설치 한 줄 뒤의 공급망: anthropics/claude-plugins-official의 315개 카탈로그·sha 고정·Claude 정책 스캔·플러그인 해부 심층 분석

Claude Code에서 /plugin install github@claude-plugins-official 한 줄을 치면 몇 초 만에 MCP 서버·스킬·서브에이전트·훅이 세션에 붙는다. 편하지만, 실무자라면 곧바로 질문이 생긴다. 그 한 줄 뒤에서 무엇이, 어떤 커밋으로, 누구의 검토를 거쳐 내 디스크에 내려오는가? 오늘(2026-10-17) GitHub Trending 전체 일간 1위에 오른 anthropics/claude-plugins-official은 바로 그 답이 담긴 저장소다. Claude Code가 첫 대화형 실행 때 자동으로 등록하는 공식 마켓플레이스의 실체이자, 315개 항목을 묶은 marketplace.json 한 장과 그것을 지키는 GitHub Actions 공급망 파이프라인이다.

이번 주 Trending에는 이 저장소 말고도 cursor/plugins, android/skills, 에이전트 스킬 라이브러리들이 나란히 올라와 있다. “에이전트 확장을 어떻게 배포·검증할 것인가”가 생태계 전체의 화두라는 뜻이다. 이 글은 플러그인 목록 소개가 아니라 카탈로그의 스키마, 플러그인 해부, sha 고정과 야간 bump, Claude 기반 정책 스캔, 그리고 박스에서 직접 돌린 Claude Code 2.1.302 스모크 결과를 실무 관점에서 해부한다. 수치는 모두 2026-10-17 16:50~16:53(KST)에 main HEAD ea10b21 기준으로 직접 집계한 값이다.

한눈에 보기: 오늘 체크아웃 기준

저장소 구조: 코드보다 ‘정책과 파이프라인’이 본체

트리를 열면 의외로 단순하다. 실제 무게는 루트의 카탈로그 한 장과 .github/ 아래 워크플로·정책 파일에 있다. plugins/와 external_plugins/는 이 저장소 안에 파일째 들어 있는(vendored) 플러그인일 뿐, 카탈로그 항목의 83%는 외부 저장소를 가리킨다.

카탈로그 스키마: 소스 타입 셋, 고정은 전부 sha

항목마다 name·description·source가 필수이고, 대부분 category·homepage·author를 갖는다. 핵심은 source의 모양이다. 문자열이면 이 저장소 안의 경로, 객체면 외부 저장소다. 직접 집계한 분포는 다음과 같다.

ref는 “어느 브랜치를 추적할지”, sha는 “지금 무엇을 설치할지”다. 사용자는 항상 sha로 고정된 바이트를 받고, ref는 야간 bump 작업이 상류 HEAD를 찾을 때만 쓰인다. 이 분리가 이 카탈로그 공급망 설계의 출발점이다.

immutable slug, renames, strict:false

README가 가장 강조하는 규칙은 “name은 바꿀 수 없는 slug”라는 점이다. 사용자는 name@claude-plugins-official로 설치하므로, 이름이 바뀌면 다음 동기화에서 plugin-not-found로 깨진다. 표시 이름은 displayName(14개 항목 사용)으로 바꾸고, 정말 불가피하면 최상위 renames 맵에 old → new를 적어 로더가 자동 이전하게 한다. 오늘 기준 10건이 있다(azure-skills → azure, wordpress.com → build-with-wordpress, sonarqube-agent-plugins → sonarqube 등).

strict: false는 “플러그인 쪽에 plugin.json이 없어도 마켓플레이스 항목이 매니페스트 역할을 한다”는 뜻이다. 14개 항목이 쓰며, 12개는 언어 서버(LSP) 플러그인, 2개(amd-skills, learn-with-coursera)는 SKILL.md만 있는 저장소에서 skills 배열로 일부 스킬만 골라 노출하는 skill-bundle이다. 스킬은 <plugin-name>:<skill-name>으로 등록된다.

{
  "name": "clangd-lsp",
  "version": "1.0.0",
  "source": "./plugins/clangd-lsp",
  "strict": false,
  "lspServers": {
    "clangd": {
      "command": "clangd",
      "args": ["--background-index"],
      "extensionToLanguage": { ".c": "c", ".cpp": "cpp", ".hpp": "cpp" }
    }
  }
}

LSP 플러그인 디렉터리에는 LICENSE와 README.md뿐이다. 실행 정의 전체가 카탈로그에 있고, clangd·typescript-language-server 같은 바이너리는 사용자가 PATH에 직접 설치해야 한다. 플러그인은 “어떤 확장자를 어떤 서버에 붙일지”만 알려 준다.

플러그인 해부: 슬롯 여섯 개와 ‘상시 토큰’

내장 플러그인 53개(로컬 경로)를 직접 세 보면 commands 33개, agents 36개, skills 33개, hooks.json 보유 7개, .mcp.json 보유 14개다. 특히 external_plugins/의 14개 중 13개가 MCP 서버를 싣는데, 연결 방식은 http 원격(context7, github, gitlab, linear)과 로컬 stdio(npx playwright·firebase, bun telegram·discord·imessage·fakechat, uvx serena, docker terraform, php laravel-boost)로 갈린다. stdio는 곧 내 PC에서 프로세스를 띄운다는 뜻이다.

Claude Code가 계산해 주는 토큰 비용

2.1.302의 claude plugin details는 컴포넌트 목록과 함께 “매 세션 상시 추가되는 토큰”과 “호출 시 토큰”을 추정해 준다. 박스에서 설치해 본 8개의 결과다.

