열 번의 패치가 Git 삭제 사고를 막았다. 주석 달린 스프린트.

Anthropic은 12일 동안 Claude Code 릴리스를 10개 내보냈지만, 그중 새 모델이나 눈에 띄는 대표 기능을 담은 것은 하나도 없었다. 핵심은 오히려 헤드라인이 없다는 점이다. 이것은 안정화 스프린트였고, 그 배포 속도 자체가 이야기다.

12일 안정화 스프린트란 무엇인가?

12일 안정화 스프린트는 Claude Code 2.1.174(6월 12일)부터 2.1.187(2026년 6월 23일)까지 이어진 릴리스 흐름을 말한다. 이 기간 Anthropic은 새 기반 모델이나 대표 기능을 추가하지 않고, 무인 에이전트 실행을 위한 보안 강화, 엔터프라이즈 거버넌스 제어, 안정성 수정에 집중했다 . 공식 변경 로그에는 이 기간의 릴리스 10개가 기록되어 있다. 자주 반복되는 "12일"이라는 표현은 엄밀히 말하면 대략적인 프레이밍이다. 2.1.180, .182, .184 같은 중간 빌드 번호는 별도로 문서화되어 있지 않기 때문에, 정확한 개수는 무엇을 집계하느냐에 따라 달라진다. 증가한 모든 빌드를 세는지, 문서화된 릴리스만 세는지에 따라 달라지는 셈이다 .

요약: 12일 스프린트는 Claude Code 2.1.174부터 2.1.187까지, 2026년 6월 12일부터 23일까지 문서화된 릴리스 10개를 가리킨다. 새 모델도, 대표 기능도 없었다. 무인 에이전트 실행을 위한 보안, 엔터프라이즈 거버넌스, 안정성 작업만 있었다. 신호는 특정 변경 하나가 아니라 그 속도다 .

이 기간을 관통하는 주제는 다섯 가지다. 함께 보면 Anthropic이 이제 무엇을 프로덕션 핵심 요소로 보는지 드러난다.

버그 표면이 Windows Terminal, WSL2, Ghostty, tmux, macOS Apple Events, VS Code, JetBrains, Bedrock GovCloud, MCP OAuth, worktree까지 넓게 걸쳐 있다는 점은 Claude Code의 사용 범위가 얼마나 확장됐는지를 보여준다 . Anthropic의 자체 문서도 Claude Code를 터미널, IDE, 데스크톱, 브라우저, CI/CD, Slack, 백그라운드 에이전트, 예약 작업, Agent SDK를 아우르는 단일 엔진으로 설명한다 .

그 범위를 보면 이 속도도 이해된다. 이 릴리스들은 모델의 최전선을 밀어낸 것이 아니라 운영의 최전선을 밀어냈다. 다중 에이전트와 무인 자율 실행을 더 안전하고 예측 가능하게 만드는 작업이었다. Anthropic은 명시적인 릴리스 속도 목표를 밝히지 않았으므로, 여기서의 해석은 추론이다. 보안, 엔터프라이즈 거버넌스, 다중 에이전트 안정성이 현재의 격전지이며, 회사는 이를 지키기 위해 매일 배포할 의지가 있다는 뜻이다 . 이어지는 섹션에서는 그 판단을 구체화한 패치들을 하나씩 짚는다.

2.1.183: 파괴적인 Git 및 IaC 작업 차단

6월 19일자 릴리스 2.1.183에서 자동 모드 안전성이라는 주장은 추상적인 이야기를 벗어난다. 사용자의 요청이 작업 폐기를 의미하지 않을 때 Claude Code가 특정 파괴적 버전 관리 및 인프라 명령을 거부하도록 만든 릴리스이기 때문이다 . 차단되는 git 명령은 git reset --hard, git checkout -- ., git clean -fd, git stash drop, 그리고 amend가 에이전트 자신이 작성한 것이 아닐 때의 git commit --amend다 . 동시에 이 릴리스는 인프라 코드에도 보호 장치를 추가했다. terraform destroy, pulumi destroy, cdk destroy는 요청이 삭제할 특정 스택을 명시하지 않는 한 거부된다 .

