개발자 5.3만 명이 Claude와 Cursor의 실제 시스템을 읽는 중

GitHub 스타 수는 인터넷에서 중요도를 가늠하는 가장 게으른 신호다. 하지만 Claude, ChatGPT, Cursor와 그 밖의 여러 도구에서 추출한 시스템 프롬프트를 단순히 보관하는 두 저장소가 각각 50,000개와 139,000개가 넘는 스타를 얻었다면, 개발자들이 원하는 것은 분명하다. 최전선 제품들이 실제로 어떻게 설정되어 있는지 1차 자료로 보고 싶다는 뜻이다.

왜 5만 3천 명의 엔지니어가 이 저장소들에 몰렸나

개발자들이 이 저장소들에 스타를 누르는 이유는, 주요 AI 제품들이 프롬프트 계층에서 도구 호출, 페르소나, 거부 로직을 어떻게 구성하는지 탐색 가능하고 버전이 남는 참고 자료로 기능하기 때문이다. 가장 많이 공유된 예시인 asgeirtj/system_prompts_leaks는 CC0-1.0 퍼블릭 도메인 기증 조건 아래 2026년 7월 초 기준 약 5만 3,500개 스타와 8,700개 포크를 기록했고, README에는 유통 중인 모든 AI 챗봇의 시스템 프롬프트 지시문을 문서화하는 것이 목표라고 밝히고 있다.

빠른 답변: 엔지니어들이 asgeirtj/system_prompts_leaks 같은 저장소로 몰리는 이유는, Claude, ChatGPT, Cursor, Gemini 등에서 추출한 시스템 프롬프트를 한곳에 모아 실제 AI 제품이 어떻게 설정되는지 보여주는 버전 관리형 공개 참고 자료로 만들기 때문이다. 이 저장소는 2026년 7월 기준 약 5만 3,500개 스타를 기록했다.

범위도 넓다. asgeirtj는 Anthropic(Claude Fable 5, Opus 4.8, Sonnet 5, Claude Code), OpenAI(GPT-5.5 및 GPT-5.4 변형), Google(Gemini 3.5 Flash, 3.1 Pro, Antigravity CLI, Jules), xAI의 Grok 4.3 Beta를 비롯해 Microsoft Copilot, Cursor, Meta AI, Mistral, Notion AI, Qwen, Perplexity까지 포괄한다. 이 저장소가 활성 익스플로잇이 아니라 보관된 문서라는 점은 The Washington Post가 2026년 5월 11일 "See the hidden rules behind AI"에서 이 저장소를 이름으로 인용하면서 더 분명해졌다.

더 큰 형제 저장소는 규모가 다르다. 공유 링크에서 도는 "48k"라는 수치는 적어도 1년은 지난 오래된 숫자다. 실제로 두 저장소의 현재 위치는 다음과 같다.

Lucas Valbuena가 관리하는 x1xhlol 저장소는 캐시된 페이지마다 수치가 조금씩 다르지만, 2026년 7월 8일 기준 약 13만 9,000개-14만 2,000개 스타, 3만 4,500개-3만 4,800개 포크, 505개 커밋을 기록했다. 따라서 안전한 표현은 "스타 10만 개를 훌쩍 넘었다"이다. 여기서 정말 새로워진 것은 유출 자체가 아니라 통합이다. 한 번 보고 지나가는 스크린샷은 사라지고, 개발자들이 AI 제품 동작을 이해하는 커뮤니티 참고 계층으로 다루는 버전 관리형 말뭉치가 그 자리를 대신했다. 이 글의 나머지 부분에서는 누가 무엇을 관리하는지, 그리고 무엇을 책임 있게 참고할 수 있는지 살펴본다.

