GOLDTAG (골드태그)

회사에서 보안점검을 하자는 이야기가 내려왔다. 티빙 유출 건 때문이었다. 다니는 곳이 미디어 쪽이라 남의 일처럼 읽히지 않았고, 점검 항목이 돌기 시작하면서 사내 맥에는 MDM이 들어왔다. 소스가 회사 밖 클라우드로 나가는 경로를 통제하는 쪽이었다. 코드가 저장소에 들어가는 순간에도 검사를 거치게 만드는 작업도 같이 진행됐다. 나는 그 흐름을 보면서 개인 레포는 이미 대비가 돼 있다고 생각했다. 이 블로그를 굴리는 레포에는 커밋 직전에 도는 훅이 하나 있다. 시크릿이 스테이지되면 커밋을 막는다. 몇 달 전에 직접 짜서 붙였고, 그 뒤로 한 번도 의심해본 적이 없었다. 실제로 잘 돌긴 했다. scripts/credentials.json 을 실수로 git add 한 적이 있었는데 그때 정확히 막혔다. 막힌 경험이 있으니 신뢰가 생겼다. 그래서 이번엔 순서를 바꿔봤다. 훅이 있다는 걸 확인하는 게 아니라, 훅이 무엇을 잡는지 확인해봤다. 사내 보안 점검 스킬을 내 레포에 그대로 돌리고, 훅이 쓰는 정규식만 따로 떼어내 가짜 시크릿 여섯 개에 던졌다. 탐지 0건이었다. 훅은 자기가 아는 것만 알고 있었다 내 훅이 찾던 건 다섯 가지였다. GOOGLE_API_KEY 계열, OAuth JSON의 client_secret 과 refresh_token , 그리고 sk- 로 시작하는 OpenAI 키와 sk-ant- 로 시작하는 Anthropic 키. 이 목록을 짤 때의 나를 기억한다. 이 레포에서 실제로 쓰는 자격증명이 Google OAuth와 두 LLM API 키뿐이었으니까, 내가 가진 걸 기준으로 목록을 만든 것이다. 논리적으로는 틀린 데가 없다. 문제는 사고가 내가 가진 것 안에서만 나지 않는다는 데 있다. 던져본 여섯 개는 이런 것들이었다. AWS_ACCESS_KEY_ID = AKIAIOSFODNN7EXAMPLE aws_secret_access_key = wJalrXUtnFEMIK7MDENGbPxRfiCYEXAMPLEKEYxx GITHUB_TOKEN ...

아침마다 브라우저 탭 일곱 개를 순서대로 훑는 게 루틴이 됐다. 메일 하나, 캘린더 하나, 슬랙 하나, RSS 리더 하나. 몇 년째 그러고 있었다. 그래서 ChatGPT Work에 Sites가 붙었다는 얘기를 들었을 때 제일 먼저 떠오른 게 이거였다. 저 일곱 개를 한 화면에 밀어넣을 수 있겠다. 그날 저녁에 바로 붙잡고 앉았고, 화면은 정말 나왔다. 반나절 만에 도는 대시보드를 봤다. 절반만 나왔다는 걸 안 건 그 다음이었다. 내가 원했던 화면 설계라고 부르기도 뭐한 수준의 스케치부터 그렸다. 왼쪽 컬럼에 오늘 할 일. 체크박스 누르면 바로 반영되는 흔한 todo. 가운데에 오늘 일정과 액션이 필요한 메일 몇 줄. 오른쪽에 구독 중인 개발 블로그 RSS와 GitHub 알림. 하단에 이번 주 커밋 히트맵. 특별할 게 없다. Notion이나 Raycast로도 되고, 시간 들이면 Supabase로 짜도 된다. 굳이 Sites를 본 이유는 하나였다. 인증과 배포를 안 짜도 된다는 것. 오랫동안 이 일을 하면서 제일 지겨웠던 게 사내 툴 만들 때 로그인 붙이는 작업이다. 기능은 두 시간이면 되는데 OAuth 붙이고 세션 관리하고 권한 테이블 짜다 보면 이틀이 간다. 그 이틀에서 나오는 산출물이 제품 가치랑 아무 상관이 없다는 게 특히 그렇다. 로그인이 잘 된다고 대시보드가 좋아지진 않으니까. Sites는 그걸 없앴다고 했다. 그 지점 하나 때문에 들여다봤다. 그리고 여기서 내가 무의식적으로 한 가정이 하나 있었는데, 그게 나중에 반나절을 잡아먹는다. "연동된다"는 말이 숨기는 것 Sites를 다룬 글들을 몇 개 읽었는데 대부분 이런 톤이었다. 프롬프트로 앱을 만들고, 호스팅되고, Gmail이나 Slack 같은 서비스와 연동된다. 세 번째 항목이 문제다. 저 문장은 참인데, 참인 위치가 사람들이 생각하는 곳이 아니다. ChatGPT의 커넥터는 OpenAI가 관리하는 MCP 래퍼다. Gmail도 캘린더도 Slack도 전부 그 층...

