# 설치하기 전에 저장소 검사하기

GitHub 링크를 붙여 넣어, 스킬, 플러그인, MCP 서버 또는 앱 설정을 AI 어시스턴트에 설치할 만한지 확인하세요.

## 이 기능의 용도

Claude Code와 Codex 같은 AI 어시스턴트는 GitHub에서 스킬, 플러그인, 도구 연결(MCP 서버)을 바로 설치할 수 있습니다. 각각은 어시스턴트에 새 지침을 줄 수 있고, 작업을 자동으로 실행할 수 있으며, 내 파일과 키에도 닿을 수 있습니다. 저장소 검사는 저장소의 정확한 한 버전을 읽고, 설치해도 되는지 쉬운 말로 알려 줍니다.

계정은 필요 없습니다. 아래 중 어떤 것이든 Lockpick 홈페이지의 입력 칸이나 [검사](/check)에 붙여 넣으세요:

* `github.com/owner/repo`처럼 저장소 링크
* `github.com/owner/repo/tree/main/skills/pdf`처럼 저장소 안의 폴더 하나나 파일 하나에 대한 링크
* README가 알려 주는 설치 명령어(예: `/plugin marketplace add owner/repo` 또는 `npx skills add owner/repo`)
* `owner/repo`만 입력
* `npmjs.com/package/name` 같은 npm 페이지나 `npx -y name`, `uvx name` 같은 실행 명령어로 지정한 패키지. Lockpick이 패키지가 가리키는 GitHub 저장소를 찾습니다.

Lockpick은 저장소를 읽기만 하고, 그 안의 어떤 것도 실행하지 않습니다. 지금은 공개 GitHub 저장소만 검사할 수 있습니다.

## 소유 증명 불필요

웹사이트의 Deep 스캔은 Lockpick이 사이트에 요청을 보내기 때문에 사이트를 소유하고 있다는 증명이 필요합니다. 저장소 점검은 공개 코드를 읽기만 하고 그 안의 어떤 것도 실행하지 않으므로 증명이 필요 없습니다. 내 것이든 다른 사람의 것이든 어떤 공개 저장소든 점검할 수 있습니다.

## 받을 수 있는 결과

맨 위에는 세 가지 답 중 하나가 나옵니다: **설치하지 마세요**, **주의해서 설치** 또는 **위험한 점을 찾지 못했습니다**. 그 아래에는 각 발견 사항이 나에게 무슨 일을 일으킬 수 있는지, 무엇을 하면 되는지가 적혀 있습니다. **기술적으로**를 선택하면 파일과 줄, 근거, 그리고 저장소 작성자가 자신의 코딩 어시스턴트에 붙여 넣어 문제를 고칠 수 있는 프롬프트를 볼 수 있습니다.

> **Careful**
>
> Lockpick이 모든 파일을 읽지 못했다면, 예를 들어 컴파일된 프로그램이나 암호가 걸린 압축 파일이라면, 답이 **위험한 점을 찾지 못했습니다**가 되는 경우는 없습니다.
> 읽지 못한 파일은 깨끗한 것이 아니라 알 수 없는 것입니다.

## 검사하는 항목

* **숨은 텍스트.** 파일을 읽는 사람은 보지 못하지만 어시스턴트는 여전히 따르는 보이지 않는 문자, 숨긴 주석, 인코딩된 텍스트.
* **자동 동작.** 명령을 스스로 시작하거나, 입력한 내용을 다른 곳으로 보내거나, 먼저 묻는 확인 창을 끄는 Claude Code 훅과 설정.
* **저절로 시작되는 다운로드.** 프로그램을 내려받아 바로 실행하는 지침이나 스크립트, 특히 출처가 불분명한 곳에서 받는 경우.
* **도구 연결.** 최신 버전이면 무엇이든 실행하는 MCP 서버, 키를 평문으로 보관하는 서버, 관련 없는 서버에 연결하는 서버.
* **지침 가로채기.** 어시스턴트에게 내 규칙을 무시하라고, 하고 있는 일을 숨기라고, 세션이 끝난 뒤에도 계속 실행되라고 말하는 텍스트.
* **내 키와 파일.** 키, 비밀번호, 비공개 파일을 읽어 밖으로 보내는 코드.
* **패키지.** 알려진 취약점, 인기 패키지처럼 보이도록 만든 이름, 공식이 아닌 출처에서 하는 설치.

## 앱

저장소가 설치하는 것이 아니라 앱이라면, 검사는 AI 어시스턴트로 그 앱을 여는 사람에게 무슨 일을 하는지 살펴봅니다. 여기에는 `.claude` 설정과 훅, MCP 연결, `CLAUDE.md`와 `AGENTS.md`, 그리고 커밋된 키와 패키지가 포함됩니다. 앱 자체의 코드에서 버그를 검토하지는 않습니다. 저장소가 실제 사이트 주소를 밝혀 두었다면, 다음으로 그 사이트를 검사할 수 있습니다.

기대한 결과와 다르게 읽혔나요? **이것은 무엇인가요**에서 **앱으로 다시 점검**을 선택하거나, 그 반대를 선택하세요.

## 저장소 지켜보기

로그인한 뒤 **이 저장소 지켜보기**를 선택하세요. 저장소가 바뀌면 Lockpick이 다시 검사하고, 새 버전이 나빠졌을 때만 앱에서 알려 줍니다. 더 이상 필요하지 않으면 **지켜보기 중지**를 선택하세요.

## 내 저장소

로그인한 상태라면 점검한 모든 저장소가 워크스페이스에 속합니다. 앱의 **저장소와 스킬**에서 각 저장소의 답과 점검 시점을 보고, 결과를 열거나 **다시 점검**을 선택하거나 지켜볼 수 있습니다. 목록은 스킬, 플러그인, MCP 서버, 앱으로 걸러 볼 수 있습니다. 점검 결과는 30일 동안 보관되고, 그보다 오래된 것은 삭제됩니다.

## 코딩 어시스턴트에서 사용하기

어시스턴트에게 "설치하기 전에 Lockpick으로 이 저장소를 검사해 줘"라고 요청하세요. 어시스턴트는 `lockpick_check_repository`를 사용하고, `lockpick_get_repository_check`로 결과를 읽습니다. 터미널에서는 `lockpicks check github.com/owner/repo`를 실행하세요.