Claude Code
AWS
DatadogClaude Code 2.1.260이 읽기 전용 경로와 셸 권한 경계를 복구했다
Claude Code 2.1.260은 괄호가 들어간 permission rule에서 read-only directory가 쓰기 가능한 상태로 남을 수 있던 문제를 고쳤다. zsh 환경 변수 대입 안의 command substitution과 Amazon Bedrock custom certificate 처리도 함께 바로잡았다. 선언한 정책과 실제 shell 해석 사이에서 생긴 틈을 줄이는 보안 및 운영 수정이다.
업데이트 전후에는 보호 directory를 read-only로 지정한 뒤 직접 쓰기, 괄호가 있는 command rule과 환경 변수 안의 치환 구문을 각각 재현해야 한다. 조직 관리 설정을 쓰는 환경은 local 설정과 충돌할 때도 거부 규칙이 그대로 유지되는지 확인하는 편이 안전하다.
Claude Code 2.1.261이 조직 정책 진단과 에이전트 실행 안전성을 높였다
Claude Code 2.1.261은 조직 정책을 진단하는 도구, tool output 상한과 하위 에이전트의 system prompt 파일 지정을 추가했다. trusted proxy 환경의 전달 주소 해석과 위험한 파일 삭제 prompt도 수정해 중앙 정책과 실제 agent 실행 사이의 관측 가능성을 높였다.
운영팀은 조직 정책 진단 결과를 배포 전 점검에 넣고, 긴 tool output이 잘렸을 때 agent가 어떤 결론을 내리는지 시험해야 한다. reverse proxy를 경유하는 배포는 신뢰할 proxy 범위 밖의 전달 header가 접근 제어에 영향을 주지 않는지 회귀 test하는 것이 중요하다.
AWS MCP Server가 Lambda 장애 진단을 서버리스 자원까지 연결한다
AWS MCP Server가 Lambda 함수뿐 아니라 연결된 AWS 자원의 구성과 상태를 함께 살피는 진단 기능을 추가했다. 현재 이상 징후를 최근 7일 기준선과 비교하고 구성 변경, 시계열, latency를 연관시켜 agent가 조사할 범위를 좁힌다.
이 기능은 장애 원인 확정 도구가 아니라 조사 가설을 빠르게 만드는 연결 계층으로 보는 편이 좋다. 운영 계정에서는 MCP server의 read 권한을 최소화하고, 같은 장애를 기존 dashboard와 trace로 재검증하며, 교차 region 조회 범위와 호출 비용을 별도로 관찰해야 한다.
Amazon ECS가 배포 성공을 더 일찍 판정하는 기준을 제공한다
Amazon ECS는 새 배포에서 설정한 비율의 task가 건강해지면 모든 task가 준비되기 전 성공으로 판정하는 Early Success Criteria를 제공한다. GPU처럼 용량이 제한된 환경에서 일부 task 준비가 늦어도 deployment cleanup을 시작해 자원 교착과 대기 시간을 줄일 수 있다.
성공 판정이 빨라지는 만큼 건강하지 않은 나머지 task를 놓치지 않는 별도 경보가 필요하다. 적용 전에는 비율 경계, cleanup의 BLOCKING과 DEFERRED 동작, capacity shortage와 실제 application failure가 섞인 경우를 staging에서 재현해야 한다.
Datadog Workload Protection이 런타임 위협 대응 작업을 직접 실행한다
Datadog Workload Protection은 runtime threat를 탐지한 뒤 process나 container에 대응 작업을 연결할 수 있게 했다. 탐지와 수동 조치 사이의 시간을 줄이지만 자동 격리는 정상 workload에도 직접 영향을 줄 수 있어 규칙의 정확도와 복구 절차가 핵심이다.
처음에는 알림과 승인 단계를 둔 모드에서 탐지 근거, 대상 식별과 영향 범위를 기록해야 한다. 자동 대응으로 전환할 때는 service별 예외, 재시작 정책과 forensic data 보존을 함께 검증하고 동일 신호가 반복될 때 작업이 중첩되지 않도록 제한하는 편이 안전하다.