핵심 요약

• 무엇: K-Dense-AI/scientific-agent-skills — 166개 연구용 Agent Skills + 100여 개 과학 DB 연동, MIT 라이선스
• 누가: 논문 리터처리 리뷰, 생물정보학 파이프라인, 데이터 분석·시각화를 에이전트에 맡기는 연구자·학생·데이터 분석가
• 어떻게: npx skills add 한 줄 또는 gh skill install (v2.69.0 릴리스, 2026-09-11)
• 주의: 스킬별 API 키 필요 여부가 다르고, 실행 권한이 강하므로 필요한 스킬만 골라 설치하고 버전을 고정한다
• 검증: 본문의 설치·제거 절차와 결과는 2026-09-16 격리 환경에서 직접 실행해 확인했다

Scientific Agent Skills란 무엇인가

Scientific Agent Skills는 미국 스타트업 K-Dense가 2025년 10월부터 공개해 온 연구용 스킬 라이브러리다. 하나의 저장소에 SKILL.md 형식의 Agent Skills 166개가 들어 있고, 생물정보학·화학정보학·임상 연구·머신러닝·지리공간·연구 방법론 같은 영역을 문서+예제+스크립트 형태로 담는다. Agent Skills 표준(agentskills.io)을 읽을 수 있는 호스트라면 Claude Code, Codex, Cursor, Gemini CLI, Antigravity 어디서든 쓸 수 있고, plugin.json을 포함해 Agent Plugins 1.0.0 패키지로도 동작한다.

이 프로젝트의 차별점은 규모와 검증이다. 100개 이상 공개 과학 데이터베이스(PubChem, ChEMBL, UniProt, COSMIC, ClinicalTrials.gov, FRED 등)에 대한 조회 절차를 스킬로 문서화했고, 기여 스킬은 리뷰를 거치며 Cisco AI Defense Skill Scanner로 자동 보안 스캔을 돌린다. 2026-09-03에는 기법을 설명하는 논문이 arXiv(2609.00065)에 올라와 있어, 단순 프롬프트 모음이 아니라 “절차적 지식 라이브러리”를 지향함을 알 수 있다.

기본 정보 (2026-09-16 확인)

Stars 증가 속도는 이번 관측이 첫 스냅숏이라 증분 실측치는 아직 없다(provisional). 다만 공개 이후 11개월간 45,057★, 최근 일주일 커밋 61건, 9월 들어 v2.66→v2.69 릴리스가 3번 나오는 등 유지보수 활동은 살아 있음을 GitHub API로 확인했다.

어떤 문제를 풀고, 누가 쓰나

LLM 에이전트에 “EGFR 억제제 후보를 정리해줘” 같은 연구 과제를 주면, 보통은 동작하는 코드는 만들지만 그 분석이 방법론적으로 방어 가능한지는 보장하지 못한다. 어떤 통계 검정을 그 분야에서 받아들이는지, 어떤 식별자 네임스페이스가 권위 있는지, 결과에 어떤 주의사항이 붙어야 하는지는 절차적 지식이기 때문이다. Scientific Agent Skills는 바로 이 절차적 지식을 스킬로 정리해 에이전트가 참조하게 한다.

유용한 경우:

• 문헌 리뷰(literature-review), 인용 관리(citation-management), 논문 슬라이드·포스터(scientific-slides) 같은 연구 커뮤니케이션 작업
• Scanpy 단일세포 분석, RDKit 분자 속성 계산, pydicom 의료영상 처리 같은 전문 파이썬 워크플로
• ChEMBL·PubChem·ClinicalTrials.gov 등 공개 DB 조회가 반복해서 필요한 데이터 파이프라인
• “AI 과학자”류 실험을 해보고 싶지만 프롬프트를 매번 다시 쓰기 번거로운 연구자

추천하지 않는 경우:

• 일반 웹 개발·앱 코딩이 주 업무인 사람 — 이 라이브러리는 과학·연구 절차에 특화되어 있다
• 스킬이 에이전트에게 강한 실행 권한을 준다는 점을 검토 없이 받아들이고 싶은 환경 — 보안 검토 없이 166개 전체를 설치하는 것은 권장하지 않는다
• API 키를 못 쓰는 폐쇄망 — 일부 스킬(OpenRouter 연동 스키매틱 생성 등)은 키가 있어야 동작한다

Claude Code·Codex·Hermes별 설치와 제거

공식 README는 세 가지 설치 경로를 제공한다. 공통 원칙은 “필요한 스킬만 골라서, 버전을 고정해 설치하라”는 것이다.

방법 1: npx skills (표준 설치기)

# 전체 설치
npx skills add K-Dense-AI/scientific-agent-skills

# 특정 스킬만 설치 (권장)
npx skills add K-Dense-AI/scientific-agent-skills --skill literature-review

설치되는 위치는 호스트별로 다르다. Claude Code는 ~/.claude/skills/, Codex는 ~/.codex/skills/, 공용 컨벤션은 프로젝트 단위 .agents/skills/다. 설치기가 감지한 호스트 목록을 출력하므로 결과 메시지에서 자기 호스트가 포함됐는지 확인한다.

방법 2: gh skill (GitHub CLI 2.90.0+)

# 버전 고정 설치 (재현성 확보)
gh skill install K-Dense-AI/scientific-agent-skills --pin v2.69.0 --agent claude-code
gh skill install K-Dense-AI/scientific-agent-skills --pin v2.69.0 --agent codex

# 업데이트 확인
gh skill update --all

# 제거
gh skill uninstall <skill-name>

방법 3: Hermes Agent

Hermes는 스킬 탭 기능으로 이 저장소 전체를 소스로 추가할 수 있다.

hermes skills tap add K-Dense-AI/scientific-agent-skills
hermes skills list
hermes skills tap remove K-Dense-AI/scientific-agent-skills

설치 시 바뀌는 경로와 원상복구

• Claude Code: ~/.claude/skills/<skill-name>/ 디렉터리 추가 → 제거 시 해당 디렉터리 삭제로 원상복구
• Codex: ~/.codex/skills/<skill-name>/ 동일 구조
• 프로젝트 공용: <프로젝트>/.agents/skills/<skill-name>/ → 폴더 삭제면 끝
• 어떤 경로도 설정 파일 레지스트리를 바꾸지 않는다(스킬 디렉터리 스캔 방식)는 점을 격리 검증에서 확인했다

직접 검증한 내용 (2026-09-16, 격리 환경)

이 글의 설치·제거 절차는 실제 환경에서 분리된 임시 HOME으로 검증했다. 실제 사용자 홈은 변경되지 않았다.