추출 아카이브 지도: 누가 무엇을 왜 관리하나

이 말뭉치는 하나의 저장소가 아니라, 각기 다른 편집 기준을 가진 작은 저장소 묶음에 가깝다. asgeirtj/system_prompts_leaks는 폭을 넓히는 쪽이다. CC0-1.0 퍼블릭 도메인 기증 조건으로 공개되었고, 2026년 7월 초 기준 약 5만 3,500개 스타와 8,700개 포크에 도달했으며 , 유통 중인 모든 AI 챗봇의 시스템 프롬프트 지시문을 문서화하는 것이 명시된 목표다. 이 저장소는 14개 이상의 조직을 포괄한다. Anthropic(Claude Fable 5, Opus 4.8, Sonnet 5, Claude Code), OpenAI(GPT-5.5 Thinking/Instant/Codex 및 GPT-5.4), Google(Gemini 3.5 Flash, 3.1 Pro, Antigravity CLI, Jules), xAI(Grok 4.3 Beta)를 비롯해 Microsoft Copilot, Meta AI, Mistral, Notion AI, Qwen, Cursor, Perplexity까지 포함한다 .

더 큰 형제 저장소인 x1xhlol/system-prompts-and-models-of-ai-tools는 Lucas Valbuena가 GPL-3.0으로 관리하며, 초점은 코딩 에이전트로 좁히되 더 깊게 들어간다. Cursor, Windsurf, Replit, Devin, Lovable, v0, Augment Code, Manus, Same.dev, Trae, Xcode, VSCode Agent, Claude Code 등을 포함해 28-30개 이상의 도구를 추적한다. 또한 산문형 아카이브와 달리 자연어 지시문뿐 아니라 해당 에이전트들이 실제로 사용하는 JSON 도구 스키마 정의도 함께 제공한다 . 이 차이는 도구 호출을 연구하는 사람에게 중요하다. 산문 파일이 의도를 설명하는 데 그친다면, 스키마 파일은 정확한 입력 형태와 트리거 경계를 보여준다.

두 개의 더 작은 저장소는 출처 관리의 기준을 세운다. jujumilk3/leaked-system-prompts(약 1만 4,800개 스타)는 더 오래된 "챗봇 교과서"에 가깝다. Claude 2.0부터 4.x와 Fable 계열까지 추적하며, 제출 정책도 엄격하다. 기여자는 검증 가능한 출처를 제공해야 하고, 관리자는 DMCA 노출을 줄이기 위해 민감한 상업용 소스 코드를 아카이브하지 않는다고 명시한다 . YeeKal/leaked-system-prompts는 비교 관점에 더 가깝다. 33개 기업의 116개 설정을 나란히 색인해, 한 공급사의 접근 방식을 다른 공급사와 비교해 diff하기 쉽게 만들었다 .

네 번째인 elder-plinius/CL4R1T4S(약 1만 6,500개 스타)는 같은 자료를 개발자 참고 자료라기보다 AI 투명성 운동의 맥락에서 다룬다. 사용자가 자신이 상호작용하는 시스템을 지배하는 규칙을 볼 권리가 있다고 주장한다 . 퍼블릭 도메인 덤프, 코딩 에이전트 스키마 라이브러리, 출처 기반 교과서, 비교 색인, 투명성 선언문처럼 프레이밍은 서로 다르지만 실질적 효과는 하나로 모인다. 이 저장소들은 함께 개발자에게 여러 연구소가 프롬프트 계층에서 페르소나, 도구, 거부를 어떻게 설정하는지 버전이 남고 탐색 가능한 지도를 제공한다.

어느 저장소를 볼지는 목적에 따라 달라진다. 소비자용 챗봇이 어떻게 조향되는지 가장 넓은 스냅샷을 원하면 asgeirtj를 보면 된다. 코딩 에이전트의 기계 판독 가능한 도구 스키마가 필요하면 x1xhlol을 쓰는 편이 맞다. 폭보다 출처와 역사적 계보가 더 중요하다면 jujumilk3를 참고하고, 공급사 간 비교를 위한 작업대가 필요하다면 YeeKal을 보면 된다. 각각 최적화한 축이 다르기 때문에, 진지하게 읽는 사람들은 하나만 열어두지 않는다.

