프롬프트소나, 에이전트 실행 경로를 미리 스캔한다

AI 에이전트가 파일을 지우고 셸 명령을 실행하는 시대에, 「이 설정이 어디까지 갈 수 있나」를 미리 보여 주는 도구가 나왔다. 깃허브에 공개된 프롬프트소나(PromptSonar)는 프롬프트·에이전트 지시문·MCP(Model Context Protocol) 설정·메모리·도구 정의를 읽어 사용자 입력이 파일 시스템·네트워크·셸 실행 같은 특권 작업에 닿는 경로를 정적으로 추적한다. MIT 라이선스이며 명령 한 줄로 실행된다.

무슨 일인가 — 「프롬프트용 npm audit」

개발자는 이 도구를 「프롬프트와 MCP 서버를 위한 npm audit」라고 설명한다. 자바스크립트 패키지의 취약점을 설치 전에 점검하듯, 에이전트 설정의 위험 경로를 실행 전에 점검하자는 것이다. 프로젝트 폴더에서 스캔을 돌리면 다음과 같은 결과가 나온다.

`` USER INPUT → MCP SERVER → PRIVILEGED TOOL → SHELL EXECUTION 증거: autoExecute=true, permissions=* 신뢰도: HIGH 근본 원인: MCP 도구 오염(MCP Tool Poisoning) ``

단순히 「위험하다」가 아니라 실행이 어디로 갈 수 있는지, 왜 그 길이 존재하는지, 얼마나 확신하는지, 어떤 설정이 원인인지, 고치면 경로가 어떻게 바뀌는지를 함께 보여 준다. 핵심은 LLM을 한 번도 호출하지 않고 전부 로컬에서 결정론적으로 돈다는 점이다. 스캔 결과가 매번 같고, 코드가 외부로 나가지 않는다.

핵심 짚어보기 — 어디에 붙는가

저장소를 보면 이 도구가 노리는 지점이 분명하다. 폴더 구성에 클로드 코드(Claude Code)·코덱스(Codex)·커서(Cursor)용 규칙 파일이 모두 들어 있고, 통합 대상으로 CLI·VS 코드·깃허브 액션·PR 리뷰·SARIF 출력·CI/CD를 지원한다. 즉 개인 작업 환경부터 팀의 병합 게이트까지 한 번에 걸치겠다는 설계다.

시각화도 눈여겨볼 만하다. 플레이그라운드는 스캐너가 실제로 찾은 경로를 노드·엣지 그래프로 그린다. 신뢰할 수 없는 입력·반쯤 신뢰하는 문맥·MCP 라우터·특권 싱크를 색으로 구분하고, 신뢰 경계를 넘는 엣지는 점선, 특권이 전파되는 엣지는 실선으로 표시한다. 긴 체인은 6개 노드 이하로 접어 보여 주고, 클라이언트에서만 렌더링해 텔레메트리도 없다. 가짜 데모 데이터 없이 실제 스캔 결과만 그린다는 점을 개발자가 명시했다.

1인기업 실전 적용 포인트

• 에이전트 설정 폴더를 먼저 스캔한다. 프로젝트 루트에서 한 번 실행해 .claude·.cursor·MCP 설정 파일에 autoExecute나 와일드카드 권한이 남아 있는지 확인한다. 자동화 잡을 크론에 올리기 전 필수 점검이다.
• 외부 MCP 서버를 추가할 때마다 돌린다. 유튜브·구글 캘린더·결제처럼 외부 서비스를 MCP로 연결할수록 도구 오염 경로가 늘어난다. 서버 하나 추가 = 스캔 한 번을 규칙으로 삼는다.
• 깃허브 액션에 붙여 PR 게이트로 쓴다. 혼자 일해도 에이전트가 만든 PR을 스스로 검토하는 흐름이라면, SARIF 출력을 PR 리뷰에 연결해 새 실행 경로가 생길 때 자동으로 경고받는다.
• 경고는 삭제가 아니라 격리로 대응한다. 파일 삭제·외부 전송 경로가 나오면 권한 목록을 화이트리스트로 좁히고, 자동 승인 플래그를 끄고, 결과가 어떻게 바뀌는지 재스캔으로 확인한다.

전망 / 주의점

개발자는 「익스플로잇 보장은 없다」고 못 박았다. 이 도구가 보여 주는 경로는 정적으로 추론한 가능성이지, 실제 공격이 성립한다는 증명이 아니다. 오탐도 있을 수 있고, 동적으로 생성되는 도구 호출은 놓칠 수 있다. 저장소 별점이 아직 한 자릿수인 초기 프로젝트라는 점도 감안해야 한다. 그럼에도 에이전트 설정을 「코드처럼 감사한다」는 관행 자체가 1인 자동화 운영의 새 기본값이 될 가능성이 높다. 설정 파일이 곧 권한이고, 권한이 곧 리스크이기 때문이다.

출처: HN / GitHub meghal86/promptsonar (https://github.com/meghal86/promptsonar)