실행한 검증:

1. 임시 디렉터리에 격리 HOME·XDG 환경변수를 설정한 뒤 npx skills add K-Dense-AI/scientific-agent-skills --skill literature-review -y를 실행했다.
2. 설치 결과 ./.agents/skills/literature-review/SKILL.md가 생성됐고, 설치기 출력에 “Installed 1 skill · universal: Amp, Antigravity, Codex +15 more”가 확인됐다. 설치 전 skills.sh 진단 화면이 떠서 해당 스킬의 위험도(High Risk 아님, 알림 0건)를 같이 봤다.
3. 설치된 SKILL.md의 프론트매터를 열어 allowed-tools: Read Write Edit Bash, 선택적 환경변수 OPENROUTER_API_KEY(필수 아님)를 확인했다.
4. npx skills remove literature-review -y로 제거했다. 제거 후 .agents/skills에 스킬이 0개인 것을 확인했다.
5. 실제 사용자 홈에는 .agents 디렉터리가 만들어지지 않았고, 기존 .claude 설정에도 변화가 없음을 확인했다.

추가로 저장소 전체(커밋 330c8e7)를 내려받아 정적 보안 검사를 돌렸다:

• curl | bash 형태의 문자열 8건은 모두 저장소 스스로 작성한 보안 스캔 리포트(docs/security-report.md)가 위험 패턴을 문서화한 것이었다
• 하드코딩된 것처럼 보이는 API 키는 전부 your_api_key_here류 플레이스홀더였다
• 추천 텔레메트리·분석 엔드포인트는 발견되지 않았다
• 스킬별 참조 환경변수는 100여 개(대부분 공개 과학 DB·LLM 제공자 API 키)이며, 설치 자체에는 키가 필요 없다

검증하지 못한 것: 실제 연구 과제로 166개 스킬의 기능을 실행한 것은 아니다. 문헌 리뷰 스킬의 종단 결과물 생성, 데이터베이스 실조회, 생성형 스키매틱 이미지 출력은 이번 검증 범위 밖이다. 스킬이 “설치·인식·제거”되는지만 확인했고 기능 실행은 별도 과정이다.

권한·비용·보안: 숨기지 않는 주의점

• 실행 권한: Agent Skills는 에이전트가 임의 코드를 실행하고 패키지를 설치하며 네트워크 요청을 보낼 수 있게 유도할 수 있다. 저장소 보안 안내도 이를 명시적으로 경고한다.
• 보안 스캔: 기여 스킬은 리뷰와 Cisco AI Defense Skill Scanner 자동 스캔을 거치지만, 소규모 팀이 운영하는 커뮤니티 기여가 늘어나는 상황에서 모든 스킬을 완전히 검증했다고 보장하지 않는다고 스스로 밝힌다. 맹신은 금물이다.
• API 키·비용: 설치에는 키가 필요 없지만, OpenRouter 연동 이미지 생성(scientific-schematics), Exa 검색(exa-search), Adaptyv·Benchling 등 상당수 스킬은 각자 API 키를 요구한다. 키를 넣으면 해당 서비스 비용이 발생할 수 있다.
• 데이터 경계: 공개 과학 DB 조회는 각 DB의 이용약관을 따른다. 환자 데이터·미공개 연구 데이터를 다루는 스킬(clinical-reports 등)은 프라이버시 검토가 선행되어야 한다.
• 공급망: 의존성은 uv로 스킬별 설치된다. 버전 고정(--pin) 설치가 재현성 면에서 안전하다.
• 라이선스: MIT라 상업적 사용도 가능하지만, 스킬이 안내하는 외부 DB·API의 라이선스는 별개로 확인해야 한다.

기존 유명 도구와 비교: 무엇을 대체하고 무엇을 보완하나

이 영역에서 가장 잘 알려진 기준점은 Anthropic 공식 skills 저장소(anthropics/skills)다. 두 저장소를 같은 잣대로 비교하면 다음과 같다.

관계를 정리하면 보완재에 가깝다. Anthropic 공식 스킬은 범용 작업의 기본기를 담당하고, Scientific Agent Skills는 연구 절차라는 세로 영역을 깊게 파는 구성으로 함께 쓰는 것이 자연스럽다. MCP 서버와 비교하면 계층이 다르다. MCP는 도구 호출 인터페이스를 제공하고, 스킬은 절차적 지식을 에이전트 컨텍스트에 주입한다. DB 조회용 MCP 서버가 이미 있다면 스킬의 DB 안내와 병행할 수 있다.

• Scientific Agent Skills를 선택: 생물·화학·의학·데이터 분석 워크플로에서 절차적 정확성이 중요할 때
• 공식 skills를 선택: 연구 외 일반 작업이거나 Claude 공식 지침에 맞추고 싶을 때
• 함께 쓰기: 공통 기반은 공식 스킬, 연구 과제는 이 라이브러리에서 골라 붙이는 구성

안전하게 써보는 절차 (복사·붙여넣기용)

아래 프롬프트는 이 글의 URL을 코딩 에이전트에 붙여 넣어 설치를 맡길 때 쓸 수 있는 형태다. 검증용으로 가벼운 스킬 하나만 설치하도록 했다.

https://blog.kwt.co.kr/scientific-agent-skills-install-security-removal/ 글을 읽고
K-Dense-AI/scientific-agent-skills에서 literature-review 스킬 하나만 설치해줘.

규칙:
1. 버전을 v2.69.0으로 고정한다 (gh skill install ... --pin v2.69.0 또는 동등 방법)
2. 설치 전에 스킬의 SKILL.md와 scripts/ 내용을 먼저 보여주고 내 확인을 받는다
3. API 키, 토큰, 비밀값은 어떤 것도 입력하지 않는다
4. 운영 환경 파일을 수정·삭제하지 않고, ~/.claude/skills/ (또는 .agents/skills/) 아래만 변경한다
5. 설치 후 설치된 경로와 파일 목록을 보여준다
6. 되돌릴 때는 해당 스킬 디렉터리 삭제로 원상복구함을 보여준다

체크리스트:

1. 설치 전 SKILL.md 전문과 scripts/를 직접 읽었는가
2. 버전을 고정했는가 (브랜치 추적 설치가 아닌가)
3. 이 스킬이 요구하는 환경변수·API 키 목록을 확인했는가
4. 키가 필요한 스킬의 경우 예상 비용을 확인했는가
5. 제거 절차(디렉터리 삭제)를 알고 있는가
6. 공개 DB 조회라도 데이터 이용약관을 확인했는가

한국어 자료 현황과 이 글의 위치

2026-09-16 기준 한국어 검색으로 확인되는 안내글 대부분은 개명 전 “Claude Scientific Skills” 시절 정보다. 대표적인 글들이 2026년 1월~7월에 작성되어 스킬 수 135~170개로 제각각이고, 버전도 v2.38 전후의 옛 정보를 담는다. 개명 후 Agent Skills 표준 확장, v2.69.0의 166개 스킬 구성, gh skill 공식 설치 경로, 그리고 설치·보안·제거를 실측한 글은 이번 확인 범위에서 찾지 못했다. 이 글은 그 갭을 메우는 최신 판으로 작성했다.

자주 묻는 질문

Claude Code 외에 Codex·Cursor에서도 되나?

