클로드 코드 Claude Security 플러그인으로 저장소 전체 취약점 스캔하는 법
클로드 코드(Claude Code)의 Claude Security 플러그인을 돌리면 에이전트 여러 개가 저장소 구조를 읽고 위협 모델을 세운 다음 취약점을 찾는다. 찾은 것마다 별도 검증 에이전트가 반박을 시도하고, 거기서 살아남은 것만 보고서에 오른다. 코드를 쓰는 동안 검토하는 security-guidance 플러그인과 달리 필요할 때 한 번 깊게 훑는 도구다. 10월 16일 X에서 '좋아요' 500개를 넘긴 글도 이 순서를 권했다.
- 스캔할 모델부터 고른다. 취약점을 찾고 검증하는 에이전트가 세션 모델로 돈다. 플러그인 README는 Opus 5.5나 Fable 5.1을 권한다.
/model
- 공식 마켓플레이스에서 설치하고 플러그인을 다시 불러온다.
/plugin install claude-security@claude-plugins-official
/reload-plugins
Marketplace "claude-plugins-official" not found가 뜨면 /plugin marketplace add anthropics/claude-plugins-official부터 실행한다. Plugin "claude-security" not found가 뜨면 /plugin marketplace update claude-plugins-official로 목록을 새로 받고 다시 설치한다.
/claude-security를 실행하면 Scan codebase, Scan changes, Suggest patches 메뉴가 뜬다. 메뉴 없이 범위와 노력 수준을 바로 적어도 된다.
/claude-security scan the whole repo at high
시간과 토큰을 얼마나 쓸지 한 번 확인받고 나서 시작한다. 끝날 때까지 클로드 코드를 켜 두고, 진행 상황은 /workflows에서 본다. 저장소가 크면 API 계층이나 인증 코드처럼 한 영역씩 나눠 돌린다.
-
결과는 저장소 안
CLAUDE-SECURITY-<타임스탬프>/폴더에 쌓인다.CLAUDE-SECURITY-RESULTS.md에 발견마다 심각도(CRITICAL·HIGH·MEDIUM·LOW)와 공격 시나리오가 적혀 있고, 같은 내용이 JSONL과 SARIF로도 나온다. 폴더 안에.gitignore가 있어 실수로 커밋되지 않는다. -
/claude-security를 다시 열어 Suggest patches를 고르고 고칠 발견을 고르면patches/F1.patch처럼 발견마다 패치 파일이 생긴다. 패치는 저절로 적용되지 않는다. 셸에서 직접 적용하고 패치 하나에 PR 하나씩 낸다.
git apply CLAUDE-SECURITY-<타임스탬프>/patches/F1.patch
유료 요금제나 Anthropic API, 서드파티 제공자가 있어야 한다. 스캔이 dynamic workflows로 돌아서 Pro에서는 /config의 Dynamic workflows를 켜야 한다. python3 3.9 이상이 PATH에 있어야 하고, 변경분 스캔과 패치에는 git이 필요하다. 스캔은 사용량을 쓰고, 같은 코드를 다시 돌려도 결과가 달라질 수 있다.
출처