Codex with ChatGPT — 생각은 ChatGPT, 손은 Codex

1프로젝트 한줄 요약

한 문장으로 이 프로젝트가 뭘 하는지부터.

Codex with ChatGPT = "생각은 이미 돈 낸 ChatGPT 웹에 시키고, 손은 Codex가 쓰게 만드는 중계 다리." 코딩 에이전트를 돌리면 계획 세우기·코드 리뷰 같은 생각에도 실행과 똑같은 토큰이 나간다. 그런데 매달 결제 중인 ChatGPT 웹 구독은 대개 남아돈다. 이 프로젝트는 그 남는 쪽으로 생각을 옮긴다 — ChatGPT가 계획을 세우고 결과를 검수하고, Codex는 파일을 고치고 테스트를 돌린다. 둘을 잇는 다리는 읽기만 되고, 쓰기·실행 도구는 아예 만들어 두지 않았다.

만든 사람은 XiaoDuoYa, 라이선스는 MIT, 버전은 0.1.0이다. 별은 1.3천 개, 포크 141개(2026년 8월 30일 기준). 소스는 TypeScript 29개 파일 5,071줄에 테스트 12개 파일 1,806줄로, 규모로 보면 작은 편인데 보안 설계 문서만 별도로 한 장을 차지한다. README가 중국어·영어 병기이고, 설치조차 "이 문단을 Codex에게 그대로 복사해 주세요"로 시작하는 게 이 프로젝트의 성격을 잘 보여 준다.

2왜 주목받는가

비슷한 "ChatGPT 연동" 도구가 널린 판에서 무엇이 달랐나.

① 아끼는 대상이 명확하다 — 토큰이 아니라 비싼 토큰

"AI 비용 절감"을 내건 도구는 많지만 대개 캐시나 모델 다운그레이드 얘기다. 이 프로젝트는 작업을 종류별로 갈라 붙인다. 계획 수립·아키텍처 판단·코드 리뷰는 긴 맥락과 좋은 추론이 필요한데 출력량은 적다. 반대로 실제 편집은 출력이 많지만 판단은 덜 필요하다. 앞쪽을 정액제 웹 구독으로, 뒤쪽을 종량제 하네스로 보내는 배분이다.

② "읽기 전용"이 정책이 아니라 구조다

많은 도구가 "쓰기는 확인 후에만"이라고 약속한다. 약속은 프롬프트 인젝션 한 방에 깨질 수 있다. C2C는 서버에 쓰기·삭제·셸 실행 도구를 코드로 만들어 두지 않았다. 보안 문서의 표현이 직설적이다 — "이 도구들은 서버에 존재하지 않으므로, 어떤 프롬프트 인젝션이나 스코프 버그나 UI 혼동으로도 활성화할 수 없다." 없는 기능은 뚫리지 않는다.

③ 리뷰가 자기 신고에 기대지 않는다

에이전트 협업에서 흔한 실패가 "테스트 다 통과했습니다"라는 실행자의 자기 보고를 검수자가 그대로 믿는 것이다. C2C는 Codex가 작업을 끝내면 EXECUTED 쪽지에 "바뀐 파일 4개, 테스트 27개 통과" 같은 숫자만 적어 보내고, ChatGPT는 그걸 믿는 대신 MCP로 실제 git diff와 실행 기록을 직접 당겨 확인한다. 프로토콜 문서가 이 절차를 명시적으로 요구한다.

④ 사용자에게 기술 용어를 안 보여 주기로 작정했다

동봉된 Codex 스킬 문서(skill/SKILL.md, 555줄)의 황금률 2번은 "사용자에게 MCP·OAuth·PKCE·터널·포트·localhost를 보여 주지 말 것"이다. 4번은 "실패하면 c2c doctor를 돌려 조용히 고치고, 로그인·캡차·2단계 인증처럼 사람이 꼭 해야 하는 일만 그것도 한 번에 하나씩 요청할 것". 설치 안내가 "터미널을 여세요"가 아니라 "이 문단을 에이전트에게 붙여 넣으세요"인 것도 같은 방향이다.

⑤ 문서가 코드만큼 촘촘하다

docs/에 아키텍처·프로토콜·보안·문제해결 4종 487줄이 있고, 특히 보안 문서는 위협 13가지를 표로 늘어놓고 각각의 대응을 적었다. 개인 프로젝트 규모에서 위협 모델을 이 정도로 쓰는 경우는 드물다.