중요한 것은 목록보다 작동 방식이다. 이 게이트는 명령 문자열의 패턴 매칭이 아니라 의도 감지에 기반한다. 검사는 제안된 계획에 해당 명령이 등장했는지만 보는 것이 아니라, 사용자의 요청이 기존 작업 폐기를 의미하는지를 묻는다 . 그래서 에이전트가 지저분한 작업 트리를 "정리"하겠다며 스스로 git reset --hard를 실행하려 하면 막힌다. 반면 "내 로컬 변경 사항을 버리고 origin/main으로 리셋해" 같은 프롬프트는 폐기 의도가 명시되어 있으므로 통과한다. 이는 실제 실패 모드 하나를 닫는다. 자율 실행이 사용자가 제거하라고 요청한 적 없는 미커밋 작업을 조용히 지워버리는 문제다.

Claude Code를 무인으로 실행하는 사람에게는 마이그레이션상 영향이 있다. CI 작업, 예약 작업, 자동화 파이프라인에서 Claude를 통해 이런 명령을 실행하고 있다면, 그 파이프라인이 보내는 프롬프트를 점검해야 한다. 이전에는 일반적인 지시만으로 Claude가 git clean -fd나 cdk destroy를 실행하던 정리 단계도, 이제는 명시적인 폐기 의도가 프롬프트에 포함되어 있지 않으면 거부된다. IaC의 경우 스택 이름을 적어야 하고, git의 경우 로컬 작업을 버려야 한다고 분명히 말해야 한다 . 같은 릴리스는 서브에이전트 안에서 WebSearch가 빈 결과를 반환하던 별개의 안정성 버그도 수정했다. 이로써 새 보호 장치와 버그 수정이 함께 이어진 이번 스프린트의 성격이 그대로 유지됐다 .

무인 실행을 위한 더 촘촘한 격리: 2.1.187의 추가 사항

2026년 6월 23일 배포된 2.1.187 버전 은 에이전트가 무인으로 실행되는 동안 접근할 수 있는 범위를 더 좁혔다. 핵심 추가 사항은 샌드박스된 명령이 자격 증명 파일과 비밀 환경 변수를 읽지 못하게 막는 sandbox.credentials 설정이다 . 대상은 셸 명령을 실행하지만 실제 클라우드 비밀 정보가 필요하지 않은 에이전트형 실행이다. 샌드박스된 빌드나 테스트 단계는, 손상되었거나 잘못 유도된 명령이 데이터를 빼내거나 유료 API를 호출할 수 있게 하는 키 없이도 자기 일을 할 수 있다. 이것은 기능이라기보다 격리 기본값이며, 자동 모드의 역량을 넓히기보다 기본적으로 허용되는 동작을 더 엄격히 제한해 온 이번 스프린트의 흐름과 맞닿아 있다.

이번 릴리스는 조직에서 구성한 모델 제한도 일관되게 전파되도록 했다. 이제 차단된 모델은 모델 선택기, --model 플래그, /model 슬래시 명령, ANTHROPIC_MODEL 환경 변수에서 모두 거부되며, 허용되지 않은 모델을 고르면 "restricted by your organization's settings" 메시지가 표시된다 . 관리자에게 중요한 진입점은 마지막이다. 이전에는 UI 수준의 제한을 셸에서 ANTHROPIC_MODEL을 export하는 방식으로 우회할 수 있었다. 이제는 모든 진입점 전반에서 끝까지 강제되므로, 모델을 대화형으로 선택하든 CI 환경에서 프로그래밍 방식으로 설정하든 조직 정책이 그대로 적용된다.

• sandbox.credentials: 샌드박스된 명령이 더 이상 자격 증명 파일이나 비밀 환경 변수를 읽을 수 없다. 적용 범위는 에이전트형 셸 실행이다.
• 조직 모델 강제 적용: 제한이 선택기, --model, /model, ANTHROPIC_MODEL에 적용되어 환경 변수 우회를 막는다.
• 마우스 클릭 선택: 권한 프롬프트, /model, /config를 포함한 전체 화면 메뉴에 추가됐다.