AI 동반자가 자신의 실제 작업 능력을 설명하는 방식

추출된 파일을 열어 보면 추상화의 방향이 뒤집힌다. 코딩 에이전트가 무엇을 할 수 있는지 행동으로 추측하는 대신, 그 에이전트에게 주어진 실행 계약을 직접 읽게 된다. Cursor의 Agent Tools 구성은 열두 개의 이름 붙은 작업을 정의한다. codebase_search, read_file, run_terminal_cmd, list_dir, grep_search, edit_file, search_replace, file_search, delete_file, edit_notebook, web_search, create_diagram이다 . 각각은 단순한 함수 시그니처가 아니라, 실행 조건, 입력 제약, 부작용 범위, 실패 모드를 규정하는 촘촘한 자연어 계약이다.

핵심은 이 정밀함이다. codebase_search 항목은 의미 기반 검색을 언제 쓰고, 정확한 문자열에는 언제 grep_search로 돌아가야 하는지 모델에게 알려 준다. read_file에는 한 번에 몇 줄을 가져올지에 대한 지침이 담겨 있다. edit_notebook은 상태를 망가뜨리는 잘못된 셀 편집을 피하는 방법을 자세히 적어 둔다. 이것은 글자 그대로 실행하는 독자를 위해 쓰인 도구 문서다. 프롬프트라기보다는 사용 정책이 내장된 API 명세에 더 가깝다.

행동의 틀은 별도 블록에 놓여 있다. 2025년 9월 3일자의 Cursor 에이전트 프롬프트는 이 어시스턴트가 GPT-5로 구동되고, Cursor 환경 안에서 작동하며, 사용자가 반쯤 끝난 상태를 돌려받지 않도록 작업이 완전히 해결될 때까지 지속해야 하고, 서로 독립적인 작업에는 병렬 도구 호출을 사용해야 한다고 명시한다 . 이 네 가지 지시, 즉 모델 정체성, 환경, 지속 루프, 동시성은 답변하는 챗봇과 일을 끝내는 에이전트의 차이를 코드화한다.

같은 구조는 코드 밖에서도 통한다. Notion의 추출된 구성은 보기, 검색, 페이지 생성이라는 소수의 상위 수준 작업을 내부 검색, 웹 검색, 기본 검색 모드를 다루는 운영 정책으로 감싼다. 모델에게 중복 쿼리를 피하고, 내부 결과를 인용하며, 원시 Markdown이 아니라 Notion에 맞는 페이지 구조로 출력하라고 지시한다 . 도구 수는 더 적지만, 각 도구는 Cursor가 파일 작업에 적용하는 것과 같은 실행 조건 및 제약의 규율로 둘러싸여 있다.

이것이 추론이 아니라 읽을 수 있는 자료가 되는 이유는 형식에 있다. x1xhlol 코퍼스는 산문 지침과 함께 JSON 도구 스키마 정의를 공개한다. 그래서 실행 계약을 에이전트의 동작을 관찰해 역공학하지 않아도, 기계가 읽을 수 있는 형태로 직접 비교하고, 린트하고, 가져올 수 있다 . 이런 읽기의 상당 부분은 Cursor의 도구 목록을 작업별로 따라가는 해설에서 출발한다 .

두 사례를 함께 읽으면 공통 문법이 드러난다. 작업의 이름을 붙이고, 언제 실행되는지 말하며, 입력 범위를 제한하고, 상태를 깨뜨리는 실패를 경고한 뒤, 완료될 때까지 계속 작업하게 하는 루프를 모델에게 넘겨준다. 작업 공간이 저장소이든 Notion 데이터베이스이든, 자기 설명의 형태는 같다. 바로 그 점 때문에 이 파일들은 단순한 흥밋거리가 아니라 설계 참고 자료로 연구할 가치가 있다.