훅을 쓰는 내장 플러그인 7개

여기서 눈여겨볼 점은 UserPromptSubmit·PreToolUse 같은 넓은 범위의 훅이다. 매 프롬프트·매 도구 호출마다 로컬 스크립트가 돈다. 정책 스캔 스키마가 has_broad_scope_hooks를 별도 필드로 두는 이유이기도 하다(아래).

공급망: 야간 bump → 검증 → Claude 정책 스캔 → 사람 승인

외부 항목 262개가 전부 sha로 고정돼 있다면, 누군가는 매일 그 sha를 올려야 한다. 이 저장소의 커밋 대부분이 bump(incident-io): 6af50e2e → 00f7d1dc 같은 봇 커밋인 이유다. 워크플로 9개의 역할을 정리하면 다음과 같다.

Claude가 Claude 플러그인을 심사한다: 정책 스캔의 내부

.github/policy/prompt.md는 리뷰어 모델에게 기준을 “악성이 아닌가”가 아니라 “사용자 데이터를 책임 있게 다루는가”로 잡으라고 지시한다. 로드되는 표면(SKILL.md, agents, hooks)만이 아니라 .claude/, scripts/, tests/ 같은 숨은 디렉터리까지 git 소스로 클론되는 전체 페이로드를 읽으라고 요구하고, 특히 자격 증명을 원래 서비스가 아닌 곳으로 보내는 cross-service 홉(예: ANTHROPIC_* 토큰을 제3자 게이트웨이로 전송)을 명시적으로 위반으로 규정한다. 판정은 아래 JSON 스키마로 강제된다.

비용 설계도 흥미롭다. 판정 캐시 키는 <plugin>@<sha>다. sha는 불변이므로 같은 정책에서 같은 커밋은 한 번만 심사하고, 캐시 전체는 .github/policy/**의 해시에 묶여 프롬프트가 바뀌면 일괄 무효화된다(TTL 30일). 워크플로 주석에 따르면 항목당 스캔은 약 90초의 Claude 시간을 쓴다. 인증은 API 키 시크릿이 아니라 Workload Identity Federation이다.

외부 기여 통제도 “사람”이 아니라 “저장소”를 신뢰한다. external-pr-scope.js의 주석대로, 비멤버 PR은 이미 살아 있는 항목을 뒷받침하는 저장소를 가리키고 그 저장소의 실제 커밋으로 고정된 항목을 추가만 할 때 열린 채 남는다. 그래도 병합에는 CI와 메인테이너 승인이 필요하다. 신규 파트너 등록은 별도 제출 폼 경로다.

설치·운영 명령 치트시트

# Claude Code 세션 안에서
/plugin                                   # Discover 탭에서 검색·설치
/plugin install github@claude-plugins-official
/plugin marketplace add anthropics/claude-plugins-official   # 자동 등록이 막혔을 때

# 터미널 CLI (2.1.302 기준)
claude plugin marketplace add anthropics/claude-plugins-official
claude plugin install code-review@claude-plugins-official
claude plugin details code-review@claude-plugins-official   # 컴포넌트 + 상시 토큰
claude plugin list --json
claude plugin validate ./my-marketplace            # 카탈로그 검증
claude plugin validate --strict ./my-marketplace   # 경고도 실패로(CI용)
claude plugin uninstall code-review@claude-plugins-official

박스 스모크: 직접 돌려 본 결과

박스(x86_64 Linux, Node 20.19.2)에 @anthropic-ai/claude-code@2.1.302를 로컬 prefix로 설치하고, 격리된 HOME에서 로그인 없이 플러그인 CLI만 돌렸다. 모델 호출은 하지 않았다.

이 두 실패는 버그가 아니라 설계다. 신뢰의 단위가 개별 플러그인 폴더가 아니라 ‘이름이 예약된 마켓플레이스’라는 점이 검증기 동작에서 그대로 드러난다. 같은 이유로 포크해서 이름만 그대로 로컬에 띄우는 사칭 마켓플레이스는 add 단계에서 막힌다. 반대로 사내 미러를 만들려면 다른 이름의 마켓플레이스로 재구성해야 한다.

$ echo '{"tool_name":"Bash","tool_input":{"command":"rm -rf build/"}}' \
    | CLAUDE_PLUGIN_ROOT=.../plugins/hookify python3 hooks/pretooluse.py
{"hookSpecificOutput": {"hookEventName": "PreToolUse", "permissionDecision": "deny"},
 "systemMessage": "**[block-dangerous-rm]**\n⚠️ **Dangerous rm command detected!** ..."}

비교: 어디서 에이전트 확장을 받을 것인가

트레이드오프와 주의점

누가 이 저장소를 깊게 봐야 하나

정리

claude-plugins-official의 진짜 가치는 315개라는 숫자보다 카탈로그를 공급망으로 다루는 방식에 있다. 외부 코드는 전부 sha로 고정하고, 매일 밤 봇이 상류를 따라가며 검증·Claude 정책 스캔·MCP 생존 확인을 거친 뒤에만 사람 승인으로 병합한다. 이름은 바꿀 수 없고, 예약된 이름은 사칭할 수 없다. 다만 고정되는 것은 플러그인 코드까지이고, 런타임에 내려받는 MCP 패키지와 원격 서버, 그리고 매 이벤트 돌아가는 훅은 여전히 사용자의 판단 영역이다. 한 줄 설치의 편리함을 누리되, 그 뒤의 이 파이프라인을 한 번은 읽어 두기를 권한다.