세션 기록에는 프롬프트와 파일 내용이 다 남는다, 서버에 올린 적 있으면 claude purge

10월 8일 CrowdStrike 보고서로 알려진 국내 은행 해킹범은 자기 서버의 디렉터리 목록을 열어 둔 채였다. 연구자들은 거기서 CLAUDE.md와 Claude Code 세션 기록을 찾아 그가 Claude에게 무엇을 물었는지까지 읽었다. 범죄자가 당한 일이지만, 원리는 누구에게나 같다.

Claude Code는 대화 전체를 ~/.claude/projects/ 아래 .jsonl로 저장한다. 프롬프트, 읽은 파일 내용, 실행한 명령과 결과가 들어 있다. 서브에이전트 기록도 같은 자리의 subagents/ 아래에 남는다.

• 공유 서버나 CI 머신에서 돌렸다면 그 프로젝트의 기록을 지운다. projects/ 아래 대화 기록과 자동 메모리, 세션별 tasks·debug·file-history, history.jsonl의 해당 줄까지 지우고, 지우기 전에 목록을 보여 주고 확인을 받는다(v2.1.288부터 이 이름).

claude purge ~/work/my-repo --dry-run   # 무엇을 지울지 먼저 본다
claude purge ~/work/my-repo

붙여 넣은 이미지는 임시 폴더에 따로 있어 이 명령으로는 안 지워진다.

• 기본 보관 기간은 30일이다. 설정에서 줄일 수 있다.

// ~/.claude/settings.json
{ "cleanupPeriodDays": 7 }

• .claude/와 CLAUDE.md를 웹 서버의 공개 경로 아래에 두지 않는다. 디렉터리 목록(autoindex)은 끈다.