주요 AI 제품에서 페르소나를 인코딩하는 방식: 톤, 주제 제한, 경계 설정

페르소나는 도구 계약과는 별도의 층에 놓이며, 추출된 Claude 설정은 그 분리를 분명하게 보여준다. 작동 정의가 작업과 입력 범위를 규정한다면, 페르소나 층은 모델이 어떤 존재인지, 무엇을 논의할지를 다룬다. 정체성 프레이밍, 날짜와 지식 기준일 처리, URL 제한, 인용에 대한 겸손함, 대화 스타일, 민감 주제 처리, 역할극 경계, 아티팩트 규칙이 모두 작업 지시 안에 뭉뚱그려지지 않고 각각 명시적인 항목으로 분리되어 있다 . 파일을 처음부터 끝까지 읽어 내려가면 문서가 “캐릭터로서 이렇게 행동하라”에서 “워크스페이스를 이렇게 운영하라”로 이동하는 흐름이 보인다. 자체 제작 프롬프트 상당수가 한 문단에 밀어 넣는 두 가지 관심사가 여기서는 분리되어 있다.

가장 재사용하기 좋은 발견은 벤더마다 거절 프레이밍이 얼마나 수렴해 있는가다. Claude, GPT, Gemini, Grok 프롬프트 분석을 보면 거의 같은 형태의 지시가 반복된다. 모델은 단순히 “안 된다”고 말하는 데 그치지 않고, 이유를 설명하고, 안전한 대안을 제시하며, 훈계조를 피하고, 매 턴마다 같은 면책 문구를 반복하지 않도록 지시받는다 . 이것은 우연이 아니라 설계 패턴이다. 거절 처리를 막연한 “안전하게 행동하라”는 제스처가 아니라, 정의된 출력이 있는 운영 분기로 다루는 방식이다. 에이전트를 출시하는 사람에게는 이 말뭉치에서 가장 이식성이 높은 아이디어다.

이런 계층화가 실제로도 버티는 이유는 연구소들이 공개적으로 내놓은 거버넌스 프레임으로 거슬러 올라간다. 2025년 9월 12일 업데이트된 OpenAI의 Model Spec은 Root와 System 지시가 Developer보다 우선하고, 그다음 User, Guideline 메시지가 따르는 명령 체계를 정의한다 . 추출된 파일의 페르소나 항목은 그 위계의 최상단을 구체화한 것일 뿐이다. 지속적인 정체성과 주제 제한은 개발자나 사용자가 나중에 무엇을 요청하든 그 위에 놓이며, 바로 그 때문에 협상 불가능한 지시처럼 읽힌다. OpenAI의 자체 문서도 같은 순서를 강화한다. 개발자 메시지를 사용자 메시지보다 높은 우선순위로 다루고, 사용자 입력은 그 함수에 전달되는 인자에 불과하다는 식으로 함수 정의에 비유한다 .

Google은 시스템 지시를 모델을 조향하는 1급 메커니즘으로 설명하며, 추출된 파일은 그 조향이 실제 출시된 동작으로 이어진다는 점을 확인해 준다. 여기에는 주제 범주별 명시적 경계 설정도 포함된다. 전체 주제 영역을 모델의 재량에 맡기지 않고 이름 붙여 제한하는 방식이다 . 실무적으로 중요한 경고는 텍스트가 아니라 구조를 빌리라는 것이다.

"설계 패턴은 빌리되, 프롬프트는 직접 작성하라. 벤더 문구를 복사하는 것은 법적 리스크이자 jailbreak 리스크다. 공개적으로 알려진 지시가 가장 공격하기 쉽기 때문이다." — Augment Code, 시스템 프롬프트 분석 (source: Augment Code)

이렇게 읽으면 페르소나 층은 체크리스트가 된다. 정체성을 고정하고, 지식 기준일을 선언하고, 인용의 한계를 밝히고, 민감 주제 분기를 정의하고, 역할극과 아티팩트의 경계를 정한다. 각각은 평가자가 테스트할 수 있는 별도의 한 줄이어야 한다.