된다. Agent Skills 공개 표준과 Agent Plugins 1.0.0 패키지 형식을 함께 지원해서, 공식 README 기준 Cursor·Codex·Gemini CLI·Google Antigravity 등에서 설치 방법을 안내한다. 설치 경로만 호스트별로 다르다.

166개 전체를 설치해도 되나?

기술적으로는 가능하지만 권장하지 않는다. 스킬 수가 많으면 컨텍스트가 낭비되고, 사용하지 않는 스킬의 API 키 요구·권한까지 떠안게 된다. 필요한 스킬만 골라 설치하는 것이 이 저장소의 안내와도 일치한다.

무료인가?

라이브러리 자체는 MIT로 무료다. 다만 일부 스킬이 OpenRouter·Exa 같은 외부 API를 쓰는데, 이 경우 해당 API 비용이 발생할 수 있다. 설치만으로 비용이 나가지는 않는다.

논문 인용이 필요한가?

연구 결과물에 활용했다면 저장소가 요구하는 인용 형식이 있다. arXiv 2609.00065 논문과 저장소의 Citation 항목을 참고한다.

이전에 “Claude Scientific Skills”로 들었는데 다른 건가?

같은 프로젝트다. Claude 전용에서 Agent Skills 표준으로 확장되면서 이름이 바뀌었다. 옛 이름으로 된 안내글은 버전·스킬 수가 현재와 다를 수 있으므로 이 글의 2026-09-16 기준 정보를 참고한다.

참고 자료

• 공식 저장소: K-Dense-AI/scientific-agent-skills
• 기술 논문: Scientific Agent Skills: A Library of Procedural Knowledge for Research Agents (arXiv 2609.00065)
• Agent Skills 표준: agentskills.io / Agent Plugins 규격
• 보안 안내: 저장소 내 Security Disclaimer 및 스킬 보안 블로그
• 이 블로그의 관련 글: oh-my-hermes 설치·보안·제거 검증, Figwright 피그마 MCP 연동

The post 코딩 에이전트를 연구 도구로 바꾸는 166개 스킬 팩: Scientific Agent Skills 설치·보안·제거 직접 검증 appeared first on .

ripwire는 AI가 코드를 읽기 전에 관련 함수와 호출 관계를 추려주는 로컬 탐색 도구다. Claude Code·Codex가 낯선 저장소에서 검색과 파일 읽기를 반복할 때, 먼저 볼 코드의 후보를 좁히는 데 쓴다.

필요한 사람: 큰 프로젝트에서 버그 위치나 변경 영향을 찾는 데 시간을 쓰는 개발자다. 반대로 작은 프로젝트이거나 수정할 파일·함수를 이미 알고 있다면 기존 검색만으로 충분할 수 있다.

기대 이득: 불필요한 코드 읽기와 컨텍스트 낭비를 줄이는 것이다. 다만 이 글은 동일 작업의 에이전트 총사용 토큰을 A/B 측정하지 않았다. 몇 % 절감된다고 보장하지 않는다.

사용 전과 후: “캐시가 갱신되지 않는 버그를 고쳐줘”

같은 요청을 처리할 때의 차이는 코드를 읽기 전에 지도를 보느냐다. 아래는 공식 기능을 바탕으로 재구성한 탐색 흐름 예시다. 실제 실행 로그나 성능 벤치마크는 아니다.

사용 전: rg -n "cache" .로 일치하는 줄을 찾고, 후보 파일과 호출부를 읽어 수정 범위를 좁힌다. 정확한 이름을 알고 있다면 이 방법이 간단하다.

사용 후: ripwire . --for="cache invalidation" --token-budget=1500로 작업 관련 심볼 후보를 먼저 받는다. 에이전트는 그 후보의 원문과 테스트를 확인한다. 읽을 대상을 고르는 순서가 달라질 뿐, 원문 검증과 테스트가 사라지지는 않는다.

따라서 ripgrep의 완전한 대체재가 아니라 보완재에 가깝다. 문자열 위치 찾기는 ripgrep, 작업 관련 구조와 관계를 먼저 훑는 일은 ripwire가 맡는다. Red Hat Emerging Technologies가 공개한 도구라는 배경보다 이 차이가 도입 판단의 핵심이다.

적용 방법: MCP 없이 CLI부터

검증 기준은 v0.6.0이다. 공식 릴리스에서 운영체제·CPU에 맞는 바이너리와 체크섬을 받고 SHA-256 일치를 확인한 뒤 실행한다. 설치 스크립트를 쓴다면 먼저 내용을 검토한다. 감지된 에이전트에 스킬 링크도 만들 수 있으므로 바이너리만 추가되는 것으로 생각하면 안 된다.

ripwire --version
ripwire . --doctor
ripwire . --for="cache invalidation" --token-budget=1500

코딩 에이전트에는 “수정 전에 위 명령으로 관련 코드 후보를 찾고, 후보 원문과 테스트를 확인해줘”라고 요청하면 된다. 셸 호출이 가능하다면 MCP 등록은 필수가 아니다. 자동 호출을 원할 때 스킬 연결을 검토하고, MCP·훅은 필요성이 확인된 뒤 별도로 추가한다.

검증 범위와 꼭 알아둘 한계

기존 검증(2026-09-11~12, Linux ARM64)에서는 체크섬·실행·저장소 파싱·작업별 후보 출력·스킬 연결 및 제거를 확인했다. 에이전트의 버그 수정 성공률이나 토큰 절감률까지 검증한 것은 아니다. 제작자 벤치마크를 내 프로젝트의 효과로 그대로 적용하면 안 된다.

예산은 엄격한 상한이 아닐 수 있다. 기존 --token-budget=1500 시험에서도 over_ceiling="1"이 나왔다. 출력 크기와 누락 여부를 확인해야 하며, 후보에 없는 파일도 실제 수정에 필요할 수 있다.

로컬 분석과 AI 전송은 별개다. 분석은 로컬에서 가능하지만 결과를 클라우드 에이전트에 전달하면 코드 정보가 해당 서비스로 나간다. 낯선 저장소의 Git 설정도 주의한다. v0.6.0 x86 사전 빌드는 x86-64-v3를 요구하므로 구형 CPU는 호환성을 확인한다.

설치·제거 범위를 확인한다. 격리 시험은 HOME뿐 아니라 HERMES_HOME 등 에이전트별 경로도 분리해야 한다. 기존 시험에서도 실제 Hermes 경로에 링크가 생겨 제거했다. 삭제는 공식 제거 절차에 따라 바이너리·캐시·해당 스킬 링크·직접 등록한 MCP를 구분해 처리한다.

결론: “AI가 매번 어디부터 읽을지 헤맨다”면 시험할 가치가 있다. 이미 읽을 위치를 안다면 굳이 추가하지 않아도 된다. 도입 효과는 같은 작업의 토큰 사용량과 결과 정확도를 함께 비교해 판단한다.