세 번째 변화는 더 평범하지만 실용적이다. 이제 권한 프롬프트, /model, /config를 포함한 전체 화면 메뉴에서 마우스 클릭 선택이 동작한다 . 에이전트의 권한 요청을 실시간으로 검토하는 개발자에게는 대화형 승인 흐름에서 화살표 키로 옵션을 훑어야 했던 키보드 전용의 불편함이 사라진다. 세 가지 추가 사항을 함께 보면 방향은 같다. 무인 실행의 기본값은 더 엄격해지고, 여전히 루프 안에 있는 사람의 마찰은 줄어든다.

멈춘 작업과 SSH 환경 로그인을 위해 2.1.186이 추가한 것

2026년 6월 22일 릴리스된 2.1.186은 초점을 권한 가드레일에서 MCP 서버와 백그라운드 에이전트를 둘러싼 연결부로 옮겼다 . 핵심 추가 사항은 claude mcp login과 claude mcp logout 두 CLI 명령이다. 이 명령들은 대화형 /mcp 메뉴를 열지 않고 MCP 서버를 인증한다 . 설정을 스크립트화하거나 전체 TUI 밖에서 Claude Code를 실행하는 사람에게는, 이전에 터미널 앞의 사람이 필요했던 단계가 하나 사라진 셈이다.

실질적인 해제 지점은 --no-browser 플래그다. 이 플래그는 로컬 브라우저를 여는 대신 OAuth 흐름을 stdin으로 돌린다 . 브라우저가 없고 콜백 포트에도 접근할 수 없는 SSH 세션이나 헤드리스 CI 러너에서는 이제 인증 응답을 직접 붙여 넣을 수 있다. MCP 인증이 더 이상 그 외에는 무인으로 돌아가던 파이프라인을 깨뜨리는 지점이 아니게 된다.

같은 문제의 안정성 측면은 한 릴리스 뒤에 반영됐다. 2.1.187은 이전에는 무기한 멈춰 있던 원격 MCP 도구 호출에 5분 유휴 타임아웃을 추가해, 5분 동안 아무 응답이 없으면 호출을 중단한다 . 실제로 오래 걸리는 도구의 경우 기준값은 CLAUDE_CODE_MCP_TOOL_IDLE_TIMEOUT 환경 변수를 통해 구성할 수 있으므로, 장시간 실행 호출은 멈춤이 아니라 설정의 문제가 된다 .

2.1.186의 두 가지 작은 변경은 셸 출력과 에이전트 동작 사이의 루프를 더 단단하게 만든다.

• 느낌표로 시작하는 bash 명령이 이제 Claude의 자동 응답을 트리거한다. !로 시작하는 셸 명령을 실행하면 출력이 생성되고, 모델이 그 출력에 이어서 동작한다. 셸 출력은 만들어졌지만 명시적인 후속 요청이 있기 전까지 무시되던 간극을 닫은 것이다 .
• /workflows 에이전트 상세 보기의 상태 필터링. 이제 완료된 모든 하위 작업을 스크롤로 지나치지 않고, 큰 백그라운드 에이전트 트리를 상태별로 필터링할 수 있다. 깊은 다중 에이전트 실행을 검사할 때 유용하다 .

같은 릴리스는 iTerm2 teammate mode도 추가했고, 이름이 지정된 하위 에이전트 생성에 대한 Agent(type) 거부 규칙 적용도 수정했다 . 이들을 함께 보면 무인 실행 사례를 위한 배관 작업이다. 브라우저 없이 인증하고, 원격 도구가 조용해지면 빠르게 실패시키며, 큰 에이전트 트리를 사람이 읽기 쉬운 상태로 유지한다.

CJK 붙여넣기 깨짐, 오래된 재개 턴, 그리고 끝없이 반복되던 스키마

2.1.187에서 가장 긴 꼬리는 버그 수정입니다. 특히 Claude Code를 무인으로 돌리거나 영어가 아닌 언어로 쓰는 사람들에게 중요한 수정이 여럿 있습니다. 정확성 측면의 핵심 수정은 무한 루프를 막은 것입니다. --json-schema와 워크플로 구조화 출력 조합에서 모델이 StructuredOutput을 끝없이 다시 호출할 수 있었고, 2.1.187은 이를 중단시킵니다 . 검증된 객체 하나가 반드시 돌아와야 하는 자동화 파이프라인에서는, 이는 결정적으로 끝나는 단계와 무언가 타임아웃될 때까지 토큰을 태우는 실행의 차이입니다.

