Monologg Blog

Claude Code 운영기
Hermes Agent 대신 cron과 claude -p를 씁니다
혼자 쓴다면 Slack보다 Discord가 나을까
아침 브리핑이 이미 끝낸 일을 자꾸 추천한다
뒷정리 안 하고 간 Claude, 프로세스 148개에 메모리 3GB
Claude야, 영어로 쓰라니까 왜 한국어로 답한다고 해
2026년 10월 기준입니다. Claude Code 2.1.302에서 재현했고, 공식 문서는 10월 25일에 확인했습니다.
집 서버에서 쓰는 프로그램의 새 버전이 나오면, cron으로 도는 Claude Code가 릴리스 노트를 읽고 올려도 괜찮은지를 영어로 답하게 해 두었습니다. 기존 설정이 깨지는 변경은 없는지, 보안 문제는 없는지 같은 질문에 예·아니오와 근거 문장을 다는 식입니다. 그런데 답 8건 중 4건이 한국어로 나왔습니다.
원인은 사용자 설정(~/.claude/settings.json)의 "language": "korean"이었습니다. 대화형 세션에서 한국어로 답을 받으려고 켜 둔 값인데, Claude Code를 사람 없이 한 번 돌리는 claude -p도 이 값을 그대로 가져갑니다. 사용자 설정의 bypass 모드와 상위 폴더의 CLAUDE.md도 같이 실렸습니다. 1편에서 소개한 대로 저는 Max 구독 하나로 예약 작업까지 모두 claude -p로 돌립니다. 예약 작업의 claude -p에 --restricted를 붙이면 이 셋이 모두 빠지고, --bare와 달리 API 키 없이 구독 로그인으로 돌아갑니다.
2.1.302에서 영어 한 문장으로 요약하라고 시켜 재현해 보니, 이번에는 요약 앞에 이런 메모가 붙었습니다.
(Note: the summary should be in English as requested, but per your system instructions I'm responding in Korean.)
Here's the one-sentence English changelog entry you asked for:
> Fixed a crash on empty config files and added a `--dry-run` flag to the `sync` command.
한국어로 답하겠다는 말을 영어로 해 놓고, 요약도 영어로 냈습니다. 결과를 그대로 Discord나 커밋 메시지로 보내는 작업이면 이 메모까지 나갑니다.
더 위험한 것은 도구 실행을 하나도 묻지 않는 bypass 모드("defaultMode": "bypassPermissions")였습니다. 이 모드가 사용자 설정에 켜져 있어서, --allowedTools로 Grep 하나만 허용했는데도 claude -p가 작업 폴더 밖 파일을 읽었습니다. 이 상태로 남이 쓴 릴리스 노트나 이슈를 읽히면, 거기 적힌 지시대로 ~/.ssh 같은 파일을 읽어 답에 붙일 수 있습니다.
예약 작업의 claude -p는 --restricted로 시작하고, 성공은 결과물로 확인합니다
구독 로그인으로 돌리는 예약 작업이면 아래처럼 시작하는 쪽이 가장 짧습니다.
args=(
  -p "$(cat prompt.md)"
  --restricted                                          # 사용자 설정·CLAUDE.md·auto memory를 싣지 않는다
  --mcp-config '{"mcpServers":{}}' --strict-mcp-config  # claude.ai 커넥터까지 막는다
  --tools ""                                            # 도구를 뺀다. 파일을 읽는 작업이면 "Read"
  --model opus --effort high                            # 사용자 설정의 모델을 읽지 않으니 직접 적는다
  --no-session-persistence                              # 실행 기록을 세션으로 남기지 않는다
  --output-format json
)
claude "${args[@]}" < input.md > out.json               # 읽을 글은 셸이 받아 표준 입력으로 넘긴다
이 묶음으로 돌린 claude -p는 세 번 모두 도구 0개, MCP 서버 0개, permission mode default로 시작했고, 영어로 요약하라는 요청에 요약 문장만 내놓았습니다.