출처

공식 저장소·기능 설명 · 제작자 평가와 측정 조건 · 보안 정책

The post AI가 읽을 코드부터 좁혀 불필요한 탐색 줄이기 — ripwire appeared first on .

핵심 요약

• 문제: Claude Code/Codex에 자율 권한을 주면 호스트 전체가 폭발 반경이 된다. 프롬프트 인젝션 한 번에 ~/.ssh, 브라우저 프로필, .env가 노출될 수 있다.
• 해결: coop은 에이전트를 일회성 VM에 넣는다. VM마다 독립 파일시스템·네트워크·Docker 데몬이 있고 생성/삭제가 저렴하다.
• 차별점: 범용 샌드박스가 아니라 Claude Code·Codex 실행에 필요한 것(프로젝트 동기화, CLI 설치, 자격 증명 전달, 프록시 모드)을 모아둔 에이전트 전용 도구다.
• 검증: 2026-09-10 격리 HOME에서 v0.6.0 실제 설치·진단·제거를 수행했다. 실제 사용자 환경 파일은 변경 없음을 해시로 확인했다.
• 비용: 오픈소스(Apache-2.0) 무료. 에이전트 사용료(Anthropic/OpenAI API 또는 구독)는 별개다. 텔레메트리 없음, 업데이트 확인만 GitHub API 호출.

coop이 무엇인가: 이름·생김새·상태

총 stars가 208개로 적어 보이지만, 이 글의 판단 기준은 총량이 아니라 최근 활동과 외부 수요다. v0.6.0이 전날(09-09) 나왔고, 커밋·이슈 대응·문서가 매일 갱신된다. 반면 경쟁 후보로 검토한 다른 신규 도구들은 한국어 가이드가 이미 많거나(ponytail), 이 블로그 최근 글과 검색 의도가 겹치거나(memory 계열), 독립 수요 신호가 없어 탈락시켰다.

왜 필요한가: 권한 우회와 격리는 세트다

Claude Code나 Codex를 자율적으로 쓰다 보면 권한 프롬프트가 반복돼 --dangerously-skip-permissions 같은 플래그에 손이 간다. 이 순간 에이전트는 호스트 셸에서 사실상 무제한 권한을 갖는다. Anthropic 공식 문서도 이 위험을 인정해 샌드박스 환경 선택 문서에서 “명령별 샌드박스 Bash부터 개발 컨테이너, VM까지” 계층적 격리를 안내한다. 공식 문서 표에서 VM은 “전체 운영 체제 격리, 설정 노력 높음”으로 분류된다.

coop의 주장은 이 “노력 높음”을 대신 해주겠다는 것이다. coop up 한 번으로:

1. 프로젝트 디렉터리를 VM의 /workspace에 복사/동기화한다.
2. 게스트에 Claude Code·Codex CLI, git, Docker, 빌드 도구가 담긴 템플릿 이미지로 VM을 띄운다.
3. coop claude / coop codex로 게스트 안에서 에이전트를 실행한다. 이때 게스트의 ~/.claude/settings.json은 defaultMode: bypassPermissions로 coop이 직접 작성한다. VM 자체가 격리 경계이므로 안에서는 프롬프트를 없애는 게 설계상 의도다. 프롬프트를 유지하려면 coop claude --ask를 쓴다.

즉 “권한 프롬프트 피로도 호스트 노출”이라는 트레이드오프를 “VM 안에서는 전부 허용, 밖으로는 못 나감”으로 치환한다. 이 접근은 Trail of Bits가 문서화한 트러스트 모델에서 명시적으로 선언된다. 게스트 내부에는 보호할 권한 경계가 없고, 폭발 반경이 곧 VM이다.

누구에게 유용한가, 아닌가

유용한 경우

• Claude Code/Codex를 무인(autonomous)으로 오래 돌리는 개발자. 프롬프트 인젝션이나 에이전트 실수로 호스트가 오염되는 것을 구조적으로 차단한다.
• 한 대의 머신에서 여러 클라이언트 프로젝트를 다룬다. VM마다 파일시스템이 분리되므로 프로젝트 간 침범이 없다(HN 댓글에서 실사용자가 언급하는 대표 사례).
• 신뢰할 수 없는 저장소의 코드를 에이전트에게 분석·실행시켜야 할 때. 검사 대상을 VM 안에 가둔다.
• CI가 아니라 로컬에서 격리가 필요할 때. E2B 같은 클라우드 샌드박스와 달리 로컬 리소스로 돈다.

추천하지 않는 경우

• 리눅스에서 /dev/kvm이 없는 VPS/컨테이너 환경. Firecracker 백엔드가 뜨지 않는다.
• Apple Silicon이 아닌 맥(Intel). Lima 백엔드 공식 지원 밖이다.
• 리눅스 arm64(예: 라즈베이 파이·ARM VPS). 바이너리는 있지만 “untested”라고 공식 문서가 명시한다. 이번 검증 환경도 arm64라 설치·진단까지만 확인했다.
• 가벼운 파일 질의·대화형 편집이 전부라면 OS 수준 샌드박스(예: Claude Code 내장 샌드박스 Bash, macOS Seatbelt)가 더 저렴하다.
• 윈도우는 지원하지 않는다.

기존 유명 도구와 비교: 무엇이 다르고 무엇을 대체하나

coop은 부분 대체 + 상황별 보완 관계다. 비교 대상은 세 층위로 나뉜다.

관계를 정리하면:

• Claude Code 내장 샌드박스 → 부분 대체. 일상적인 권한 프롬프트 감소 목적이라면 내장 기능이 충분하다. coop은 “전 OS를 통째로 가두고 그 안에서 완전 자율”이 필요할 때 선택한다. Anthropic 문서도 VM을 가장 강한 계층으로 분류한다.
• Docker 개발 컨테이너 → 직접 대체 후보. 컨테이너는 커널을 공유하므로 VM 탈출 경로가 이론상 더 많다. coop은 이미지에 에이전트 CLI와 자격 증명 파이프라인이 들어 있어 설정이 짧다. 이미 devcontainer를 쓰고 있다면 coop은 coop devcontainer로 기존 정의를 일부 해석한다.
• microsandbox(8,149 stars) / E2B(13,723 stars) → 다른 범주에 가깝다. 둘 다 범용 샌드박스 런타임/플랫폼이다. coop은 코딩 에이전트 워크플로(동기화·CLI·키)에 특화된 얇은 오케스트레이터다. HN 토론에서도 “docker sbx·microsandbox와 겹치지만 오픈소스 완전 공개가 차별점”이라는 반응이 있었다. Docker의 sbx는 라이선스가 독점적이라는 지적도 달렸다.