이와 함께 재개 경로의 결함 두 가지도 수정됐습니다. 원래의 -p 실행에서 모델 턴이 하나도 생성되지 않은 경우에도 --resume이 더 이상 "No conversation found"로 실패하지 않습니다. 이전에는 아직 출력을 만들지 않은 스크립트 세션이 이 경우에 고립되곤 했습니다 . "working" 상태에 갇혀 있던 백그라운드 작업도 해제되며, 재개되거나 포크된 서브에이전트의 깊이 추적도 바로잡혔습니다. 그래서 이번 스프린트 앞부분에서 다룬 중첩 한도가 오래된 카운트가 아니라 실제 깊이를 기준으로 측정됩니다 .

릴리스는 자신이 남긴 흔적도 정리합니다. 종료된 에이전트가 남긴 잠긴 .git/worktrees/ 항목이 이제 제거됩니다. 덕분에 다음 에이전트가 트리를 차지하기 전에 수동으로 git worktree prune을 해야 했던 고아 잠금 실패를 막을 수 있습니다 .

ASCII 밖에서 작업하는 사람에게 가장 눈에 띄는 수정은 가장 단순합니다. 붙여넣은 한국어와 다른 CJK 텍스트가 더 이상 모지바케로 깨지지 않습니다 . 터미널에 한글이나 일본어 프롬프트를 붙여넣으면, 이제 모델이 받는 내용은 사용자가 복사한 바로 그 내용입니다.

플랫폼별 수정 목록도 이를 보완합니다. Ghostty의 URL 열기가 고쳐졌고, VS Code의 대형 세션 재개가 다시 동작하며, 약 2.7초짜리 Remote 시작 지연 회귀도 사라졌습니다. 이 지연은 이전 빌드에서 agent-proxy CA 시스템 신뢰 설치가 추가되면서 들어온 것으로, 한 기능의 부작용이 같은 스프린트 안에서 포착되고 되돌려진 깔끔한 사례입니다 . 이들 중 어느 것도 기능은 아닙니다. 하지만 합쳐지면 매일의 빠른 배포 흐름을 위험한 것이 아니라 쓸 만한 것으로 만듭니다.

Fable 5 출시와 정부 명령, 그리고 달라진 것

이 수정들이 나온 같은 기간에는 모델 출시와 갑작스러운 철회도 있었습니다. 6월 9일 Anthropic은 Fable 5와 Mythos 5를 공개했고, Mythos급 모델 가격은 입력 토큰 100만 개당 10달러, 출력 토큰 100만 개당 50달러였습니다 Anthropic, 2026-06. Fable 5에는 안전 가드레일이 내장되어 있었습니다. 즉 분류기가 사이버보안, 생물학/화학, 또는 증류 요청으로 감지한 경우 Opus 4.8로 폴백합니다 releasebot, 2026-06. Claude Code는 6월 9일 빌드 2.1.170을 통해 접근을 연결했으므로, 새 모델들은 출시 당일 터미널까지 도달했습니다.

사흘 뒤 출시 흐름은 뒤집혔습니다. 6월 12일 오후 5시 21분(미 동부시간), 미국 정부의 수출통제 지침으로 Anthropic은 다른 모든 모델은 그대로 둔 채 Fable 5와 Mythos 5 접근을 전 세계적으로 중단해야 했습니다 Anthropic release notes, 2026-06. Anthropic은 그 근거에 이의를 제기했습니다. 근본 우려를 좁은 범위의 잠재적 jailbreak 문제로 설명했지만, 즉시 따랐습니다. 주말 사이 새 모델을 파이프라인에 넣어 둔 개발자들에게는, 주중에 접근 권한이 그냥 사라진 셈입니다.

이 시점을 읽어볼 만하게 만드는 이유는, 그 중단이 이번 스프린트의 거버넌스 작업과 같은 12일짜리 changelog 창 안에 놓여 있기 때문입니다. 조직 수준 모델 제한 강제 적용은 차단된 모델을 선택기, --model 플래그, /model, ANTHROPIC_MODEL까지 전파합니다. 여기에 분류기 기반 서브에이전트 생성 제한도 더해졌고, 바로 그 며칠 사이 외부 명령으로 한 모델이 철회되고 있었습니다. 두 흐름이 병렬로 달렸습니다. 제품 속도는 새 기능을 밖으로 밀어냈고, 사고 대응 태세는 이를 되돌리며 실행이 어떤 모델을 호출할 수 있는지 결정하는 제어 장치를 단단하게 만들었습니다. 모델 클래스 접근 권한이 예고 없이 바뀔 수 있다면, 조직 제한 배관은 바로 갖추고 싶을 메커니즘입니다.

