클로드 코드 security-guidance 플러그인 설치하고 저장소 보안 규칙 더하는 법

클로드 코드(Claude Code)에 앤트로픽 공식 security-guidance 플러그인을 깔면, Claude가 코드를 고치면서 보안 취약점을 스스로 검토하고 그 세션 안에서 고친다. 따로 부를 명령은 없다. 10월 16일 X에서 '좋아요' 1500개를 넘긴 출시 전 보안 점검 글도 마지막 단계로 이 플러그인을 권했다.

1. 터미널 세션에서 설치한다. 범위를 물으면 user를 고른다.

/plugin install security-guidance@claude-plugins-official

Marketplace "claude-plugins-official" not found가 뜨면 마켓플레이스부터 추가하고 다시 설치한다.

/plugin marketplace add anthropics/claude-plugins-official

1. 검사는 세 번 돈다. 파일을 고칠 때마다 eval(, pickle, .innerHTML = 같은 위험 패턴을 문자열로 찾는다(모델은 부르지 않는다). 턴이 끝나면 별도 Claude가 그 턴의 git diff를 백그라운드에서 검토하는데, 턴당 파일 30개까지 보고 연속으로는 세 번까지 돈다. Claude가 Bash로 git commit이나 git push를 하면 주변 코드까지 읽는 더 깊은 검토가 붙는다(한 시간에 20번까지). 턴·커밋 검토는 git 저장소 안에서만 돌고, 셸에서 직접 한 커밋은 보지 않는다.

2. 팀원 로컬 세션에도 켜려면 저장소의 .claude/settings.json에 넣는다.

{
  "enabledPlugins": {
    "security-guidance@claude-plugins-official": true
  }
}

1. 저장소만의 규칙은 .claude/claude-security-guidance.md에 평문으로 적는다. 모델 검토가 기본 점검표와 같이 읽는다.

- /admin 아래 라우트는 DB를 읽기 전에 require_role("admin")을 부른다.
- customer_id는 INFO 이상 로그에 남기지 않는다.

Python 3.7 이상이 필요하고, 커밋 검토를 에이전트 방식으로 돌리려면 3.10 이상이어야 한다. 턴·커밋 검토는 사용량을 따로 쓰고 기본 모델은 Claude Opus 4.7이다. 모델은 턴 검토가 SECURITY_REVIEW_MODEL, 커밋 검토가 SG_AGENTIC_MODEL로 바꾸고, 모델 검토를 한꺼번에 끄려면 ENABLE_CODE_SECURITY_REVIEW=0을 준다. 플러그인은 쓰기나 커밋을 막지 않고 놓치는 것도 있다. 보안 대책 가운데 하나로 쓴다. 모든 요금제에서 쓸 수 있다.