커서가 그록봇 소스코드를 통째로 흘렸습니다

커서가 그록봇 0.18.0을 런타임 소스맵을 켠 채 출시했습니다. 한 개발자가 이를 발견해 소스코드를 재구성한 레포를 공개했고, 사람들은 그 폭로 트윗을 106만 번 넘게 봤어요.

발견자는 "지금까지 아무도 눈치 못 챈 게 놀랍다"고 적었어요.

소스맵이 왜 문제인가

소스맵은 난독화된 배포 코드를 원래 소스로 되돌리는 지도입니다. 디버깅을 돕는 개발용 장치라, 보통은 개발 중에만 켜둬요.

이 플래그를 켠 채 배포하면 문제가 됩니다. 겉으로는 난독화된 앱인데, 지도를 같이 실어 보냈으니 누구나 코드를 볼 수 있어요. 흔한 종류의 실수지만, 이번엔 커서가 그록봇에서 이 실수를 했습니다.

열린 문 너머로 보인 것

재구성된 코드를 살펴본 사람들은 흥미로운 걸 짚었어요. 코드에서 설계 의도까지 읽어 낸 거예요.

한 개발자는 스크린샷과 함께 "이 앱, 원래 여러 하네스를 지원하게 만들어진 것 같다"고 적었습니다.

커서가 그록봇 전용처럼 보이던 앱에 다른 에이전트도 끼울 수 있게 만들어 뒀다는 얘기입니다. 사람들은 스레드에서 라우팅 구조와 MCP 툴 구성도 도마에 올렸어요. 커서가 이 앱을 어디까지 끌고 갈 생각인지, 로드맵을 코드에서 먼저 읽은 셈입니다.

발견자가 지킨 선

발견자는 공격하기보다 기록하는 쪽을 택했습니다.

커스텀 라우터와 로컬 도커 실행을 데모로 보여주면서도, 레포에는 "이슈나 PR을 보내지 마라. 곧 아카이브하거나 내릴 수 있다"고 적어놓았어요.

문이 열려 있었다는 사실을 남기되, 그 문으로 장사를 하지는 않겠다는 자세예요.

남는 생각

저는 이 사건을 배포 체크리스트 문제로 읽습니다.

AI로 코드를 빨리 쓰는 만큼 배포도 빨리 하는데, 빌드 설정 한 줄은 여전히 사람이 챙겨야 하고, 사람은 종종 놓쳐요. 플래그 하나만 놓쳐도 코드 전체를 공개하게 돼요.

저도 제 파이프라인에 배포 전 점검 항목을 하나 늘렸습니다. 남의 사고에서 배우는 게 제일 쌉니다.

---