원래는 그냥 스크롤을 내리려던 참이었다. 주말에 밀린 뉴스레터를 훑다가 "AlphaEvolve, 이제 모든 구글 클라우드 고객에게"라는 줄을 봤다. 7월에 GA로 풀렸다는 소식이었다. 나는 이미 머릿속으로 분류를 끝내고 있었다. 또 코딩 에이전트겠지. Gemini CLI, Claude Code, Copilot 계열에 하나 더 붙는 이름이겠거니 하고 엄지를 아래로 밀었다. 그런데 그 아래 딸려온 한 문장에서 손가락이 멈췄다. "코드 스니펫을 생성하는 게 아니라, 알고리즘을 반복적으로 평가하고 개선한다." 짧은 문장인데 이상하게 걸렸다. 코드를 생성하지 않는 코딩 에이전트라니. 그게 무슨 말인가 싶어서 원래 하려던 걸 멈추고 구글 딥마인드 공개 문서와 작년 논문을 열었다. 그날 밤 나는 이게 뭔지 얼추 이해했다. 이해하는 데는 성공했다. 그런데 이해가 끝나기 무섭게 머리가 멋대로 다음 계산을 시작했다. 그럼 이걸 내 일에 들이면 어디에 꽂히지. 내가 매일 만지는 코드 중에 이 진화 루프한테 던질 만한 게 있긴 한가. 그 질문에 답해보려다가, 생각보다 훨씬 곤란한 자리로 끌려 들어갔다. 미리 밝혀둔다. 나는 AlphaEvolve를 직접 돌려본 적이 없다. 그러니 이 글은 써본 후기가 아니다. 공개된 자료만 읽고, 이걸 내 개발 업무에 들인다면 어디에 쓰고 어디선 무용한지를 머릿속으로 설계해본 사고 실험에 가깝다. 실전 경험담이 아니라 아직 안 써본 사람의 가정과 계산이라고 생각하고 읽어주면 좋겠다. 코딩 도구가 아니라는 게 진짜 핵심이었다 먼저 이름 때문에 생기는 오해부터 걷어내야 한다. AlphaEvolve는 딥마인드가 붙인 이름이고, 이 회사의 Alpha 계보를 안다면 감이 온다. 바둑의 AlphaGo, 단백질 구조의 AlphaFold. 전부 "인간이 손으로 다 뒤져볼 수 없는 거대한 공간에서 좋은 수를 찾아내는" 계열이다. AlphaEvolve도 정확히 그 자리에 있다. 다만 이번에 뒤지는 공...

내가 짠 건 하네스가 아니라 아웃터 루프였다 타임라인에 "루프 엔지니어링(loop engineering)"이라는 단어가 뜬 걸 봤을 때, 나는 반사적으로 이걸 하네스 얘기의 재탕이라고 생각했다. 프롬프트 엔지니어링, 컨텍스트 엔지니어링, 하네스 엔지니어링까지 순서대로 따라온 사람 입장에선 자연스러운 오해다. 접미사가 똑같으니까. 다음 단어가 하나 더 붙었으니 앞 단어의 변형 버전이겠거니 했다. 그래서 대충 넘기려다, 계보를 한 번 되짚어 봤다. 어디서 온 말인지, 앞 세 단어와 뭐가 다른지. 처음엔 "또 하나 지어낸 신조어겠지" 싶은 마음이 반쯤 있었다. 몇 달에 한 번씩 접미사만 바꾼 유행어가 도는 판이니까. 그런데 읽다 보니 이게 하네스의 변형이 아니었다. 하네스 위에 한 층 더 얹히는 다른 층이었다. 접미사가 같아서 옆으로 나란한 단어인 줄 알았는데, 실은 위아래로 쌓이는 관계였다. 그 렌즈를 손에 쥐고 내 blog-studio repo를 다시 열었다. 그리고 좀 이상한 기분이 들었다. 내가 반년 넘게 이름도 모르고 짜 놨던 것들, 오케스트레이터랑 발행 게이트랑 세션 훅 같은 것들이, 사실 전부 아웃터 루프였다. verifier도 stop rule도 이미 코드로 돌아가고 있었다. 나는 그걸 "자동화 스크립트"라고만 불렀지, 루프라고 생각한 적이 없었다. 그런데 되짚으니 새 질문이 하나 생겼다. 내가 얹은 아웃터 루프와, Claude Code가 이미 돌리고 있던 이너 루프의 경계가 생각보다 흐리다는 것. 어디까지가 내가 엔지니어링한 부분이고, 어디부터가 하네스가 그냥 준 것인가. 이 글은 그 경계를 더듬어 본 기록이다. 계보를 한 줄로 되짚으면 먼저 오해부터 풀고 가자. 프롬프트 → 컨텍스트 → 하네스 → 루프. 이 네 단어는 서로를 대체하지 않는다. 아래 단어가 위 단어를 밀어내는 게 아니라, 위에 한 층씩 쌓인다. 적층이지 교체가 아니다. 프롬프트 엔지니어링은 모델에게 한 번 잘 말하는 ...