이 병렬 흐름은 자율 실행에 기대는 팀에게 더 어려운 질문을 던집니다. 이런 결정을 가르는 분류기를 얼마나 신뢰할 수 있을까요? 2026년 4월 arXiv 스트레스 테스트는 주의할 만한 단서를 제공합니다. 이 논문은 자동 모드 권한 부여에 대해 Anthropic 자체 프로덕션 수치인 0.4%의 거짓 양성 및 17%의 거짓 음성을 보고하면서, 의도적으로 애매하게 구성한 워크로드인 AmPermBench에서 저자들이 측정한 81.0%의 종단 간 거짓 음성과 비교합니다 arXiv, 2026-04. 연구자들은 이 차이에 대해 신중합니다.

AmPermBench는 프로덕션 트래픽과 다른, 의도적으로 더 어려운 워크로드입니다. 이 수치들은 스트레스 테스트를 설명하는 것이지, 프로덕션 수치를 직접 반박하는 것은 아닙니다 (source: AmPermBench authors, arXiv 2026-04).

솔직하게 읽으면 이렇습니다. 두 숫자는 같은 것을 측정하지 않습니다. 하지만 고위험 실행에서 자동 모드 권한 부여에 의존한다면, 그 간격은 충분히 중요합니다. 무인 운영의 편의성은 이번 스프린트가 추가한 조직 수준 제한 및 분류기 게이트와 함께 사용하되, 분류기는 전체 울타리가 아니라 하나의 계층으로 다뤄야 합니다.

안정화 스프린트의 이면: Anthropic이 우선순위에 둔 것

전체적으로 보면, 이번 스프린트에서 Anthropic은 모델 성능보다 운영 안전성과 적용 범위 확대에 힘을 쏟고 있다. 2026년 6월 12일부터 6월 23일까지 문서화된 빌드가 대략 10개 배포됐고 , 손본 버그 영역이 이를 말해준다. Windows Terminal, WSL2, Ghostty, tmux, macOS Apple Events, VS Code, JetBrains, Bedrock GovCloud, Foundry, Vertex, MCP OAuth, GitHub App까지 걸쳐 있다. 이런 범위는 Anthropic의 자체 문서가 이제 Claude Code를 터미널, IDE, 데스크톱, 브라우저, CI/CD, Slack, Agent SDK 전반에서 작동하는 하나의 엔진으로 자리매김하고 있음을 보여준다 . 이제 이 각각은 계속 정상 작동해야 하는 1급 환경이 됐다.

패치 흐름에서 읽히는 투자 영역은 세 가지다.

• 무인 운영 안전성 — 샌드박스 자격 증명 격리와 파괴적인 git 및 IaC 명령 차단으로, 자율 실행이 실패할 때 닫힌 방향으로 실패하게 한다.
• 엔터프라이즈 거버넌스 — 조직의 모델 제한이 선택기, --model, /model, ANTHROPIC_MODEL까지 전파되고, 관리형 설정, Bedrock 리전, 사용량 귀속도 포함된다 .
• 멀티 에이전트 신뢰성 — 5단계 중첩 상한, 깊이 제한 적용, 포크되거나 재개된 서브에이전트 추적 보정이다.

Claude Code를 프로덕션에서 운영한다면, 여기서는 설치 채널이 중요하다. 네이티브 설치(claude-code@latest)는 백그라운드에서 자동 업데이트되며 패치를 즉시 받는 반면, Homebrew stable은 대략 1주일 늦고 주요 회귀가 포함된 빌드는 의도적으로 건너뛴다 . 무인 플릿에서는 Homebrew의 지연이 장점이다. 일일 배포 cadence가 필연적으로 만드는 변동을 걸러주기 때문이다.