추출 코퍼스가 AI 구성에 대해 알려주는 것

충분히 많은 파일을 읽다 보면, 모든 벤더 아래에서 같은 뼈대가 드러난다. 추출 코퍼스가 보여주는 것은 프로덕션 AI 설정이 하나의 프롬프트가 아니라, 페르소나 제어, 안전성 계층화, 운영 절차, 거부 응답 프레이밍, 브랜드 관리라는 다섯 가지 분리 가능한 관심사가 쌓인 구조라는 점이다. Augment Code의 분석은 이 공통된 5부 구조에 이름을 붙였고, 추출된 산출물은 이를 읽기 쉽게 만든다. Claude, GPT, Gemini, Grok, Cursor, Notion은 각각 이를 하나의 서사로 섞지 않고 별도의 텍스트 블록으로 분리한다 . 에이전트를 만드는 사람에게 주는 교훈은 이것들이 서로 다른 엔지니어링 문제라는 점이다. 페르소나는 안정적인 정체성 문자열이고, 도구 절차는 트리거가 있는 스키마이며, 거부는 하나의 분기이고, 브랜드 규칙은 가드레일이다. 이것들을 한 문단으로 뭉치면 프롬프트가 취약해진다.

구체적인 시사점은 계층화 규율이다. 지속적이고 협상 불가능한 정책은 플랫폼이 제공하는 가장 높은 우선순위 지침에 두고, 각 운영 스키마는 정확한 트리거 경계, 입력, 부작용, 실패 모드까지 정의하며, 안정적인 페르소나는 요청마다 바뀌는 작업별 컨텍스트와 분리해야 한다. OpenAI 자체 문서는 개발자 메시지를 사용자 메시지보다 우선시하며, 개발자 메시지를 함수 정의에, 사용자 메시지를 그 인자에 비유한다 . 이 순서가 추출된 Cursor와 Notion 파일이 실제로 구현한 것과 같은 거버넌스 개념이다. 지속되는 규칙은 매 턴의 대화 안이 아니라 그 위에 놓인다.

OpenAI는 운영 측면의 조언도 함께 제시한다. 프로덕션 지침은 타입이 있는 입력, 코드 리뷰, 테스트, 평가와 함께 애플리케이션 코드에 저장하고, 콘솔에 붙여 넣는 자유 텍스트가 아니라 버전 관리되는 다른 소스처럼 다루라는 것이다 . 흐름도 이를 뒷받침한다. OpenAI는 2026-06-03부터 서버 측 프롬프트 객체 생성을 덜 강조하기 시작했고, v1/prompts 엔드포인트는 2026-11-30 종료될 예정이며, 지침을 다시 코드베이스로 밀어 넣어 diff와 테스트가 가능하게 하고 있다 .

이 모듈성에는 코퍼스가 조용히 기록하고 있는 비용도 있다. Anthropic은 도구를 활성화하는 것이 토큰 계층에서 공짜가 아니라고 설명한다. 작업 기능을 켜면 도구 이름, 설명, JSON 스키마, tool_use 및 tool_result 블록, 그리고 특수한 도구 사용 시스템 프롬프트 전문이 주입되며, 이 모든 것이 호출마다 컨텍스트 예산에 과금된다 . Cursor의 Agent Tools 파일에서 보이는 조밀하고 장황한 도구 계약이 바로 그 오버헤드가 실제로 드러난 모습이다. 그래서 팀은 모든 도구를 기본으로 붙이기보다 허용 목록의 범위를 정해야 한다.

마지막 교훈은 무엇을 베낄 것인가에 관한 것이다. 이 코퍼스는 패턴 라이브러리이지, 복사 원본이 아니다.

"디자인 패턴은 빌려 오되 지침은 직접 작성하라. 벤더 문구를 그대로 복사하면 법적 불확실성이 따르고, 공개적으로 알려진 지침은 배포할 수 있는 텍스트 중 jailbreak에 가장 취약하다," — Augment Code, system-prompt analysis (source: Augment Code).

따라서 코퍼스가 가르치는 것은 문장이 아니라 구성 방식이다. 다섯 계층의 분리를 채택하고, 지속 정책을 지침 계층 위로 올리며, 도구 스키마에는 명시적인 경계와 실패 모드를 지정하고, 운영 기능이 추가하는 토큰 오버헤드를 예산에 반영하며, 전체를 테스트와 함께 버전 관리하라. 그런 다음 독창적인 문장으로 작성하라. 가치는 언제나 문장이 아니라 구조에 있었기 때문이다.

