AI 코딩 에이전트가 내 .env 파일을 읽어가도 괜찮을까요?

무슨 일이냐면요

요즘 OpenAI Codex나 Claude Code 같은 'AI 코딩 에이전트'를 많이 쓰잖아요. 이게 뭐냐면, 단순히 코드 한 줄 자동완성해주는 수준을 넘어서, 터미널에서 직접 프로젝트 파일을 읽고 고치고 명령어까지 실행해주는 도구예요. 그런데 OpenAI Codex 깃허브에 올라온 이슈 하나가 개발자들 사이에서 불편한 질문을 던졌어요. '민감한 파일을 에이전트가 못 읽게 막는 방법이 아직도 없다'는 거예요.

생각해보면 좀 아찔하죠. 우리 프로젝트 폴더 안에는 보통 .env 파일(데이터베이스 비밀번호나 API 키가 적힌 설정 파일)이나 인증서, 개인 키 같은 게 들어 있거든요. 에이전트가 코드를 이해하겠다고 폴더 전체를 훑으면, 이 비밀들도 같이 읽혀서 클라우드에 있는 AI 모델로 전송될 수 있어요.

핵심은 '제외 목록'이 없다는 거예요

이슈의 핵심 요구사항은 간단해요. '에이전트가 건드리면 안 되는 파일 목록을 지정하게 해달라'는 거죠. 깃에는 .gitignore라는 게 있잖아요. 추적하지 않을 파일을 적어두는 목록인데요. 많은 사람이 'Codex도 .gitignore를 존중하거나, 아니면 .codexignore 같은 별도 파일을 만들어달라'고 요청했어요.

그런데 이게 생각보다 단순하지 않아요. .gitignore를 그대로 따르자니 문제가 있거든요. 예를 들어 빌드 결과물이나 로그 파일은 .gitignore에 들어가 있지만, 디버깅할 땐 에이전트가 그걸 봐야 할 때가 있어요. 반대로 .env는 보통 .gitignore에 있긴 한데, 모든 사람이 그렇게 관리하는 건 아니고요. 그래서 '깃 무시 목록 = AI 무시 목록'이라는 등식이 깔끔하게 성립하지 않는 거예요.

더 근본적인 고민도 있어요. 설령 읽기를 막아도, 에이전트가 cat .env 같은 명령을 스스로 실행해버리면 결국 내용이 노출되거든요. 그래서 단순히 파일 목록만 막아서는 부족하고, 명령 실행 권한까지 함께 통제해야 한다는 의견이 나와요.

다른 도구들은 어떻게 하고 있냐면

Cursor라는 에디터는 이미 .cursorignore라는 파일을 지원해요. 여기 적힌 파일은 AI가 인덱싱(파일 내용을 미리 읽어서 검색용으로 정리하는 작업)도 안 하고 맥락으로도 안 보내요. Aider 같은 오픈소스 도구도 비슷한 설정이 있고요. Claude Code도 권한 설정으로 특정 경로 접근을 통제할 수 있어요. 그러니까 'AI가 못 보게 할 파일을 지정하는 기능'은 사실상 업계 표준이 되어가는 중인데, Codex가 상대적으로 늦은 편이라 이 이슈가 답답함을 산 거예요.

한국 개발자에게는

이건 진짜 남 일이 아니에요. 당장 오늘부터 실천할 게 있거든요. 첫째, AI 에이전트를 쓰기 전에 프로젝트에 민감 정보가 평문(암호화 안 된 상태)으로 굴러다니지 않는지 확인하세요. .env는 가능하면 비밀 관리 도구(예: 1Password, Vault, 클라우드 시크릿 매니저)로 옮기는 게 좋아요. 둘째, 도구가 ignore 기능을 지원하면 반드시 .env, 키 파일, 고객 데이터 경로를 등록하세요. 셋째, 회사에서 AI 도구를 도입할 때 '어떤 파일이 외부로 나가는가'를 보안팀과 미리 합의하는 게 좋아요. 실제로 소스코드 유출 사고가 이런 경로로 터지기도 하거든요.

정리하면

AI 에이전트는 편한 만큼 '내 비밀까지 다 읽는다'는 전제를 깔고 써야 해요. 도구가 막아주길 기다리지 말고, 내가 먼저 민감 정보를 분리해두는 습관이 최선의 방어예요.

여러분은 AI 에이전트한테 프로젝트 폴더 전체 접근을 허용하고 있나요? 아니면 따로 격리해서 쓰고 계신가요?