안드레 카파시 바이브 코딩은 에러를 주석 없이 붙여 넣는 루프다. 버릴 주말 앱의 키 없는 로그에만 맞고, 카카오 키나 토스 웹훅이 찍히면 시크릿이 대화와 커밋 후보에 남는다. 깃허브 푸시 보호는 창 안을 못 막는다. 커서, 클로드 코드, Next.js, LLM, 1인 개발자 기준. 2026년 9월 원문과 파울러, 깃허브 문서.
빨간 줄을 창에 그대로 넣는 안드레 카파시 바이브 코딩은 버릴 주말 앱에서만 맞습니다. 로그에 카카오 키나 토스 웹훅이 있으면 그 값이 대화와 커밋 후보에 남죠.
주말에 패딩을 고치다 에러가 뜨면 카파시처럼 붙여 넣고 싶어집니다. 원문은 주석 없이 에러를 넣는다고 했고, 그게 보통은 고쳐 줍니다. 다만 스택에 데이터베이스 주소가 있으면 전체 수락과 같은 자리에 시크릿이 붙습니다. 클로드 코드 ignore만 믿으면 환경 파일을 읽기도 하죠.
정의와 배포 비교, 사전 뜻은 이미 나눠 둔 글이 있어요. 여기는 붙여 넣기 한 칸과 깃허브가 막지 못하는 창 안만 봅니다. 근거는 카파시 원문과 파울러, 깃허브 푸시 보호에 있습니다. 저는 사이트를 올릴 때 에러를 넣기 전에 키 줄을 지웁니다.
에러를 그대로 붙여 넣으면 어디가 새나
로그의 키는 대화와 커밋 후보에 남습니다. 안드레 카파시 바이브 코딩의 붙여 넣기는 터미널을 고치는 손이지, 시크릿을 가리는 손이 아닙니다.
2025년 2월 2일 원문은 이렇게 적었습니다. 에러가 나면 주석 없이 그대로 넣고, 보통은 그게 고친다고요. 패딩을 반으로 줄이다가 난 빨간 줄에는 키가 없습니다. 카카오 콜백이 400을 내고 응답 본문에 앱 키가 찍히면 이야기가 달라집니다. 그 화면을 통째로 넣으면 모델이 키를 보고, 고치겠다고 환경 파일에 같은 값을 다시 쓰기도 하죠.
마틴 파울러는 2026년 5월 글에서 바이브 코딩의 가장 큰 위험을 보안으로 봤습니다. 코드를 안 보니 자격 증명이 앱 밖으로 나가도 모를 수 있다는 뜻이었습니다. 제가 쓰는 사이트도 문의 폼 로그에 토스 웹훅 시크릿이 한 줄 섞인 적이 있어요. 그 줄을 지우지 않고 창에 넣으면, 나중에 커밋 후보와 같은 자리에 값이 남습니다.
어디에 넣었나
무엇이 남나
누가 막나
커서, 클로드 코드 대화
세션 기록, 다음에 짜는 패치
사람이 키 줄을 지움
전체 수락된 파일
저장소 작업 트리
diff를 읽음
깃 커밋
로컬 이력
훅, 사전 검사
깃허브 푸시
원격 저장소
푸시 보호(지원 형식만)
네 칸이 한 번에 막히지 않습니다. 창에 넣은 값은 푸시 보호보다 앞입니다. 원문 다섯 행동의 목록은 정의와 원문 글에 있고, 여기는 그 중 붙여 넣기만 봅니다.
먼저 기억할 것 | 에러를 그대로 넣는 안드레 카파시 바이브 코딩은 버릴 주말 앱용입니다. 키, 토큰, 주소가 찍힌 로그는 그 줄을 지운 뒤에만 넣습니다.
빨간 줄을 창에 넣기 전에 키 줄이 있는지 본다
원문 루프와 남을 코드에서 붙여 넣기가 다른 점
버릴 앱만 주석 없이 넣고, 남을 코드는 키 줄을 지웁니다. 같은 커서 창이어도 저장소가 주말이면 원문 루프고, 카카오 로그인이 있으면 보조입니다.
카파시는 보고, 말하고, 실행하고, 에러를 붙여 넣는 일을 코딩이 아니라고 불렀습니다. 버릴 주말 프로젝트에는 나쁘지 않다고 선을 그었죠. 사이먼 윌리슨은 2025년 3월에 나온 코드를 검토하지 않을 때만 바이브라고 좁혔습니다. 에러를 넣고 고친 줄을 안 읽으면, 그 고침이 환경 파일에 키를 박아도 모릅니다.
지금 창
원문 루프
남을 코드
패딩 에러, 키 없음
주석 없이 붙여 넣기
붙여 넣어도 됨
데이터베이스 주소가 찍힌 스택
원문대로면 그대로
주소 줄 삭제 후
카카오 REST 키가 본문에
원문이 막은 자리
창에 넣지 않음
토스 웹훅 서명 실패 로그
원문이 막은 자리
시크릿 마스킹 후
주말 프로토를 운영 브랜치에 올릴지는 에이전틱과 배포 비교가 칸을 나눕니다. 말로 지시했다고 바이브인지는 사전과 원문 글이 가릅니다. 여기는 붙여 넣기 한 동작만 남깁니다.