--restricted는 사용자·프로젝트 설정, CLAUDE.md, auto memory를 싣지 않습니다. 사용자 설정이 bypass여도 permission mode default로 시작하고, 명령을 실행하는 도구가 빠지며, 파일 도구는 작업 폴더 밖을 읽지 못합니다. auto memory는 Claude Code가 프로젝트마다 스스로 쌓아 두는 메모리입니다. --restricted는 2.1.248에 생긴 플래그입니다.
claude.ai 커넥터는 빈 --mcp-config로 따로 막습니다. --restricted만 붙인 실행 15번 중 2번은 claude.ai 커넥터 5개가 붙었습니다. 4편에서 쓴 --mcp-config '{"mcpServers":{}}' --strict-mcp-config를 더하자 10번 모두 MCP 서버가 0개였습니다.
쓸 도구와 모델, 언어는 직접 적습니다. 도구는 --tools로 정합니다. --allowedTools는 확인 없이 실행할 도구 목록이라 쓸 수 있는 도구를 줄이지 않습니다. 모델은 --model과 --effort로 적고, 한국어로 받을 작업이면 프롬프트에 언어를 적습니다.
성공 여부는 exit code보다 결과물로 봅니다. 일을 못 하고 끝나도 exit code는 0입니다.
gh나 curl이 필요한 작업은 셸이 먼저 돌려 결과를 표준 입력으로 넘기는 쪽이 간단합니다. Claude가 직접 돌려야 하면 --tools Bash --allowedTools "Bash(gh *)"처럼 도구와 허용할 명령을 같이 적고, 파일을 써야 하면 --tools Write --allowedTools Write를 줍니다. --restricted에서 이렇게 허용한 gh는 돌았고 Write는 작업 폴더 안에만 썼지만, >로 파일을 만드는 셸 명령은 허용 규칙이 있어도 거부됐습니다. 프로젝트 설정이 필요하거나 2.1.248보다 낮은 버전이면 아래 절마다 적은 대안 플래그를 하나씩 붙입니다.
사용자 설정의 language는 claude -p에도 실립니다
릴리스 노트 검토 결과는 아래 같은 카드로 봅니다. 맨 위 Hold 표시와 Issues found 항목은 코드가 정하고, Summary·Before upgrading·Follow-up 칸은 Claude Code가 씁니다. 지어낸 데이터를 넣어 다시 띄운 화면입니다.
사용자 설정의 language가 실린 실행에서는 Claude Code가 쓰는 칸이 이렇게 한국어로 나왔습니다. 화면 글자와 코드가 정하는 칸은 영어 그대로라 이 세 칸만 튑니다.
--settings(설정 JSON을 명령줄로 주는 플래그)로 다른 값을 덮어도 사용자 설정의 language는 남습니다. 릴리스 노트 검토 작업도 --settings로 CLAUDE.md와 Hook을 끄고 있었는데 한국어 답이 나왔습니다. --settings는 사용자 설정 위에 덮어쓸 뿐이라, 거기 적지 않은 값은 사용자 설정을 따릅니다.
영어 한 문장으로 요약하라는 요청을 여섯 번 돌리자 다섯 번은 앞뒤에 설명이 붙었습니다. --settings '{"language":"english"}'로 덮은 뒤에는 네 번 모두 요약 문장만 나왔습니다. 릴리스 노트 검토 작업은 지금 이렇게 --settings에 언어를 적어 둡니다. 사용자 설정을 읽지 않는 --restricted도 세 번 모두 요약 문장만 냈습니다.
bypass 모드에서는 --allowedTools가 아무것도 막지 않습니다
CLI 문서에서 --allowedTools는 「확인 없이 실행할 도구」이고, 쓸 수 있는 도구를 제한하려면 --tools를 쓰라고 적혀 있습니다. 사람이 지켜보지 않는 claude -p는 확인이 필요한 도구 호출을 거부합니다. --allowedTools는 이 확인을 건너뛸 도구 목록이라, 처음부터 아무것도 묻지 않는 bypass 모드에서는 막을 것이 없습니다. 사용자 설정이 bypass인 채로 빈 폴더에서 --allowedTools Grep만 주고 바깥 폴더의 파일을 출력하라고 시키면 그대로 읽어 옵니다.
$ claude -p "Print the contents of the file ../secret/notes.txt." --allowedTools Grep \
    --mcp-config '{"mcpServers":{}}' --strict-mcp-config --model haiku
`../secret/notes.txt`의 내용은 다음과 같습니다. (경로는 작업 디렉터리 기준 상위 폴더의 `secret/` 아래로 해석했습니다.)