Claude Code·Codex에서 설치하고 제거하기 (직접 검증함)

이하는 2026-09-10 임시 홈(/tmp)에서 실제로 실행한 절차다. 실제 사용자 홈의 ~/.claude.json, ~/.claude/settings.json, ~/.codex/config.toml은 설치 전후 SHA-256 해시가 동일했다(변경 0건). 이 검증 환경은 리눅스 arm64라 VM 부팅(coop setup의 커널 내려받기)은 진행하지 않았다. 설치·목록·설정 생성·검증·제거까지가 직접 확인 범위다.

1단계: 설치 (v0.6.0 고정)

curl -fsSL https://raw.githubusercontent.com/trailofbits/coop/main/install.sh | VERSION=v0.6.0 bash

스크립트 동작을 요약하면: GitHub 릴리스에서 tarball과 SHA256SUMS를 내려받고, 체크섬이 일치해야 하며, gh CLI가 있으면 Sigstore 빌드 증명(attestation)까지 검증한다. 실패하면 설치를 거부한다. 실험 중 시스템 gh가 증명 명령을 지원하지 않는 구버전이라 “Attestation verification failed — refusing to install”로 중단됐는데, 이는 실패 폐쇄(fail closed) 동작이므로 정상이다. 이 경우 최신 gh를 설치하거나, 체크섬 검증 단계만으로 진행된다(스크립트가 안내문을 출력한다).

바이너리는 ~/.local/bin/coop과 ~/.local/bin/coop-proxy 두 개가 설치된다. v0.6.0부터 프록시 모드에 필요한 짝 바이너리다.

2단계: 무해한 진단 (VM 없이)

coop init        # ~/.coop/config.toml 기본 설정 파일 생성 (모두 주석, 비어도 유효)
coop validate    # 구성·사전요건 점검. KVM/Firecracker 부재는 경고만
coop list        # 인스턴스 목록. "No instances found"

검증 결과 validate는 “Config OK”와 함께 firecracker 바이너리 부재 경고를 냈다. VM을 만들지 않는 한 시스템 변경은 ~/.coop/config.toml 하나다.

3단계: 실제 사용 흐름 (요약)

coop setup                 # Firecracker·커널 설치 + 템플릿 이미지 빌드 (sudo 필요)
cd ~/code/my-project
coop up                    # 프로젝트 VM 생성·기동
coop claude                # VM 안에서 Claude Code 실행 (권한 프롬프트 기본 우회)
coop codex                 # VM 안에서 Codex 실행
coop push / coop pull      # 호스트↔게스트 파일 동기화
coop editor                # VS Code/Zed를 SSH로 게스트에 연결

API 키는 ANTHROPIC_API_KEY/OPENAI_API_KEY 환경 변수에서 자동으로 감지해 게스트에 전달한다. GitHub 토큰은 기본 꺼짐이고 github = "auto" 명시적으로 켜야 한다. v0.6.0의 프록시 모드([proxy] 설정)를 켜면 API 키를 게스트에 넘기지 않고 호스트의 coop-proxy가 자격 증명을 주입한다. 게스트는 기능 토큰만 갖는다.

4단계: 제거·원상복구

coop uninstall --keep-data   # 바이너리만 제거, ~/.coop 유지
coop uninstall --purge -y    # 바이너리 + ~/.coop 전부 제거

검증에서 --purge -y는 ~/.coop(설정·이미지·인스턴스)을 삭제하고 네트워크 브리지(br0) 정리를 시도했다(이 환경에서는 sudo 터미널이 없어 실패 메시지가 났지만 VM을 만든 적 없으므로 정리할 브리지도 없었다). 한 가지 발견: 제거 후 coop-proxy 바이너리는 남아 있었다. 완전한 제거를 원하면 rm ~/.local/bin/coop-proxy를 추가하면 된다. 호스트의 Claude Code/Codex 설정은 coop이 건드리지 않으므로 원상복구 대상도 없다.

격리된 검증을 원한다면 (붙여넣기용 프롬프트)

이 글의 URL을 코딩 에이전트에 붙여 넣고 아래처럼 요청할 수 있다. 운영 환경 변경 없이 임시 홈에서 안전하게 검증하는 프롬프트다.

블로그 글 https://blog.kwt.co.kr/coop-claude-code-codex-vm-isolation-install-security/ 을 읽고
trailofbits/coop v0.6.0을 임시 홈(/tmp/coop-test)에만 설치해 줘.
절차: 1) /tmp/coop-test 홈으로 HOME을 바꿔서 install.sh 실행(VERSION=v0.6.0 고정)
2) coop init && coop validate && coop list 출력 확인
3) coop uninstall --purge -y로 완전 제거, ~/.local/bin/coop-proxy도 삭제
4) 실제 홈(~/.claude, ~/.codex)의 파일 해시가 변하지 않았는지 전후 비교 보고
금지사항: 실제 API 키·토큰 입력 금지, coop setup(VM 생성) 금지, 실제 사용자 설정 변경 금지.

보안·권한·공급망: 숨기지 않고 정리

잘 설계된 부분

• 설치 스크립트가 체크섬을 강제하고 Sigstore 증명 검증을 지원한다. 증명 검증 실패 시 설치 거부(fail closed)를 직접 확인했다.
• 트러스트 모델 문서가 예외적으로 상세하다. 비밀을 argv가 아닌 SSH env 채널/stdin으로만 전달한다는 규칙, 게스트를 불신 대상으로 명시한 티오트 맵, 풀(pull)로 호스트에 오는 게스트 산출물의 오염 경로 정리까지 공개돼 있다.
• GitHub 토큰 전달 기본값이 꺼짐이고, 프록시 모드에서는 모델 API 키가 게스트에 상주하지 않는다. 프록시 프로세스는 Landlock(리눅스)/Seatbelt(macOS)로 자기감금한다.
• 텔레메트리 없음. 백그라운드 네트워크 호출은 업데이트 확인을 위한 GitHub API, DNS(8.8.8.8) 조회뿐이다(공식 문서 기준). updates.mode = "off"로 끌 수 있다.

알아야 할 위험·한계

• 게스트 내부는 무방비 상태로 돈다. bypassPermissions와 --dangerously-bypass-approvals-and-sandbox가 기본 적용된다. 격리 경계를 뚫는 버그(예: workspace 풀의 경로 탐색)가 있으면 의미가 훼손된다. 프로젝트는 이 경로들의 검증 규칙을 문서로 유지보수한다.
• 네트워크 송신은 기본 제한되지 않는다. 이슈 #2(게스트 egress 화이트리스트·오프라인 모드)는 아직 열려 있다. VM 안 에이전트가 외부로 데이터를 보내는 것 자체는 VM이 막아주지 않는다. 민감 데이터가 있는 프로젝트에서는 키 전달·마운트 범위를 최소화해야 한다.
• coop 설치·운영에 sudo가 쓰인다. Firecracker jailer와 TAP 네트워크 때문이다. 설치 스크립트 자체는 sudo를 요구하지 않지만 coop setup이 시스템 수준 도구를 설치한다.
• config.toml의 cmd: 값은 호스트에서 sh -c로 실행된다. 공식 트러스트 모델이 “config 파일은 호스트 코드 실행 표면”이라고 명시한다. 남의 config 파일을 함부로 가져다 쓰지 말아야 한다.
• 이번 검증에서는 VM 부팅·에이전트 실사용까지 가지 않았다(arm64 미테스트 환경). 실사용 성능·안정성 소감은 본 글의 검증 범위가 아니다.

