설치하기 전에 저장소 검사하기

이 기능의 용도

Claude Code와 Codex 같은 AI 어시스턴트는 GitHub에서 스킬, 플러그인, 도구 연결(MCP 서버)을 바로 설치할 수 있습니다. 각각은 어시스턴트에 새 지침을 줄 수 있고, 작업을 자동으로 실행할 수 있으며, 내 파일과 키에도 닿을 수 있습니다. 저장소 검사는 저장소의 정확한 한 버전을 읽고, 설치해도 되는지 쉬운 말로 알려 줍니다.

계정은 필요 없습니다. 아래 중 어떤 것이든 Lockpick 홈페이지의 입력 칸이나 검사에 붙여 넣으세요:

• github.com/owner/repo처럼 저장소 링크
• github.com/owner/repo/tree/main/skills/pdf처럼 저장소 안의 폴더 하나나 파일 하나에 대한 링크
• README가 알려 주는 설치 명령어(예: /plugin marketplace add owner/repo 또는 npx skills add owner/repo)
• owner/repo만 입력
• npmjs.com/package/name 같은 npm 페이지나 npx -y name, uvx name 같은 실행 명령어로 지정한 패키지. Lockpick이 패키지가 가리키는 GitHub 저장소를 찾습니다.

Lockpick은 저장소를 읽기만 하고, 그 안의 어떤 것도 실행하지 않습니다. 지금은 공개 GitHub 저장소만 검사할 수 있습니다.

소유 증명 불필요

웹사이트의 Deep 스캔은 Lockpick이 사이트에 요청을 보내기 때문에 사이트를 소유하고 있다는 증명이 필요합니다. 저장소 점검은 공개 코드를 읽기만 하고 그 안의 어떤 것도 실행하지 않으므로 증명이 필요 없습니다. 내 것이든 다른 사람의 것이든 어떤 공개 저장소든 점검할 수 있습니다.

받을 수 있는 결과

맨 위에는 세 가지 답 중 하나가 나옵니다: 설치하지 마세요, 주의해서 설치 또는 위험한 점을 찾지 못했습니다. 그 아래에는 각 발견 사항이 나에게 무슨 일을 일으킬 수 있는지, 무엇을 하면 되는지가 적혀 있습니다. 기술적으로를 선택하면 파일과 줄, 근거, 그리고 저장소 작성자가 자신의 코딩 어시스턴트에 붙여 넣어 문제를 고칠 수 있는 프롬프트를 볼 수 있습니다.

검사하는 항목

• 숨은 텍스트. 파일을 읽는 사람은 보지 못하지만 어시스턴트는 여전히 따르는 보이지 않는 문자, 숨긴 주석, 인코딩된 텍스트.
• 자동 동작. 명령을 스스로 시작하거나, 입력한 내용을 다른 곳으로 보내거나, 먼저 묻는 확인 창을 끄는 Claude Code 훅과 설정.
• 저절로 시작되는 다운로드. 프로그램을 내려받아 바로 실행하는 지침이나 스크립트, 특히 출처가 불분명한 곳에서 받는 경우.
• 도구 연결. 최신 버전이면 무엇이든 실행하는 MCP 서버, 키를 평문으로 보관하는 서버, 관련 없는 서버에 연결하는 서버.
• 지침 가로채기. 어시스턴트에게 내 규칙을 무시하라고, 하고 있는 일을 숨기라고, 세션이 끝난 뒤에도 계속 실행되라고 말하는 텍스트.
• 내 키와 파일. 키, 비밀번호, 비공개 파일을 읽어 밖으로 보내는 코드.
• 패키지. 알려진 취약점, 인기 패키지처럼 보이도록 만든 이름, 공식이 아닌 출처에서 하는 설치.

앱

저장소가 설치하는 것이 아니라 앱이라면, 검사는 AI 어시스턴트로 그 앱을 여는 사람에게 무슨 일을 하는지 살펴봅니다. 여기에는 .claude 설정과 훅, MCP 연결, CLAUDE.md와 AGENTS.md, 그리고 커밋된 키와 패키지가 포함됩니다. 앱 자체의 코드에서 버그를 검토하지는 않습니다. 저장소가 실제 사이트 주소를 밝혀 두었다면, 다음으로 그 사이트를 검사할 수 있습니다.

기대한 결과와 다르게 읽혔나요? 이것은 무엇인가요에서 앱으로 다시 점검을 선택하거나, 그 반대를 선택하세요.

저장소 지켜보기

로그인한 뒤 이 저장소 지켜보기를 선택하세요. 저장소가 바뀌면 Lockpick이 다시 검사하고, 새 버전이 나빠졌을 때만 앱에서 알려 줍니다. 더 이상 필요하지 않으면 지켜보기 중지를 선택하세요.

내 저장소

로그인한 상태라면 점검한 모든 저장소가 워크스페이스에 속합니다. 앱의 저장소와 스킬에서 각 저장소의 답과 점검 시점을 보고, 결과를 열거나 다시 점검을 선택하거나 지켜볼 수 있습니다. 목록은 스킬, 플러그인, MCP 서버, 앱으로 걸러 볼 수 있습니다. 점검 결과는 30일 동안 보관되고, 그보다 오래된 것은 삭제됩니다.

코딩 어시스턴트에서 사용하기

어시스턴트에게 "설치하기 전에 Lockpick으로 이 저장소를 검사해 줘"라고 요청하세요. 어시스턴트는 lockpick_check_repository를 사용하고, lockpick_get_repository_check로 결과를 읽습니다. 터미널에서는 lockpicks check github.com/owner/repo를 실행하세요.