스킬의 정체는 폴더 하나 + SKILL.md 하나다. 앱도 플러그인도 아니고 그냥 텍스트 파일이다. 그래서 누구나 만들고 공유하고 깔 수 있다 — 가이드가 자랑스럽게 강조하는 대목이고, 실제로 AI 능력의 배포 단위가 소프트웨어에서 평문으로 내려온 사건이다. 설치 마찰이 거의 0이 됐다.
문제는 같은 문장의 뒷면이다. 그 텍스트 파일에는 내 컴퓨터에서 코드를 실행할 권한이 붙어 있다.
근거
가이드는 이 위험을 인지하고 있고, 명시적으로 경고한다. 그런데 경고가 곧 방어 수단의 전부다.
스킬은 내 컴퓨터에서 코드를 실행할 권한이 있어. 신뢰하는 출처에서만 설치 할 것.
설치 경로는 /plugin marketplace add <owner>/<repo> 또는 ~/.claude/skills/에 직접 클론. 즉 임의의 GitHub 저장소를 사용자 판단만으로 실행 권한 있는 위치에 놓는 구조다. npm·PyPI가 겪은 것과 같은 지형인데, 그쪽에는 최소한 버전 고정, 서명, 감사 도구, 취약점 데이터베이스가 사후적으로라도 쌓였다. 스킬 생태계에는 아직 아무것도 없다. 권한 선언도, 샌드박스도, 커뮤니티 심사도 없이 “1위 스킬”이라는 사회적 신호 하나로 신뢰가 대체되고 있다.
여기에 두 번째 문제가 겹친다. 스킬의 실패 모드는 에러가 아니라 침묵이다. description이 모호하면 스킬은 영영 발동하지 않고, 사용자는 스킬이 없는 것과 있는 것을 구분할 수 없다. 발동하지 않는 것을 디버깅할 수 없다면, 발동하지 말아야 할 때 발동하는 것도 알아채기 어렵다. 배포 마찰이 사라진 만큼 관측 가능성도 사라졌다.
그래서 내 질문은 이렇다. 스킬 생태계는 npm이 신뢰 인프라를 갖추기까지 걸린 십수 년을 다시 반복할까, 아니면 실행 권한이 개인 파일 시스템에 직접 닿는다는 점 때문에 훨씬 빨리 강제될까.
연결된 생각
- 20260612-open-source-skill-standardization — 표준화가 배포를 가속하는 만큼 신뢰 문제도 같이 가속된다
- 20260811-skill-scalability-is-decided-by-load-timing — 로딩 시점 설계가 곧 관측 가능성 문제로 이어진다
- 20260813-nondev-claude-code-onboarding-ladder — 초급자에게 9개 스킬 설치를 권하는 절차가 이 위험의 최전선이다
- 20260813-superpowers-skill-bundle — 사회적 신호(커뮤니티 1위)가 신뢰 심사를 대체하고 있는 사례