실측 데이터: 관심 추이와 검증 로그

수요 신호를 정리하면:

• HN 독립 신호: 2026-09-07 프론트페이지 70점·토론 16건. “매일 쓴다”, “프로젝트 간 침범 차단이 핵심”, “docker sbx는 독점 라이선스라 여기로 갔다” 등 실사용·비교 중심의 댓글이 달렸다.
• 자동완성 신호: Google 자동완성에 claude code coop이 등장한다(2026-09-10 확인). 이는 특정 도구 조합 검색이 형성 중이라는 독립 신호다.
• 활동 신호: v0.5.4(07-14)에서 v0.6.0(09-09)까지 8개 릴리스. 최근 일주일 커밋 최신 2026-09-09. 이슈 #456 등 사용자 보고에 당일 문서 수정으로 대응했다.
• 증가율의 한계: 이 리포는 이번 실행에서 첫 스냅숏을 찍었으므로(provisional), 24시간·7일 실측 증가량은 아직 없다. 8분 간격 관측에서 +0이었고, 스냅숏 누적은 다음 실행부터 증분 계산이 가능하다. 총 stars 208은 E2B(13,723)·microsandbox(8,149) 대비 작다. 다만 2026-04-02 생성 후 최근 급등의 계기는 HN 노출과 v0.6.0 릴리스로 보인다.

절차 체크리스트: 도입 전 10가지

1. CPU 가상화 지원 확인: 리눅스 ls -l /dev/kvm, 맥은 Apple Silicon인지.
2. 사전 요건 설치: 맥 brew install lima, 리눅스는 curl tar e2fsprogs 등.
3. gh 최신 버전 설치(증명 검증용) — 선택이지만 권장.
4. VERSION=v0.6.0 고정 설치. 무분별한 latest 대신 버전을 명시한다.
5. coop init 후 ~/.coop/config.toml에서 github 기본값(off) 확인.
6. 첫 프로젝트는 중요하지 않은 저장소로 coop up 테스트.
7. coop claude --ask로 프롬프트 동작을 먼저 확인한 뒤 자율 모드로 전환.
8. API 키 노출이 걱정되면 [proxy] 모드 검토(v0.6.0+).
9. 정기적 coop update(체크섬·증명 자동 검증) 또는 updates.mode="off" 명시적 선택.
10. 제거 예행연습: coop destroy --all → coop uninstall --purge -y → coop-proxy 잔존 확인.

FAQ

Hermes에서도 쓸 수 있나?

Hermes 에이전트 자체를 격리하는 통합 기능은 없다. Hermes가 Claude Code/Codex CLI를 감싸서 쓰는 구성이라면 그 CLI를 coop VM 안에 두는 우회가 가능하다. 이 글의 검증 범위는 Claude Code/Codex 공식 대상이므로 Hermes 연동은 미확정으로 둔다.

Docker 컨테이너로 같은 효과를 낼 수 없나?

부분적으로는 가능하다. 하지만 컨테이너는 커널을 공유하므로 격리 강도가 VM보다 낮고, Claude Code/Codex CLI 설치·자격 증명 전달·프로젝트 동기화를 직접 스크립팅해야 한다. coop은 그 마찰을 없애는 것이 본체다. 반대로 격리 요구가 낮으면 컨테이너가 더 가볍다.

VM 안에서 인터넷 접속은 되나?

된다. 이것이 현재의 명시적 한계다. egress 화이트리스트는 이슈 #2로 열려 있다. 데이터 유출 우려가 크다면 프록시 모드로 키를 호스트에 두고, 마운트 디렉터리를 최소화한다.

윈도우에서 쓸 수 있나?

지원하지 않는다. WSL2에서 KVM 중첩이 되는 환경이라면 리눅스 백엔드 시도는 가능하지만 공식 지원이 아니며 이 글에서 검증하지 않았다.

설치했을 때 호스트에 무엇이 생기나?

~/.local/bin/coop, ~/.local/bin/coop-proxy, ~/.coop/(설정·이미지·키), 선택적으로 firecracker 바이너리가 ~/.coop 안에 생긴다. coop setup을 실행하면 시스템에 firecracker·커널·브리지 설정이 추가된다(제거 시 --purge가 정리). 셸 설정 파일은 건드리지 않는다. PATH에 ~/.local/bin 추가는 사용자가 직접 한다.

기존에 쓰던 Claude Code 설정(plugins, CLAUDE.md)은?

[claude] config_dir이 가리키는 ~/.claude에서 CLAUDE.md·rules·commands를 게스트로 복사하는 기능이 있다. 마켓플레이스·플러그인 자동 재설치도 config의 marketplaces/plugins 항목으로 지정한다.

함께 읽으면 좋은 글

• Agent Skill 설치 전 보안 검사: SkillSpector vs Snyk Agent Scan — 설치형 확장을 검사하는 다른 각도
• Claude Code가 매번 코드를 다시 읽는 문제, Graft로 끊기 — 토큰 절감 계열 확장
• Claude Code가 지난달의 나를 기억하게 만들기: deja-vu 설치·보안 검증 — 에이전트 확장 설치·보안 검증 시리즈

참고 자료

• 공식 저장소: github.com/trailofbits/coop
• 시작 안내: docs/getting-started.md
• Claude Code 통합: docs/claude-integration.md
• Codex 통합: docs/codex-integration.md
• 트러스트 모델: docs/trust-model.md
• v0.6.0 릴리스 노트: releases/tag/v0.6.0
• Anthropic 공식 샌드박스 문서: 샌드박스 환경 선택
• HN 토론: Coop – Isolated VM Environments (2026-09-07)

The post Claude Code에 맘껏 권한 주고 싶지만 내 노트북은 아깝다면: Trail of Bits coop 설치·보안·제거 직접 검증 appeared first on .