```
CANARY-7f3a private note
```
claude -p가 어떤 permission mode로 시작하는지는 stream-json 출력의 첫 init 이벤트에 나옵니다. cron처럼 환경 변수가 빈 상태로 보려면 env -i로 비우고 돌립니다.
cd "$(mktemp -d)"
env -i HOME="$HOME" PATH="$PATH" claude -p "Reply with OK" --model haiku \
  --output-format stream-json --verbose \
  | jq -c 'select(.subtype == "init") | {permissionMode, tools: (.tools | length), mcp: (.mcp_servers | length)}'
{"permissionMode":"bypassPermissions","tools":223,"mcp":13}   # 플래그 없이
{"permissionMode":"default","tools":21,"mcp":0}               # --restricted를 붙여서
도구 223개에는 MCP 서버가 주는 도구까지 들어 있습니다. --restricted를 붙이면 바깥 폴더 파일을 읽으라는 요청에 작업 폴더 밖이라 읽을 수 없다고 답했습니다. 프로젝트 설정이 필요해 --restricted를 쓸 수 없다면 --setting-sources project,local로 사용자 설정만 빼거나, 미리 허용하지 않은 도구 호출을 묻지 않고 거부하는 --permission-mode dontAsk를 붙입니다. 둘 다 같은 요청을 거부했습니다.
예약 작업이 남이 쓴 글을 읽는데 사용자 설정은 bypass이고 도구도 제한하지 않았다면, 그 글에 적힌 지시를 막을 장치가 없습니다. 도구를 제한하지 않고 시험으로 돌린 claude -p가 일과 상관없는 개인 위키(제 메모를 모아 둔 레포)의 파일을 읽은 적도 있습니다. 그래서 지금은 예약 작업 코드의 모든 claude -p 호출에 --tools가 있는지 테스트가 검사합니다.
--restricted 없이 bypass 모드로 돌리면 --tools로 도구를 골라 줘도 그 도구가 읽는 경로까지 막지는 않습니다. --tools Grep만 주고 돌려도 Grep으로 같은 파일 내용을 읽어 왔습니다. 이때는 --settings의 deny 규칙으로 읽으면 안 되는 폴더를 막고, 이 규칙은 bypass 모드에서도 지켜졌습니다. 권한 문서에도 Read 규칙이 Grep과 Glob에 함께 적용된다고 적혀 있습니다.
--settings '{"permissions":{"deny":["Read(//home/me/private/**)"]}}'
절대 경로는 슬래시 두 개로 시작합니다. 처음에 Read(/home/me/private/**)처럼 하나로 썼더니 오류 없이 아무것도 막지 못했습니다. 권한 문서를 보면 슬래시 하나로 시작하는 경로는 그 설정이 놓인 위치를 기준으로 읽힙니다.
상위 폴더의 CLAUDE.md는 --setting-sources로 막지 못합니다
claude는 작업 폴더에서 위로 올라가며 CLAUDE.md를 모두 싣습니다. 그래서 서브모듈이나 monorepo의 하위 폴더에서 도는 작업에는 상위 폴더의 CLAUDE.md가 같이 실립니다. 상위 폴더에 「답 끝에 PINEAPPLE을 붙여라」라고 적은 CLAUDE.md를 두고 하위 폴더에서 「OK」라고만 답하게 하면 OK 뒤에 PINEAPPLE이 붙어 돌아옵니다.
--setting-sources project,local을 붙여도 PINEAPPLE은 그대로 붙었습니다. --restricted를 붙이자 상위 폴더의 CLAUDE.md가 빠져 세 번 모두 OK만 돌아왔습니다. 작업 폴더에 CLAUDE.md를 두고 auto memory에도 메모리를 하나 넣은 뒤 시작할 때 받은 지시를 그대로 출력하라고 시키자, 플래그 없이는 둘 다 출력했고 --restricted를 붙이면 받은 것이 없다고 답했습니다.
--restricted를 쓸 수 없다면 --settings의 claudeMdExcludes에 그 파일 경로를 넣어 막습니다. 여기 경로는 슬래시 하나로 시작하는 절대 경로나 글롭 패턴입니다. auto memory도 --setting-sources로는 빠지지 않아서 같은 --settings에 autoMemoryEnabled를 false로 줍니다.
