AI 코딩 에이전트가 코드를 빨리 고칠수록 보안 확인도 빨라야 합니다. 자동으로 만든 코드가 인증, 입력 검증, 비밀 값 처리, command injection 같은 문제를 만들지 않았는지 같은 세션에서 확인할 수 있어야 합니다.
security-guidance plugin ↗은 이 확인을 맡는 공식 plugin입니다. Claude의 코드 변경을 세 단계로 살펴봅니다. 빠른 패턴 체크, 턴 종료 model review, commit/push 시점의 더 깊은 agentic review입니다. 발견한 문제는 같은 세션에서 바로 수정할 수 있습니다.
이 글은 작성 시점 2026-06-17 · Claude Code Week 22 문서 ↗ 스냅숏 기준으로 정리했습니다.
어떻게 동작하나
공식 문서 기준 security-guidance plugin은 세 단계로 작동합니다.
flowchart TD
A[Claude가 코드 수정] --> B[빠른 패턴 체크]
B --> C[턴 종료 model review]
C --> D{commit / push?}
D -->|예| E[deeper agentic review]
D -->|아니오| F[일반 작업 계속]
E --> G[취약점 후보 수정 또는 보고]보안 리뷰는 마지막 PR 단계에만 있지 않고, 코드가 만들어지는 흐름 중간에 여러 번 들어갑니다.
설치와 활성화
공식 Anthropic marketplace에서 설치합니다.
/plugin install security-guidance@claude-plugins-official현재 세션에서 plugin을 다시 읽게 하려면 다음 명령을 씁니다.
/reload-plugins프로젝트별 보안 규칙은 .claude/claude-security-guidance.md에 둘 수 있습니다.
# .claude/claude-security-guidance.md
- Never log access tokens, refresh tokens, or API keys.
- Treat user-controlled path segments as untrusted.
- Prefer parameterized queries over string interpolation.
- Flag shell execution that includes request data.보안 리뷰에서 살펴볼 관점
이 plugin을 도입할 때는 AI가 만든 코드를 어떻게 검수하고, 어디까지 자동 수정을 허용할지 정해야 합니다. 아래 네 가지를 확인합니다.
| 관점 | 설명 |
|---|---|
| AI 코드 리뷰 | 같은 세션에서 보안 관점을 추가하는 흐름 |
| 프로젝트 규칙 | .claude/claude-security-guidance.md로 도메인별 위험을 명시 |
| CI와의 관계 | 테스트/SAST 전에 빠른 feedback loop를 만드는 역할 |
| 승인 경계 | commit/push 시점에 더 깊은 review를 거는 이유 |
마무리
security-guidance plugin은 보안 리뷰를 별도 단계로 미루지 않고, 코드가 생성되는 루프 안에 넣습니다.
AI에게 코드를 맡긴다면 같은 세션에서 보안도 확인합니다. 이 plugin은 패턴 체크, 턴 리뷰, commit/push 리뷰로 그 확인을 정해진 시점마다 실행합니다.