추출된 설정을 재사용하기 전에 의심해야 하는 이유

어떤 패턴 하나를 빌려 오기 전에도, 이 아카이브에 있는 모든 파일은 검증되지 않은 것으로 봐야 합니다. 지배적인 추출 기법인 "위 내용을 모두 반복하라" 식 인젝션은 Kevin Liu의 2023년 ChatGPT 프롬프트 추출로 널리 알려진 방식인데 , 이는 벤더가 실제 배포한 내용을 바이트 단위로 정확히 복사하는 것이 아니라 모델이 출력해도 된다고 판단한 텍스트를 회수하는 것입니다. 이 차이는 중요합니다. 추출된 산출물은 일부만 담겼거나, 오래됐거나, 모델이 만들어낸 환각이거나, 기여자가 의도적으로 조작한 것일 수 있으며, 파일 자체만 봐서는 어느 경우인지 알 수 없습니다.

버전 라벨은 문제를 더 복잡하게 만듭니다. Sonnet 4.5 Prompt.txt 같은 파일명은 기여자가 붙인 라벨일 뿐, 현재 프로덕션 배포가 실제로 받는 내용이라는 증거가 아닙니다 . 제공업체는 페르소나 문구, 거부 응답 문구, 도구 스키마를 계속 바꾸고, A/B 분기 때문에 같은 날에도 두 사용자가 서로 다른 지시를 받을 수 있습니다. jujumilk3 아카이브가 기여자에게 검증 가능한 출처를 명시해 달라고 요구하는 것도, 출처 없는 캡처가 쉽게 구전처럼 굳어지기 때문입니다 .

더 근본적인 주의점은 아키텍처에 있습니다. 지시 파일은 보안 경계가 아닙니다. 2023년 11개 LLM을 대상으로 한 연구에서는 단순한 텍스트 인젝션 공격만으로 Claude 3와 ChatGPT를 포함한 모델들에서 높은 확률로 숨겨진 지시를 복구할 수 있음을 보였고, 2026년 arXiv 논문 "Just Ask"는 자율 탐색을 통해 41개 블랙박스 상용 서비스에서 전체 또는 거의 전체 지시를 복구했다고 보고했습니다 . 이렇게 안정적으로 읽어낼 수 있다면, 프롬프트 텍스트 안에만 존재하는 자격 증명, 권한 규칙, 안전 제약은 사실상 공개된 것과 같습니다.

"설계 패턴은 빌리되 프롬프트는 직접 작성하라. 벤더 문구를 그대로 복사하면 법적 리스크가 있고, 공개적으로 알려진 프롬프트는 jailbreak에 더 취약하다. 도구 호출 allowlist를 강제해, 프롬프트가 완전히 추출되더라도 위험한 함수를 호출할 수 없게 하라." — 보안 가이드, Augment Code (source: Augment Code)

이 조언은 올바른 방어 태도를 가리킵니다. 비밀과 권한 부여는 지시 계층에서 완전히 빼고, 모델이 닿을 수 없는 코드에서 강제해야 합니다. 그다음 프롬프트가 실제로 통제하는 표면을 단단하게 만들어야 합니다.

• 도구 호출 allowlist — 요청된 모든 도구를 서버 측에서 승인된 집합과 대조해 검증하면, 프롬프트가 유출되거나 탈취되더라도 파괴적인 함수에는 닿을 수 없습니다. Anthropic의 자체 모델도 클라이언트 도구를 앱이 실행하는 것으로 다루며, 바로 그 지점에 이 검사가 있어야 합니다 .
• 출력 필터링 — 응답이 사용자에게 도달하기 전에 유출된 자격 증명, 정책 텍스트, 안전하지 않은 콘텐츠가 있는지 스캔합니다.
• 지시문 반복 감지 — 자체 시스템 텍스트를 재현하는 응답을 표시합니다. 이는 추출 시도가 진행 중임을 보여주는 전형적인 신호입니다.

