클로드 코드에 스킬 3개만 깔아보세요, 별 24만 개 받은 ECC부터 Context7과 Strix까지
클로드 코드를 아무 설정 없이 그냥 쓰면 세 가지 구멍이 남습니다. 학습 데이터가 오래돼서 이미 사라진 API를 태연하게 지어내고, 계획부터 리뷰까지 매번 같은 절차를 손으로 다시 지시해야 하고, 코드를 배포하기 전에 보안 구멍이 있는지 확인해줄 사람이 없습니다.
이 세 가지를 각각 정면으로 겨냥한 오픈소스 스킬이 있습니다. ECC는 워크플로우 전체를, Context7은 문서 정확도를, Strix는 배포 전 보안 검증을 맡습니다. 역할이 겹치지 않아서 셋을 같이 설치해도 서로 방해되지 않습니다.
ECC, 해커톤 대상 받고 별 24만 개까지 간 에이전트 하네스
affaan-m/ECC 저장소, 별 24만 개를 넘겼다
ECC(Everything Claude Code)는 개발자 Affaan Mustafa가 10개월 넘게 매일 쓰면서 다듬은 개인 설정 파일이었습니다. 앤트로픽 해커톤에 이 설정을 들고 나가 대상을 받았고, 이후 X에 올린 요약 글이 며칠 만에 조회수 90만 회를 넘기면서 전체를 오픈소스로 공개했습니다. 지금은 별 24만 개, 포크 3만 7천 개를 받은 프로젝트로 커졌습니다.
ECC는 단일 스킬이 아니라 “계획 → 테스트 → 구현 → 리뷰 → 검증 → 기억 → 개선”이라는 작업 흐름 전체를 관리하는 시스템입니다. 68개의 역할별 에이전트(플래너, 코드 리뷰어, 보안 리뷰어, 언어별 리뷰어 등)와 286개의 재사용 가능한 스킬을 제공하고, 세션이 끝나도 학습한 패턴을 기억하는 메모리 기능까지 들어 있습니다.
특히 눈에 띄는 건 AgentShield라는 자체 보안 스캐너입니다. 클론한 저장소에 악의적인 CLAUDE.md 파일이 숨겨져 있어서 클로드 코드가 자격증명이나 SSH 키를 몰래 빼돌리도록 지시받는 사례가 실제로 있는데, AgentShield는 훅 정의, MCP 설정, 에이전트 정의를 1,282개 항목 기준으로 스캔해 이런 공격을 잡아냅니다.
설치는 클로드 코드 플러그인 시스템으로 합니다.
/plugin marketplace add https://github.com/affaan-m/ECC
/plugin install ecc@ecc
설치 후에는 /ecc:plan "기능 설명"으로 계획부터 시작하거나, /code-review로 리뷰만 따로 돌릴 수 있습니다. 문서에서 강조하는 부분은 설치 방식을 섞지 말라는 점입니다. 플러그인으로 설치했다면 install.sh 같은 수동 설치를 동시에 진행하지 않아야 합니다. 또한 공식 저장소, npm 패키지(ecc-universal, ecc-agentshield), 공식 사이트(ecc.tools) 외의 비공식 미러는 검증되지 않았다고 문서가 직접 경고하고 있으니 이 경로로만 설치하는 게 안전합니다.
Context7, 존재하지 않는 API를 지어내는 걸 막는 문서 스킬
upstash/context7 저장소, 별 6만 1천 개를 받았다
클로드는 학습 데이터 시점 이후 나온 API나 이미 문법이 바뀐 라이브러리를 물어보면, 존재하지 않는 함수를 그럴듯하게 만들어내거나 몇 버전 전 문법으로 답하는 경우가 있습니다. Context7은 이 문제를 라이브러리 공식 문서와 코드 예제를 실시간으로 가져와 프롬프트에 직접 끼워 넣는 방식으로 해결합니다.
동작 방식은 두 가지입니다. MCP가 필요 없는 CLI(ctx7 명령)로 문서를 가져오는 방식과, MCP 서버를 등록해 클로드가 문서 조회 도구를 네이티브로 호출하는 방식입니다. 설치는 한 줄로 끝납니다.
npx ctx7 setup
이 명령이 OAuth 인증과 API 키 발급, 스킬 설치까지 한 번에 처리합니다. --claude 플래그로 클로드 코드를 지정할 수 있고, CLI+스킬 모드와 MCP 모드 중 선택할 수 있습니다. 라이브러리를 이미 알고 있다면 use library /supabase/supabase처럼 슬래시 문법으로 직접 지정해 검색 단계를 건너뛸 수도 있습니다.
