Claude Code 내장 브라우저, 크롬을 빌리지 않는 격리 샌드박스

AI 요약

• 무슨 일: Claude Code 데스크톱 앱(버전 2.1.202 이상, 7월 중순 Week 28 업데이트)에 내장 브라우저가 들어왔습니다. Claude가 앱 안에서 웹을 열어 읽고, 클릭하고, 입력할 수 있습니다. 단축키는 Cmd/Ctrl + Shift + B입니다.
  • Anthropic 설명: "Claude가 docs, 디자인, 어떤 사이트든 열어 로컬 dev 서버를 다루듯 읽고 클릭하고 상호작용한다. 샌드박스이며 세션 지속 여부를 고를 수 있다."
• 격리: 개인 브라우저와 분리된 깨끗한 프로필로 돕니다. 저장된 로그인도, 방문 기록도 없습니다. 세션(쿠키 포함) 지속 여부는 사용자가 선택하며 기본은 무상태에 가깝습니다.
• 안전: 클릭·타이핑 같은 write 액션마다 보안 분류기가 검사하고 승인을 요구합니다. 사이트별로 Allow once / Always allow / Deny를 고르고, Auto 모드는 대상 도메인이 allowlist에 있어야 합니다. 구매·계정 생성·CAPTCHA 우회는 명시 동의 없이 거부합니다. 조직은 사이트 allowlist나 도구 비활성화로 통제합니다.
• 구분: 로그인된 세션에서 "당신으로서" 움직여야 하면 격리 브라우저가 아니라 Claude in Chrome 확장을 씁니다. 하나는 로그인이 필요 없는 작업, 다른 하나는 계정 로그인이 필요한 작업을 맡습니다.

Claude Code 데스크톱 앱이 이제 자체 브라우저를 엽니다. Anthropic이 7월 중순 Week 28 업데이트에 넣었고, 버전 2.1.202에서 2.1.206 사이에 포함됐습니다. 앱을 최신으로 올리면 Cmd+Shift+B(윈도우는 Ctrl+Shift+B)로 브라우저 창이 뜹니다. Claude는 이 창에서 문서를 읽고, 링크를 클릭하고, 폼에 값을 넣습니다.

이 브라우저는 사용자의 크롬을 건드리지 않습니다. 저장된 로그인도 방문 기록도 없는 빈 프로필에서 돌고, 웹을 바꾸는 동작은 전부 승인을 받아야 합니다. 아래에서 이 두 가지 설계와, 기존 Claude in Chrome 확장과 역할을 어떻게 나눴는지 봅니다.

격리 프로필: 개인 크롬을 빌리지 않는다

내장 브라우저의 가장 중요한 선택은 빈 프로필로 돈다는 점입니다. 개인 크롬과 분리된 깨끗한 프로필이라 저장된 로그인도 방문 기록도 없습니다. 세션을 유지할지는 사용자가 고르고, 기본값은 아무것도 남기지 않는 쪽에 가깝습니다.

이 선택이 왜 중요한지는 개인 크롬을 떠올리면 분명합니다. 거기엔 은행, 메일, 사내 대시보드 로그인이 이미 살아 있습니다. 에이전트가 그 프로필로 움직이면 실수 하나가 그 모든 로그인에 닿을 수 있습니다. 빈 프로필은 그 위험을 처음부터 없앱니다. Claude가 접근할 수 있는 것은 이번에 직접 연 사이트뿐입니다.

기본을 무상태로 둔 것은 MCP가 7월 28일 사양에서 세션 상태를 버린 결정과 같은 판단입니다. 상태가 남으면 편하지만, 자동으로 도는 에이전트에게는 남은 로그인과 쿠키가 예측하기 어려운 위험이 됩니다.

write 액션마다 승인을 받는다

읽기는 자유롭지만 쓰기는 매번 검사받습니다. 페이지를 읽고 내용을 가져오는 동작은 비교적 자유롭습니다. 반면 클릭이나 입력처럼 사이트 상태를 바꾸는 write 액션은 보안 분류기가 매번 검사하고 승인을 요구합니다. heise의 정리로는 "보안 분류기가 클릭이나 입력 같은 모든 쓰기 동작을 검사하고 승인을 요구"합니다. 개발자는 사이트별로 반응을 고릅니다.

승인 방식은 사이트마다 한 번 허용·항상 허용·거부 중 하나를 고르는 것입니다. 사람이 지켜보지 않는 Auto 모드에서는 조건이 더 붙습니다. 대상 도메인이 미리 정한 allowlist에 있어야 자동으로 진행하고, 없으면 멈춥니다. 어떤 설정에서도 물건 구매·계정 생성·CAPTCHA 우회는 명시적 동의 없이 거부합니다.

이 승인 방식은 새로 만든 게 아니라 Claude Code의 기존 안전 장치를 웹으로 옮긴 것입니다. Auto 모드의 도구 호출을 판단하는 2단계 안전 분류기가 셸 명령과 파일 쓰기를 걸렀다면, 이번엔 같은 방식이 웹의 클릭과 입력에 적용됩니다. 기업은 여기에 더해 접근 가능한 사이트를 allowlist로 좁히거나 브라우저 도구를 통째로 끌 수 있습니다. 무인 실행에서 안전을 대화가 아니라 관리자 설정으로 보장한다는 원칙은 권한 기본값이 런타임마다 갈린 이야기와 이어집니다.

격리 브라우저와 Chrome 확장, 언제 뭘 쓰나

두 도구를 가르는 기준은 계정 로그인이 필요하냐입니다. Anthropic은 웹을 다루는 도구를 둘로 나눴습니다. 로그인이 필요 없는 일(문서 읽기, 디자인 확인, 방금 만든 웹앱 테스트)은 내장 브라우저의 빈 프로필로 합니다. 실제 지메일을 열거나 사내 시스템에 로그인된 상태로 처리해야 하는 일은 사용자의 브라우저 로그인을 공유하는 Claude in Chrome 확장이 맡습니다. 브라우저 안 에이전트가 사용자의 로그인 세션을 건드릴 수 있다는 우려는 WebMCP처럼 브라우저를 에이전트 도구로 여는 시도에서도 반복해 나온 문제입니다. Anthropic은 그 위험을 로그인이 필요한 작업에만 가뒀습니다.

이 구분은 실무에서 웹앱 테스트 루프를 가장 크게 바꿉니다. 프론트엔드 개발자는 코드를 고치고, 브라우저로 넘어가 확인하고, 콘솔을 읽고, 다시 에디터로 돌아오는 왕복을 하루에 수십 번 합니다. 내장 브라우저는 이 왕복을 앱 안에서 끝냅니다. Digital Trends에 따르면 로그인 흐름과 Google OAuth 팝업까지 브라우저 안에서 처리되므로, 인증 화면을 검증할 때도 실제 계정을 노출하지 않습니다. 여기에 학습 시점 이후 나온 라이브러리 문서나 방금 열린 이슈 댓글을 Claude가 직접 읽을 수 있어, 내용을 복사해 프롬프트에 붙여 넣던 단계가 줄어듭니다.

아직 확인이 필요한 부분도 있습니다. 매체마다 기능이 붙은 시점을 7월 10일에서 13일 사이로 다르게 적었고, 데스크톱 앱 외에 CLI나 IDE 확장에서도 같은 도구가 노출되는지, 요금제별로 어떻게 갈리는지는 공식 문서가 표준 업데이트로만 설명해 세부가 엇갈립니다. 도입을 검토한다면 쓰고 있는 배포 형태와 버전에서 브라우저 도구가 실제로 보이는지 먼저 확인하는 편이 낫습니다.