핵심 요약

• 정체: 코딩 에이전트 세션 로그 색인·검색 로컬 메모리 (MCP 서버 + CLI, Go 단일 바이너리, MIT 라이선스)
• 해결 문제: “이 문제 예전에 해결했었는데” — Claude Code/Codex/Cursor 등 22종 에이전트의 과거 세션을 통합 검색하고 MCP recall 도구로 자동 회수
• 차별점: mem0·CLAUDE.md 같은 기존 메모리 도구는 ‘앞으로 쌓는’ 방식, deja-vu는 ‘이미 디스크에 있는’ 과거 기록부터 색인. 임베딩·LLM 없이 어휘 검색이라 비용 0원
• 검증: 2026-09-06 격리 HOME에서 v0.19.3 설치·색인·검색·비밀값 가림·제거 직접 확인 (sha256 체크섬 일치)
• 주의: 세션 로그 통독 도구이므로 출처·체크섬 확인 필수. macOS·Linux가 공식 지원, Windows는 Scoop·zip으로 설치

deja-vu가 필요한 순간

에이전트는 세션을 끝내면 대부분 잊는다. Claude Code는 ~/.claude/projects에 JSONL로 대화를 쌓고, Codex는 ~/.codex에, Cursor는 자체 스토어에 기록을 남긴다. 파일은 있는데 아무도 검색하지 않는다. 결과는 반복 노동이다.

deja-vu README의 표현이 정확하다. “모든 메모리 도구는 비어 있는 상태로 시작해 앞으로 기록한다. deja는 가득 찬 상태로 시작한다.” 설치 즉시 이미 디스크에 있는 수개월치 세션을 전부 색인하기 때문에, 별도 학습 없이 첫 순간부터 과거 기록을 검색할 수 있다.

실제로 이런 질문이 가능해진다:

"jwt refresh rotation 이전에 처리한 적 있지? 기억 확인해줘"

에이전트가 MCP recall 도구를 스스로 호출해 8개월 전 세션의 해결 기록을 가져온다. deja install --auto를 켜면 세션 시작·프롬프트마다·파일 편집 전·명령 실패 후 등 훅 시점에 관련 기억을 자동으로 주입하도록 설정할 수도 있다.

기본 정보와 검증 시점

stars 증가 속도는 이 스냅숏 체계로 관측 중이다. 이 도구는 2026-09-06 이번 실행에서 처음 관측해 779 stars를 기록했다. 1일·7일 증분은 아직 이력이 없어 unavailable로 표기하며, 총 stars에서 역산한 평균 속도(7월 14일 생성 이후 약 54일간 약 14.4 stars/일의 단순 평균, provisional)로만 참고한다. 확정 가능한 사실은 7월 중순 HN 131점 논의 이후 약 7주 만에 779 stars에 도달했고, 9월 4~5일에도 매일 기능 커밋·이슈 마감이 이뤄지고 있다는 유지보수 활동이다.

Claude Code·Codex·Hermes 설치 방법

공통 준비 (macOS · Linux)

curl -fsSL https://raw.githubusercontent.com/vshulcz/deja-vu/main/install.sh | sh
deja install --auto

설치 스크립트를 직접 열어 확인한 동작은 다음과 같다. (1) GitHub 최신 릴리스 태그 조회 (2) 플랫폼별 tar.gz와 checksums.txt 다운로드 (3) sha256 비교 (4) ~/.local/bin/deja 설치 (5) PATH 등록 안내. 셸 프로필 수정은 대화형으로 y/N을 물어보고, 파이프 설치 시에는 안내 문구만 출력한다. --yes 플래그가 없으면 아무것도 강제로 바꾸지 않는다.

deja install --auto가 실제 배선 단계다. 발견한 에이전트별 MCP 설정에 recall 도구를 등록하고, 세션 시작 회수가 가능한 에이전트에서는 훅도 켠다. 이 단계가 에이전트 설정 파일을 수정하는 유일한 지점이다.

Claude Code (플러그인 마켓플레이스 방식)

claude plugin marketplace add vshulcz/deja-vu
claude plugin install deja-vu@deja-vu

Codex / 기타 MCP 클라이언트

MCP 서버로 연결한다. deja install이 ~/.codex/config.toml에 자동 등록해 주며, 수동으로는 각 클라이언트의 MCP 설정에 deja 바이너리를 stdio 서버로 지정한다. 데스크톱 앱은 릴리스에 포함된 .mcpb 번들을 열면 된다.

Hermes

deja install이 Hermes 프로파일(~/.hermes/config.yaml)도 감지해 배선한다. 격리 검증에서 deja sources 출력에 hermes ~/.hermes/profiles 스토어가 확인됐다.

Windows

install.sh는 셸 스크립트라 지원하지 않는다. Scoop 메인 버킷(scoop install deja-vu) 또는 릴리스의 deja-vu_<버전>_windows_amd64.zip을 받아 %USERPROFILE%\.local\bin에 두고 PATH에 추가한다.

설치 시 바뀌는 경로·파일

제거·원상복구

deja uninstall --all     # 각 에이전트에서 MCP 배선 제거 시도
rm -rf ~/.cache/deja     # 색인 데이터 완전 삭제
rm ~/.local/bin/deja     # 바이너리 삭제

deja uninstall --all은 자신이 수정한 배선을 되돌리려 시도하고, 색인 캐시는 별도 삭제가 필요하다. 원본 세션 로그(~/.claude/projects 등)는 건드리지 않는다 — 삭제해도 에이전트 기록은 그대로다.

무엇을 검증했고 무엇을 못 했나

직접 검증한 것 (2026-09-06, 격리 HOME)

• v0.19.3 linux_arm64 바이너리 다운로드 후 sha256 체크섬 일치 확인 (checksums.txt의 855661d4…와 로컬 계산값 동일)
• 임시 HOME에서 deja --version → deja 0.19.3 출력
• 가상 Claude Code 세션 JSONL 3메시지 색인 → deja index 성공 (claude: 1 session, 3 messages)
• deja "jwt refresh" 검색 → 세션 매치·발췌 출력 정상
• 비밀값 가림(redaction) 확인: 세션에 포함된 AWS 예제 키(AKIA…7EXAMPLE, AWS 공식 문서 예시용)를 검색했더니 색인에 없음. 색인 시점에 가려진다는 README 설명과 일치
• deja doctor --offline, deja sources로 지원 harness 목록·MCP 배선 상태 진단 정상 동작
• deja uninstall --all + 캐시 삭제로 임시 환경 정리. 실제 사용자 HOME은 변경 없음 확인

검증하지 못한 것

• 실사용 환경에서의 자동 recall 품질 (수개월치 실세션 대상 성능)
• deja sync ssh 기계 간 동기화, deja handoff 에이전트 전환
• LongMemEval-S 85.3%·LoCoMo 69.6% 벤치마크 수치 재현 (README·공식 문서 발췌이며 제3자 검증 아님)
• Windows 설치 경로

벤치마크 수치는 제작자 자체 측정이고 재현 스크립트가 저장소에 포함되어 있지만 이번 실행에서 돌려보지는 못했다. ‘밀리초 조회’ 성능 주장도 공식 문서 기준으로만 인용한다.

권한·보안: 숨기지 않고 정리

세션 로그에는 평소 에이전트에게 보낸 코드·설명이 통째로 담긴다. “읽는 도구”가 생긴다는 점 자체가 보안 의사결정이다. 회사 정책상 민감한 프로젝트는 exclude 패턴으로 처음부터 배제하는 것이 안전하다.

기존 도구와 비교: mem0·CLAUDE.md 대신 쓸 것인가

비슷한 문제(에이전트 기억)를 푸는 대표 도구와의 관계를 정리한다.