Anthropic은 명시적인 릴리스 속도 목표를 공개하지 않았으므로, 이 속도는 계획이라기보다 태세로 읽는 편이 맞다. 자동 모드 권한 부여를 측정한 AmPermBench 저자들도 자신들의 결과를 조심스럽게 설명했다. 높은 false-negative 비율은 Anthropic의 프로덕션 수치와 “직접 모순되는 것이 아니라, 다른 더 어려운 워크로드”를 반영한다는 것이다 . 이 배포 cadence 자체도 같은 신중함으로 봐야 한다. 12일 동안 10개 빌드는 회사가 방어하기로 선택한 경계, 즉 멀티 에이전트 오케스트레이션과 안전한 무인 운영에 대한 사고 대응 태세이지, 안정화된 릴리스 리듬은 아니다. 구체적인 결론은 이렇다. 검증된 빌드를 고정하고, 변동을 흡수할 수 있는 곳에서만 네이티브 자동 업데이트를 사용하며, 매일 이어지는 스트림은 제품의 어느 부분이 아직 단단해지는 중인지 보여주는 증거로 보라.

자주 묻는 질문

Claude Code 2.1.187의 sandbox.credentials는 무엇을 하나요?

sandbox.credentials는 2.1.187에 추가된 설정으로, 샌드박스 안에서 실행되는 명령이 자격 증명 파일과 비밀 환경 변수를 읽지 못하게 막는다 . 임의의 셸 명령을 실행하는 에이전트형 실행을 겨냥한 기능이며, 이런 실행에서는 일반적으로 클라우드 시크릿과 저장된 토큰에 접근할 필요가 없다. 무인 에이전트가 실행해서는 안 되는 명령을 실행하더라도, 이 제어는 그 명령이 빼낼 수 있는 범위를 좁힌다. 직접 연결해야 하는 기능이라기보다 기본적으로 더 엄격해진 것이다.

Anthropic은 왜 2026년 6월에 Fable 5와 Mythos 5를 중단했나요?

미국 정부의 수출 통제 지침이 2026년 6월 12일 오후 5시 21분(ET)에 전달되면서, Anthropic은 전 세계에서 Fable 5와 Mythos 5 접근을 모두 중단해야 했다 . Anthropic은 그 근거가 좁은 범위의 잠재적 jailbreak edge case라고 보고 이의를 제기했지만, 지침에는 따랐다. 다른 모든 모델은 영향을 받지 않았으므로, 가장 최신 Mythos급 티어만 중단됐고 나머지 라인업은 계속 작동했다.

Claude Code는 이제 자율 실행에서 어떤 git 명령을 차단하나요?

2.1.183(2026년 6월 19일)부터 Claude Code는 사용자가 작업 폐기를 명시적으로 요청하지 않은 경우 git reset --hard, git checkout -- ., git clean -fd, git stash drop, git commit --amend(해당 amend가 에이전트가 만든 것이 아닐 때)를 차단한다 . 같은 릴리스는 요청에 특정 스택이 명시되지 않는 한 infrastructure-as-code의 동등한 명령인 terraform destroy, pulumi destroy, cdk destroy도 차단한다.

브라우저 없이 SSH에서 MCP 서버를 인증하려면 어떻게 하나요?

2.1.186(2026년 6월 22일)에 추가된 claude mcp login --no-browser를 사용하면 된다. 이 명령은 브라우저를 여는 대신 OAuth 흐름을 stdin으로 리디렉션한다 . SSH 세션, CI 환경, 브라우저가 없는 모든 headless 설정에 적합하다. 같은 릴리스에는 대응되는 claude mcp logout도 추가됐기 때문에, 대화형 /mcp 메뉴를 열지 않고도 CLI에서 MCP 서버를 인증하고 해지할 수 있다.

Claude Code 패치를 가장 빨리 받는 설치 채널은 무엇인가요?

네이티브 설치가 가장 빠르다. claude-code@latest는 릴리스를 즉시 제공하고 백그라운드에서 자동 업데이트된다 . Homebrew stable은 대략 1주일 뒤처지며, 주요 회귀가 포함된 빌드는 의도적으로 건너뛴다. 12일 동안 10개 빌드가 나온 스프린트에서는 이 절충이 분명하다. 네이티브는 수정과 동작 변경을 더 빨리 받는 반면, Homebrew stable은 지연을 감수하고 더 매끄럽고 회귀가 걸러진 흐름을 얻는다.