이 말뭉치가 보여주는 모든 것을 종합하면 실무 규칙은 분명합니다. 이 파일들은 회수 가능한 비밀이 아니라 동작을 빚는 문서로 연구해야 합니다. 구조는 배울 가치가 있지만 정확한 문장은 소모품입니다. 공개되면 곤란한 내용은 애초에 프롬프트 안에 들어가서는 안 됩니다.

커뮤니티 아카이브와 희미해지는 AI의 불투명성

흐름은 플랫폼이 보관하는 비밀이 아니라 애플리케이션 수준의 지시 관리로 향하고 있습니다. 추출 저장소는 그 변화의 증상이자, 그 끝이 어디인지 보여주는 예고편입니다. 2025-06-18에 확정된 MCP 명세는 수렴 중인 작동 계층을 공식화합니다. 즉 JSON-RPC 2.0 위에서 LLM 애플리케이션을 외부 데이터 및 작업에 연결하고, Resources, Prompts, Tools를 노출하는 호스트, 클라이언트, 서버 사이의 공개 프로토콜입니다. 이 명세에는 도구가 임의 코드 실행을 의미할 수 있으므로 사용자 동의가 필요하다는 명시적 경고도 포함되어 있습니다 . 도구 호출이 공개적으로 점검 가능한 계약이 되는 순간, 그 주변의 문장은 경계가 아니라 문서가 됩니다.

벤더 도구도 같은 방향으로 움직이고 있습니다. OpenAI는 2026-06-03부터 instruction 객체 생성을 덜 강조하기 시작했고, v1/prompts 엔드포인트는 2026-11-30 종료 예정입니다. 개발자에게는 타입이 지정된 입력, 코드 리뷰, 테스트, eval과 함께 프로덕션 프롬프트를 애플리케이션 코드에 저장하라고 안내하고 있습니다 . 이는 "지시문은 비밀"이라는 태도와 정반대입니다. 프롬프트를 플랫폼이 대신 지켜주는 값이 아니라, 앱과 함께 살아가는 버전 관리된 소스로 취급하는 것입니다.

이 배경에서 보면 2026년 7월 초 기준 5만 3천 개가 넘는 스타를 받은 asgeirtj/system_prompts_leaks 와, JSON 도구 스키마를 함께 묶어 10만 개가 훌쩍 넘는 스타를 받은 x1xhlol의 컬렉션 은 API 문서처럼 사실상의 커뮤니티 레퍼런스로 기능하고 있습니다. AI 제품이 성숙할수록 작동 설정은 인젝션뿐 아니라 사용, 비교, 모방을 통해 공개 영역으로 흘러나오며, 개발자들은 경쟁사가 도구 범위를 어떻게 잡았는지, 거부 문구를 어떻게 썼는지 확인하러 이 말뭉치를 찾게 됩니다.

그럴듯한 종착점은 작동 스키마와 지시 allowlist가 OpenAPI 명세와 비슷한 점검 가능한 산출물로 표준화되는 것입니다. 중요한 것은 숨김이 아니라 계약입니다. "지시문은 비밀"이라는 모델은 이미 커뮤니티 수준에서 약해지고 있고, 벤더들의 로드맵은 그 속도를 높이고 있습니다. 구체적인 결론은 그대로지만 이제는 더 핵심적인 원칙이 됩니다. 프롬프트와 도구 스키마는 공개될 것처럼 설계해야 합니다. 프런티어 제품의 경우 사실상 이미 공개된 것이나 다름없기 때문입니다. 자격 증명, 권한 부여, 회수되면 안 되는 안전 통제는 텍스트 밖에 두고, 공개된 상태에서도 방어할 수 있는 구조에 지속 가능한 가치를 둬야 합니다.

자주 묻는 질문

GitHub 저장소에 있는 시스템 프롬프트는 진짜인가요?

