 허용할 수 없습니다. 안전을 위해 막는 쪽이 항상 우선입니다.

팀과 공유하는 프로젝트 설정의 허용 규칙은, 그 폴더를 믿는다고 확인하는 창(워크스페이스 신뢰)에서 한 번 수락해야 실제로 켜집니다. 남이 만든 폴더를 열자마자 위험한 허용 규칙이 저절로 적용되는 것을 막기 위해서입니다. 막기·물어봄 규칙은 제한만 하므로 이 확인 없이도 바로 적용됩니다.

작업 폴더 넓히기

클로드 코드는 기본적으로 실행한 폴더 안의 파일만 다룹니다. 다른 폴더도 함께 다루게 하려면 아래 세 가지 방법 가운데 하나로 넓힙니다.

• 시작할 때 — --add-dir <경로> 옵션을 붙입니다.
• 대화 중에는 — /add-dir 명령어를 씁니다.
• 늘 쓰려면 — 설정 파일의 additionalDirectories에 폴더를 적어 둡니다. 이 방법은 파일을 다루는 범위만 넓히고, 앞의 두 방법과 달리 그 폴더의 직원과 스킬은 읽어 오지 않습니다.

이렇게 더한 폴더도 원래 작업 폴더와 똑같은 권한 규칙을 따릅니다.

더 정교하게 — 훅과 샌드박스

정해진 규칙만으로 부족할 때는 훅으로 판단을 직접 더할 수 있습니다. 클로드 코드가 도구를 쓰려 할 때 먼저 훅이 끼어들어, 그 명령을 거부하거나 다시 물어보게 하거나 통과시킵니다. “이 목록의 명령어만은 무조건 막아라” 같은 나만의 검사를 넣는 식입니다. 다만 훅이 허용이라고 답해도 규칙을 넘지는 못합니다. 막기 규칙에 걸리면 여전히 막히고, 물어봄 규칙에 걸리면 여전히 물어봅니다. 훅이 건너뛰게 할 수 있는 것은 규칙이 없는 일의 질문뿐입니다.

샌드박스(sandbox)는 권한과는 다른 층의 안전장치입니다. 권한 규칙이 도구를 쓰기 전에 “이 사람을 방에 들여보낼까”를 문 앞에서 결정한다면, 샌드박스는 “일단 들어온 사람이 방 안에서 어디까지 손댈 수 있나”를 방 자체가 정해 두는 일입니다. 둘이 함께 작동해 겹겹이 지켜 줍니다.