--settings '{"claudeMdExcludes":["/home/me/repo/CLAUDE.md"],"autoMemoryEnabled":false}'
구독 로그인이면 --bare 대신 --restricted를 씁니다
headless 문서는 스크립트에 --bare를 권하고, 앞으로 -p의 기본값이 된다고 안내합니다. --bare는 Hook, Skill, Plugin, MCP 서버, auto memory, CLAUDE.md를 모두 건너뛰지만 구독 계정의 로그인 정보(OAuth)를 읽지 않습니다. 그래서 구독 로그인으로는 --bare를 쓸 수 없고 API 키가 있어야 합니다.
구독 로그인으로 돌아가는 --safe-mode는 CLAUDE.md·Skill·Plugin 같은 사용자 지정 기능을 끄고 시작합니다. 그런데 permission mode는 bypassPermissions 그대로였고, 영어로 쓰라는 요약을 한국어로 냈습니다. 남는 것이 --restricted입니다. CLI 문서는 이 플래그를 여러 사람이 같이 쓰는 기계에서 모델 평가 프로그램이 claude를 자동으로 돌릴 때 쓰라고 소개하는데, 개인 서버의 예약 작업에도 그대로 맞습니다.
claude -p는 exit code 0이어도 일을 안 했을 수 있습니다
--tools Read만 준 claude -p에게 존재하지 않는 파일을 요약하라고 시키면, 「찾지 못했다」고 답하고도 exit code 0, JSON 출력의 subtype은 success로 끝납니다. --max-turns 상한에 걸리면 exit code 1과 error_max_turns로 드러납니다. 하지만 답에만 「못 했다」고 쓰고 끝난 실행은 exit code로도 subtype으로도 잡히지 않습니다.
결과를 그대로 밖으로 보내는 작업이면 성공 여부를 답의 한 필드로 받습니다. 프롬프트에 「못 했으면 done을 false로」라고 적고 --json-schema로 필드를 정해 돌려 봤습니다. 파일이 없을 때는 exit code 0인 채로 done이 false로 나왔고, 파일을 넣자 true로 나왔습니다.
claude -p "Read ./input.md and summarize it in one English sentence. Set done to false if you could not do the task." \
  --restricted --mcp-config '{"mcpServers":{}}' --strict-mcp-config --tools Read --output-format json \
  --json-schema '{"type":"object","properties":{"done":{"type":"boolean"},"summary":{"type":"string"}},"required":["done","summary"]}' \
  > out.json
jq -e '.structured_output.done' out.json > /dev/null || exit 1  # 못 했다고 답했으면 실패로 끝낸다
결과물이 파일로 남는다면, 실행 뒤 바뀌어야 할 파일이 그대로일 때 실패로 처리합니다. 개인 위키를 고치는 제 작업은 실행마다 wiki/log.md에 한 줄을 남기게 되어 있어서, 이 파일이 바뀌지 않았으면 변경을 되돌리고 실패로 끝냅니다. 이 검사는 같은 작업을 Codex CLI로 옮겨 시험하다가 넣었습니다. 여섯 번 중 네 번이 「못 했다」는 요약만 남기고 정상 종료했기 때문입니다. claude -p로 돌린 73회는 모두 로그를 남겼습니다.
# claude -p가 끝난 뒤. 시작 전 워킹 트리가 깨끗하지 않으면 애초에 돌리지 않는다
changed = subprocess.run(["git", "status", "--porcelain", "--", "wiki/log.md"],
                         capture_output=True, text=True, check=True).stdout
if not changed:
    raise RuntimeError("wiki/log.md가 바뀌지 않았다. 빈 실행으로 보고 되돌린다")
예약 작업을 새로 걸 때는 고른 플래그를 붙인 채 앞에서 본 jq 명령으로 init 이벤트를 한 번 보면 됩니다. permission mode와 도구 수가 플래그로 정한 것과 다르면 사용자 설정이 같이 실린 것입니다.

Claude Code 운영기 5편: Claude야, 영어로 쓰라니까 왜 한국어로 답한다고 해

댓글