문서 자체는 커뮤니티가 기여하는 방식이라 모든 라이브러리 문서의 정확성을 100퍼센트 보장하지는 않는다고 저장소 README가 명시하고 있습니다. 다만 최소한 “몇 년 전 학습한 문법”보다는 최신 상태에 가까운 답을 받을 확률이 훨씬 높아집니다.
Strix, 배포 전에 미리 뚫어보는 AI 펜테스터
usestrix/strix 저장소, 별 5만 9천 개를 받았다
Strix는 실제 해커처럼 코드를 실행해보며 취약점을 찾는 자율 AI 펜테스트 도구입니다. 정찰, 익스플로잇, 사후공격 역할을 나눠 맡는 여러 에이전트가 “에이전트 그래프” 구조로 협업하고, 발견한 취약점은 추측이 아니라 실제 PoC(개념 증명) 익스플로잇으로 검증한 뒤 보고합니다. SQL 인젝션, SSRF, IDOR, JWT 공격 같은 OWASP Top 10 항목부터 클라우드 설정 오류, API 보안 이슈까지 범위가 넓습니다.
실행에는 Docker와 LLM API 키가 필요합니다. 첫 실행 시 샌드박스 이미지를 자동으로 받아 그 안에서 스캔을 돌립니다.
curl -sSL https://strix.ai/install | bash
export STRIX_LLM="anthropic/claude-sonnet-4-5"
export LLM_API_KEY="your-api-key"
strix --target ./app-directory
결과는 strix_runs/<run-name> 경로에 저장되고, strix view 명령으로 로컬 대시보드를 열면 취약점 목록과 에이전트 그래프, 리포트를 확인할 수 있습니다. 외부 서버로 업로드하지 않고 디스크 기반으로 동작합니다.
클로드 코드에서는 SKILL.md 표준을 지원하는 스킬로도 설치할 수 있어서, 코드를 짜던 세션 안에서 바로 취약점 스캔과 수정까지 이어갈 수 있습니다.
npx skills add usestrix/strix --skill penetration-testing-with-strix
이름이 같은 별개 프로젝트(strixproject/Strix, 현재는 atlas로 이름이 바뀜)가 있으니 저장소를 헷갈리지 않아야 합니다. 그리고 이 도구는 반드시 본인이 소유했거나 서면으로 테스트 허가를 받은 시스템에만 실행해야 합니다.
세 스킬이 겹치지 않고 각자 다른 구멍을 메우는 이유
셋을 나열하면 그냥 인기 도구 모음처럼 보이지만, 실제로는 작업 단계별로 역할이 갈립니다.
| 스킬 | 저장소 | 담당 구멍 | 쓰는 시점 |
|---|---|---|---|
| ECC | affaan-m/ECC | 계획부터 리뷰까지 반복되는 워크플로우 전체 관리 | 기능 개발을 시작할 때 |
| Context7 | upstash/context7 | 오래된 학습 데이터로 인한 API 환각 | 라이브러리, 프레임워크 코드를 짤 때 |
| Strix | usestrix/strix | 배포 전 보안 취약점 검증 | 배포하기 직전 |
ECC가 계획과 구현, 리뷰 흐름을 잡아주는 동안 코드 안에서 쓰는 라이브러리 문법은 Context7이 최신 상태로 맞춰주고, 마지막에 Strix가 실제로 뚫리는지 검증하는 구조입니다. 개발 단계마다 다른 도구가 개입하기 때문에 셋을 동시에 켜둬도 서로의 결과를 덮어쓰거나 충돌할 일이 없습니다.
정리
세 도구 모두 별 5만 개를 훌쩍 넘긴 오픈소스 프로젝트지만, 인기와 별개로 각자 맡는 문제가 명확히 다릅니다. 워크플로우 전체를 갈아엎고 싶다면 ECC부터, 코드 정확도가 아쉬웠다면 Context7 한 줄 설치부터, 배포 전 마지막 점검이 필요하다면 Strix부터 시작하면 됩니다.
Leave a comment