2026년 4월 Monthly Recap: 에이전트 준비 시스템은 보안 요구사항이 됐습니다

2026년 4월 Storybook MCP, Markdown 콘텐츠 협상, llms.txt, Vite 8과 TypeScript 7은 기계가 더 정확한 계약을 읽도록 만들었습니다. 그러나 axios와 Bitwarden CLI 공급망 침해, OAuth 통합 위험은 읽을 수 있는 인터페이스가 곧 새로운 권한 경계가 된다는 사실을 보여줬습니다. 인증, 최소 권한, 출처, 롤백 없이는 에이전트 준비가 보안 부채로 바뀝니다.

4주간의 아카이브는 에이전트 준비와 공급망 위험의 반복을 보여주지만 전체 시장을 대표하지는 않습니다. 20개 카테고리 보고서와 60개 로케일 URL을 검증했습니다. 후속 조사는 4월 30일 이전에 공개된 소유자 문서와 이미 포함된 주제에 한정했습니다. 검색 스니펫이나 월말 이후 정보는 증거로 사용하지 않았습니다.

Storybook 10.3은 실제 컴포넌트의 개발·문서·테스트 도구를 MCP로 노출했습니다. 에이전트 문서 지침은 15,000 토큰 이하의 빠른 시작, 25,000 이하의 API 참고, .md 경로와 HTTP 콘텐츠 협상을 제안했습니다. 큰 컨텍스트보다 정확하고 버전 관리되는 계약이 중요합니다. 읽기 권한과 실행 권한은 분리하고 공개에 필요한 최소 정보만 제공해야 합니다.

TypeScript 7의 Go 컴파일러는 인용된 테스트에서 8–10배 타입 검사와 약 3배 낮은 메모리를 보고했습니다. Vite 8, Vite+와 Oxlint는 빌드·린트·포맷을 네이티브 방향으로 모았습니다. 그러나 컴파일러 API, 프레임워크 어댑터, 커스텀 규칙이 깨질 수 있습니다. 클린 빌드뿐 아니라 증분 빌드, 소스맵, 오류 출력, 메모리를 포함한 호환성 픽스처로 검증해야 합니다.

axios 1.14.1과 0.30.4는 침해된 유지관리 경로로 원격 접근 페이로드를 전달했습니다. @bitwarden/cli 2026.4.0은 자기증식 웜으로 변해 클라우드·npm·SSH·에이전트 도구 자격 증명을 노렸습니다. 고정 lockfile, 최소 패키지 연령, 설치 스크립트 승인, 격리 설치, 아티팩트 diff가 필요하며 사고 뒤에는 프로세스가 읽을 수 있었던 모든 비밀을 교체해야 합니다.

AEO와 하네스 사례는 모델을 바꾸지 않고 문서 구조와 검증 루프로 결과를 개선했습니다. 반면 성숙한 코드베이스 연구에서는 개발자가 20% 빨라졌다고 느꼈지만 실제 완료는 19% 느렸습니다. 저위험 작업은 자동화하고 통합 작업은 리뷰를 강화하며 인증·결제·개인정보·분산 상태에서는 속도를 낮추는 위험 기반 정책이 필요합니다.

컴포넌트 메타데이터는 Storybook, 디자인 의도는 토큰과 원칙, 콘텐츠는 접근 가능한 HTML과 선택적 Markdown, 아키텍처 규칙은 사람이 관리하는 짧은 파일에 둡니다. 패키지 고정, 설치 스크립트 제한, OAuth 범위 축소, 비밀 없는 샌드박스, 에이전트 행동 뒤의 결정적 검사를 함께 적용해야 합니다.

도구 호출이 가능한 모든 편의 기능은 API와 같은 수준으로 위협 모델링해야 합니다. 패키지 계정, OAuth 앱, CLI 릴리스, 에이전트 설정 파일이 특권 실행 경로로 변하는지 확인하고 이상 징후를 배포 전에 차단해야 합니다.

20개 카테고리 보고서와 60개 로케일 URL을 검증했습니다. 후속 조사는 4월 30일 이전에 공개된 소유자 문서와 이미 포함된 주제에 한정했습니다. 검색 스니펫이나 월말 이후 정보는 증거로 사용하지 않았습니다.