3기술 스택 전체 지도

무엇으로 만들어졌나 — 의존성이 다섯 개뿐이다.

눈여겨볼 건 없는 것들이다. 데이터베이스가 없다(상태는 OS 앱 디렉터리의 JSON 파일). 인증 라이브러리가 없다(OAuth 2.1 인가 서버를 src/auth/ 721줄로 직접 구현했다). 프런트엔드 프레임워크가 없다(페어링 화면은 서버가 뱉는 HTML 한 장). 외부에 열리는 서비스를 만들면서 의존성을 다섯 개로 묶어 둔 것 자체가 공격 표면 관리다.

📌 README는 "vitest: 76 tests"라고 적었지만, 실제 테스트 파일을 열어 세면 it( 블록이 119개다. 문서가 쓰인 뒤 테스트가 늘어난 것으로 보인다 — 레포를 평가할 때 README 숫자보다 소스를 직접 세는 편이 안전하다는 흔한 사례다.

4아키텍처 심화 분석

이 프로젝트의 진짜 아이디어는 "두 개의 평면을 절대 섞지 않는다"이다.

제어 평면과 데이터 평면의 분리

프로토콜 문서 첫 세 줄이 설계 전부를 요약한다.

// docs/protocol.md 첫머리
Control plane: Computer Use (tiny structured messages typed into the ChatGPT UI).
Data plane: MCP (ChatGPT pulls files, diffs, search results itself).

Never mix the two: control messages carry state, never content.

제어 평면은 ChatGPT 대화창에 타이핑되는 짧은 쪽지다. 여기엔 "지금 어느 단계인가, 몇 번째 반복인가, 목표가 뭔가"만 들어가고 1KB를 넘지 않는다. 데이터 평면은 MCP 연결이고, 파일 내용·diff·검색 결과는 오직 이쪽으로만 흐른다. 왜 이렇게 나눴는지는 섞였을 때를 생각하면 분명하다 — 대화창에 diff를 붙이기 시작하면 맥락 창이 금세 차고, 잘라 붙이는 과정에서 정보가 왜곡되고, 무엇보다 대화 기록에 코드 사본이 남는다.

상태 머신 — 아홉 개의 상태

두 에이전트가 주고받는 쪽지는 [C2C]로 시작하고 헤더에 상태를 적는다. 흐름은 이렇다.

프로토콜 문서가 계획에 대고 못을 박은 문장이 하나 있다 — "계획은 유한하고 구체적이며 실행 가능해야 한다. 40단계짜리 대서사시가 아니라." 리뷰 단계에서 계획으로 되돌아가는 고리가 있으니, 한 회차를 작게 유지하는 게 이 구조의 전제다.

인증 — 사람이 만지는 비밀은 딱 하나

공개 주소가 열리는 구조라 인증이 핵심인데, 설계 목표가 뚜렷하다. 모델은 장기 자격증명을 절대 보지 않는다. 사람과 모델이 다루는 비밀은 1회용 페어링 코드 하나뿐이고, 진짜 토큰은 ChatGPT 클라이언트와 브리지의 OAuth 엔드포인트 사이에서만 오간다.

여기에 균등 분포까지 신경 썼다. 코드 생성기가 난수 바이트를 % 31로 접지 않고, 256을 31로 나눈 배수를 넘는 바이트는 버리고 다시 뽑는다. 나머지 연산만 쓰면 앞쪽 글자가 미세하게 자주 나오는 편향이 생기는데, 그걸 차단한 것이다. 40비트짜리 5분 코드에 이 정도까지 하는 건 과할 수도 있지만 암호학 코드를 대하는 태도는 드러난다.

포트와 터널 — 사용자가 몰라도 되게

브리지는 48765 포트를 선호하고 127.0.0.1에만 바인딩한다(0.0.0.0은 거부). 포트가 이미 쓰이고 있으면 /health를 찔러 그게 같은 작업 폴더의 c2c 브리지인지 확인하고, 맞으면 재사용하고 아니면 임의 포트로 물러선다. 공개 주소는 Cloudflare 임시 터널이 기본인데 재시작마다 주소가 바뀌므로, c2c doctor가 그 사실을 감지해 ChatGPT 커넥터를 지웠다 다시 만들라고 스킬에 지시한다. 도메인이 있는 사용자는 고정 호스트명을 한 번 정해 이 반복을 없앨 수 있다.