분류: 보완재에 가깝다. mem0처럼 ‘앞으로 쌓는’ 시맨틱 메모리와 deja-vu의 ‘이미 있는 것을 뒤지는’ 어휘 검색은 해결 계층이 다르다. CLAUDE.md는 프로젝트 관례를 적는 자리지 과거 세션 검색 도구가 아니다. Claude Code를 쓰면서 “예전에 이거 고친 기록 어디 있지?”를 자주 겪는다면 deja-vu를 먼저 붙이고, 필요하면 시맨틱 메모리를 함께 쓰는 구성이 합리적이다.

추천하는 경우

• Claude Code·Codex·Cursor 등 둘 이상의 에이전트를 같이 쓰며 기록이 쌓여 있는 개발자
• 반복해서 비슷한 버그·설정 문제를 풀고, 과거 해결 이력을 못 찾아 답답한 팀·개인
• 클라우드·임베딩 비용 없이 로컬에서만 해결하려는 경우
• 세션 로그가 민감하지 않거나 exclude로 통제 가능한 환경

추천하지 않는 경우

• 세션 로그에 규정상 외부 도구가 색인하면 안 되는 코드·데이터가 섞여 있고 제외 통제가 어려운 환경
• Windows 전용 개발 환경에서 공식 install.sh 경로를 원하는 경우 (Scoop·zip 우회 필요)
• ‘요약된 지식’을 원하는 경우 — deja-vu는 원문 회수 도구지 요약 엔진이 아니다
• 벤치마크 수치를 근거로 도입을 결정해야 하는 조직 (제3자 검증 아직 부족)

설치 전 체크리스트

1. 기존 세션 로그 백업: cp -r ~/.claude ~/claude-backup (필요 시)
2. 공식 저장소·릴리스 확인: GitHub vshulcz/deja-vu Releases에서 최신 태그와 checksums.txt 확인
3. 격리 검증 먼저: 임시 HOME에서 색인·검색 동작 확인 후 실제 환경 적용
4. 민감 프로젝트 제외: ~/.config/deja/exclude에 경로 패턴 사전 등록
5. 배선 범위 확인: deja doctor로 어떤 에이전트 설정이 바뀌는지 먼저 조회
6. 제거 절차 숙지: deja uninstall --all + rm -rf ~/.cache/deja
7. 운영 환경(실제 프로젝트 설정)에는 바로 적용하지 않고 개인 환경에서 먼저 운영

안전한 복사·붙여넣기 프롬프트

이 글을 읽은 뒤 Claude Code나 Codex에 그대로 붙여넣어 설치를 요청할 수 있다. 아래 프롬프트는 버전 고정·체크섬 확인·백업·격리 검증·제거 절차를 포함한다.

deja-vu(v0.19.3, github.com/vshulcz/deja-vu, MIT) 설치를 도와줘.
다음 절차를 정확히 지켜줘:

1. 먼저 백업: ~/.claude 디렉터리와 각 에이전트 MCP 설정 파일을
   ~/deja-install-backup-$(date +%Y%m%d)/ 로 복사해 줘.
2. 버전 고정: v0.19.3 릴리스의 linux 바이너리와 checksums.txt를 내려받고
   sha256sum으로 체크섬이 일치하는지 확인한 뒤 진행해 줘.
   최신 버전이 v0.19.3보다 높으면 먼저 알려주고 기다려 줘.
3. 격리 검증 먼저: 임시 홈(예: /tmp/deja-test)에서 deja --version,
   deja sources, 가상 세션 1건 색인·검색이 동작하는지 확인해 줘.
   실제 홈의 에이전트 설정은 아직 건드리지 마.
4. 격리 검증 결과를 보여준 뒤, 내가 승인하면 실제 환경에
   ~/.local/bin에 설치하고 deja install --auto로 배선해 줘.
   어떤 설정 파일이 바뀌었는지 하나씩 나열해 줘.
5. 보안 확인: 색인 대상에서 제외할 민감 프로젝트가 있으면
   ~/.config/deja/exclude에 추가하고, redaction 동작을
   테스트 문장으로 확인해 줘.
6. 마지막에 제거 방법을 안내해 줘:
   deja uninstall --all && rm -rf ~/.cache/deja

절대 하지 말 것: API 키·비밀 입력 요청, 운영 프로젝트 설정 변경,
체크섬 불일치 파일 실행, 백업 없이 에이전트 설정 수정.

FAQ

deja-vu는 에이전트 성능 벤치마크를 올려주는 도구인가?

아니다. 모델 성능을 바꾸는 도구가 아니라, 과거 세션에서 관련 기록을 찾아 현재 세션에 주입하는 회수 계층이다. “같은 실수를 반복하지 않게” 돕는 도구로 이해해야 한다.

임베딩 없이 어떻게 검색이 되나?

어휘(lexical) 검색과 시간 가중을 조합한 로컬 색인을 쓴다. 다중 단어는 AND, 정확 매치가 없으면 어형 변형·유사 철자로 확장한다. README 기준 조회 중앙값 약 0.4ms이며 이는 공식 문서 발췌다.

세션 로그가 크면 느려지지 않나?

수 GB 히스토리에서 밀리초 단위 조회를 목표로 설계됐다고 공식 문서에 명시돼 있다. 다만 이 수치는 제작자 측정이므로 자기 환경 규모로 검증 후 도입을 권한다.

mem0를 이미 쓰고 있는데 갈아탈 필요가 있나?

갈아탈 이유가 아니다. 둘은 보완 관계다. 이미 쌓인 과거 세션을 활용하는 건 deja-vu, 앞으로의 대화에서 시맨틱하게 기억하는 건 mem0의 영역이다.

회사 노트북에 설치해도 되나?

세션 로그 통독이 본질인 도구이므로 보안 정책부터 확인한다. 민감 프로젝트는 ~/.config/deja/exclude로 제외하고, 확실하지 않으면 보안 담당자에게 먼저 확인한다.

설치했더니 에이전트가 느려진 것 같다

deja install --auto가 켠 세션 시작 훅은 수십 밀리초 수준이라고 문서에 명시돼 있다. 그래도 부담되면 자동 배선 없이 바이너리만 두고 필요할 때 deja "<query>"로 수동 검색하는 구성도 가능하다.

공식 참고자료

• 공식 저장소: https://github.com/vshulcz/deja-vu
• 공식 문서: https://vshulcz.github.io/deja-vu/
• 보안 모델 문서: https://github.com/vshulcz/deja-vu/blob/main/docs/SECURITY-MODEL.md
• 벤치마크 페이지: https://vshulcz.github.io/deja-vu/guide/benchmarks.html
• 릴리스 (checksums·SBOM 포함): https://github.com/vshulcz/deja-vu/releases
• Hacker News 논의 (2026-07-15): https://news.ycombinator.com/item?id=48923111

The post Claude Code가 지난달의 나를 기억하게 만들기: deja-vu 설치·보안 검증 appeared first on .