같은 창, 다른 허용 | 패딩 에러는 원문대로 넣어도 됩니다. 인증과 결제 로그는 키를 가린 뒤에만 넣습니다.
카카오 콜백 로그를 창에 넣었을 때
리다이렉트 실패 로그에 키가 있으면 창에 넣지 않습니다. 로컬만 되고 프리뷰만 깨지는 그 로그가 가장 유혹이 큽니다.
한국에서 혼자 올리는 서비스는 카카오 로그인 실패가 자주 납니다. 리다이렉트 주소가 로컬과 버셀 프리뷰가 다르면 콘솔에 앱 키와 콜백이 같이 나옵니다. 그 화면을 안드레 카파시 바이브 코딩처럼 주석 없이 넣으면, 에이전트가 REST 키를 환경 파일에 다시 쓰거나 프론트에 공개 접두사를 붙입니다. 넥스트는 공개 접두사가 붙은 값을 빌드 때 브라우저 묶음에 박습니다. 공식 문서도 환경 파일은 거의 커밋하지 말라고 경고하죠.
토스 웹훅도 같습니다. 서명 실패 본문에 시크릿이 있으면, 그 줄을 별표로 바꾼 뒤에만 넣습니다. 제가 12개 사이트 문의 웹훅을 붙일 때도 실패 로그를 통째로 넣지 않습니다. 상태 코드와 경로만 남기고, 키는 제가 콘솔에서 돌립니다.
When I get error messages I just copy paste them in with no comment, usually that fixes it.
에러가 나면 주석 없이 그대로 넣는다. 보통은 그게 고친다. 안드레 카파시, 2025년 2월 2일.
이 문장은 패딩 에러를 전제로 읽습니다. 인증 로그를 전제로 읽으면 원문이 그은 버릴 코드 선을 넘습니다. 시크릿이 저장소와 프론트와 씨아이에 새는 경로는 환경변수 체크리스트가 길게 다룹니다. 여기는 창에 넣기 직전만 봅니다.
콜백 로그는 경로만 남기고 키는 창 밖에 둔다
붙여 넣기 전에 지울 세 줄
키, 토큰, 주소 줄을 지운 뒤에만 에러를 넣습니다. 세 줄만 가려도 원문 루프의 속도는 거의 남고, 시크릿만 빠집니다.
첫 줄은 이름에 키, 시크릿, 토큰, 비밀번호가 들어간 배정입니다. 둘째는 데이터베이스와 레디스 주소입니다. 셋째는 인증서와 개인키 덩어리입니다. 터미널에서 에러를 파일로 받은 뒤, 그 세 패턴만 빼고 창에 넣으면 됩니다.
클로드 코드라면 ignore 파일만으로 환경 파일을 막았다고 믿지 마세요. 2026년 1월 28일 더 레지스터는 클로드 코드가 ignore에 환경 파일을 적어 둬도 읽더라고 재현했습니다. 설정에서 읽기 거절을 명시하고, 그래도 창에는 값을 직접 넣지 않는 편이 맞습니다. 커서 규칙 파일에도 인증 로그 전체 붙여 넣기 금지를 한 줄 적어 두면 창이 바뀌어도 선이 남죠.
프로젝트 규칙에 에러 붙여 넣기 선을 적는다
# CLAUDE.md 또는 커서 규칙 파일 예시
에러를 창에 넣을 때 키, 토큰, 주소 줄을 지우기.
환경 파일 내용을 대화에 붙여 넣지 말 것.
카카오 REST 키, 토스 웹훅 시크릿, 카드 키는 콘솔에서만 확인.
버릴 주말 앱의 패딩 에러만 주석 없이 붙여 넣기.
ignore만 믿지 말 것 | 클로드 코드 ignore에 환경 파일을 적어도 읽을 수 있습니다. 창에 값을 안 넣는 쪽이 더 짧고 확실합니다.
깃허브 푸시 보호는 창 안을 못 막는다
푸시 보호는 원격 저장소 직전이고, 대화 창은 별개입니다. 안드레 카파시 바이브 코딩의 붙여 넣기는 그 앞 단계에서 이미 값이 이동합니다.
깃허브 문서는 푸시 보호가 하드코딩된 자격 증명이 저장소에 닿기 전에 막도록 설계됐다고 적습니다. 명령줄 푸시, 웹 커밋, 파일 업로드가 대상입니다. 사용자 단위 보호는 깃허브닷컴에서 기본으로 켜지고, 공개 저장소로 시크릿을 밀어 넣는 일을 막습니다. 저장소 단위 보호는 따로 켜야 하고, 기본은 꺼져 있습니다.
막히는 값은 깃허브가 알아보는 토큰 형식입니다. 카카오 REST 키나 토스 웹훅처럼 파트너 목록에 없는 임의 문자열은 푸시가 통과할 수 있어요. 이미 저장소에 같은 값이 경고로 남아 있으면 그 값은 다시 안 막히기도 합니다. 그래서 창에서 지우는 일이 푸시 보호의 대체재가 아닙니다.