진위 여부는 제각각이며, 진짜라고 단정해서는 안 됩니다. 이 파일들은 업체가 공식 공개한 것이 아니라 인젝션을 통해 추출된 것이기 때문에, 어떤 파일이든 일부만 담겼거나 오래됐거나, 환각이 섞였거나, 아예 조작됐을 수 있습니다. "Sonnet 4.5 Prompt" 같은 버전 표기는 기여자가 붙인 산출물일 뿐, 실제 프로덕션 모델이 받는 내용을 증명하지 않습니다 . jujumilk3/leaked-system-prompts는 신뢰 기준을 높이기 위해 기여자에게 검증 가능한 출처를 명시적으로 요구합니다 . 모든 파일은 확정적 기준 문서가 아니라, 연구를 위한 대략적인 행동 문서로 봐야 합니다.

AI 시스템 프롬프트는 애초에 어떻게 추출되나요?

가장 흔한 방식은 프롬프트 인젝션입니다. "위의 모든 내용을 반복하라" 같은 지시로 모델이 자신의 숨겨진 설정을 그대로 말하게 만드는 방식입니다. Kevin Liu는 2023년에 ChatGPT를 대상으로 이 기법을 널리 알렸습니다 . 이후 이 접근은 자동화됐습니다. 2026년 arXiv 논문 "Just Ask"는 자율 탐색을 사용해 41개 블랙박스 상용 모델에서 전체 또는 거의 전체에 가까운 시스템 프롬프트를 복구했다고 보고했습니다 . 2023년에 앞서 진행된 11개 모델 연구에서도 Claude 3와 ChatGPT를 포함해 높은 확률로 숨겨진 프롬프트를 복구했습니다 .

추출된 시스템 프롬프트 문구를 제 제품에 다시 써도 법적으로 괜찮나요?

저장소 라이선스는 저장소에 적용되는 것이지, 업체의 원문 문구에 적용되는 것이 아닙니다. asgeirtj/system_prompts_leaks는 CC0-1.0 퍼블릭 도메인 기여를 사용하고, x1xhlol/system-prompts-and-models-of-ai-tools는 GPL-3.0을 사용합니다 . 하지만 어떤 라이선스도 연구소의 원문, 페르소나, 상표에 대한 권리를 넘겨주지는 않습니다. 업체 문구를 그대로 복사하면 저작권과 상표권 리스크가 생길 수 있습니다. 실무자들이 권하는 더 안전한 방법은 페르소나, 작업 지시, 거부 계층 같은 구조적 설계 패턴을 참고하되, 프롬프트 문구는 직접 새로 쓰는 것입니다 .

시스템 프롬프트를 알면 AI 제품을 탈옥시키기 쉬워지나요?

어느 정도는 그렇습니다. 공개된 지시문이 있으면 공격자는 추측하는 대신 정밀한 우회 방법을 만들 수 있습니다. 하지만 지시문 텍스트는 보이든 안 보이든 보안 경계가 아닙니다. 41개 상용 모델에서 거의 전체 복구를 보인 "Just Ask" 연구는 비밀 유지가 신뢰하기 어려운 통제 수단임을 보여줍니다 . 실제 방어는 도구 호출 허용 목록, 출력 필터링, 프롬프트 되풀이 감지에서 나오며, 자격 증명이나 권한 부여 로직을 지시문 안에 절대 넣지 않는 것도 포함됩니다 .

asgeirtj와 x1xhlol은 실제로 무엇이 다른가요?

두 저장소는 독자가 다릅니다. asgeirtj/system_prompts_leaks는 범위가 더 넓어 Anthropic, OpenAI, Google, xAI, Microsoft Copilot, Cursor, Notion 등 14개 이상의 조직에 걸친 챗봇과 어시스턴트를 CC0 아래 문서화하며, 2026년 5월 The Washington Post에서 이름이 직접 언급됐습니다 . Lucas Valbuena가 GPL-3.0으로 관리하는 x1xhlol/system-prompts-and-models-of-ai-tools는 28~30개 이상의 코딩 에이전트에 집중하고, 특히 산문뿐 아니라 JSON 도구 스키마 정의까지 포함합니다 . 도구 호출 계약을 직접 살펴보려는 엔지니어에게는 이쪽이 더 유용합니다.

이 글이 도움이 되셨다면, 새 글이 올라올 때마다 이메일로 받아보세요.

구독하기