5디렉토리 구조 해부

폴더 이름이 곧 책임이다 — 12개 모듈, 각각 하는 일이 하나씩.

줄 수 분포가 이 프로젝트의 무게 중심을 드러낸다. 가장 큰 모듈이 CLI(1,057줄)이고 그 다음이 workspace(1,003줄)다. 즉 코드의 절반 가까이가 "모델에게 무엇을 어떻게 보여 줄 것인가"와 "사람이 어떻게 조작하는가"에 들어갔다. 정작 MCP 도구 구현은 318줄로 가장 얇은 축에 속한다 — 도구가 얇을 수 있는 이유는 위험한 판단을 전부 workspace 층에서 끝내 놓기 때문이다.

workspace/ — 이 레포에서 가장 중요한 폴더

파일 하나를 읽는 요청이 여기서 세 개의 관문을 지난다.

거부 목록이 구체적이다 — .env와 .env.*(단 .env.example은 예외로 허용), *.pem·*.key·*.p12·*.pfx·*.jks·*.keystore, SSH 키 4종(id_rsa·id_ed25519·id_ecdsa·id_dsa)과 그 변형, .ssh/·.aws/·.gnupg/·.cloudflared/, .npmrc·.netrc·.git-credentials, 키체인 파일, credentials.json·service-account*.json·secrets.json, 그리고 브라우저 쿠키 DB까지. 사용자는 .c2cignore로 자기 규칙을 더할 수 있지만 기본 목록을 뺄 수는 없다.

목록 하나가 더 있다. NOISE_PATTERNS는 node_modules/·dist/·.next/·target/·__pycache__/·락파일처럼 양만 많고 의미는 없는 경로를 목록·검색에서 뺀다. 민감 파일과 달리 이건 오류가 아니라 그냥 안 보이는 처리다. 둘을 다른 개념으로 나눠 둔 게 정확하다 — 하나는 보안이고 하나는 신호 대 잡음이다.

6학습 포인트 (기술별)

이 레포에서 훔쳐 갈 만한 설계 습관 여섯 가지.

① "권한을 제한한다" 대신 "능력을 만들지 않는다"

가장 배울 만한 대목이다. AI에게 파일 접근을 줄 때 보통은 쓰기 도구를 만들어 놓고 조건을 건다 — "이 폴더만", "확인받고 나서". 그 조건은 코드고, 코드에는 버그가 있고, 모델은 설득당한다. C2C는 쓰기 도구 자체를 구현하지 않는 쪽을 골랐다. 대신 쓰기가 필요한 일은 권한을 이미 가진 Codex가 한다. 능력을 나눠 갖되 겹치지 않게 자르는 이 발상은 다른 에이전트 시스템에도 그대로 옮겨진다.

② 8개의 도구가 전부 readOnlyHint: true

MCP에는 도구의 성격을 알리는 주석(annotations)이 있다. C2C의 도구 8개는 전부 readOnlyHint: true를 달았다. 클라이언트가 "이건 읽기만 하는 도구"라고 판단해 확인 절차를 줄일 수 있게 하는 신호다. 목록은 이렇다.

스코프가 도구마다 개별 검사된다는 점도 눈여겨볼 만하다(부족하면 INSUFFICIENT_SCOPE). 토큰 하나로 다 되는 게 아니라, 읽기·검색·git·실행기록이 각각 다른 권한이다.

③ 상태를 흘리지 않는 서버 — 요청마다 새로 만든다

MCP 전송은 무상태(stateless) Streamable HTTP다. 아키텍처 문서에 "요청마다 새 서버 인스턴스, JSON 응답"이라고 적혀 있다. 세션을 붙들지 않으니 요청 사이에 상태가 새지 않고, 브리지를 재시작해도 클라이언트 쪽이 깨지지 않는다. 대신 매 요청이 인증을 통과해야 한다 — 편의를 버리고 예측 가능성을 산 교환이다.

④ 경로 검사에서 흔히 놓치는 것들

"작업 폴더 밖으로 못 나가게" 만드는 건 쉬워 보이는데 실제론 함정이 많다. C2C의 처리를 그대로 배울 만하다.

⑤ 로그가 비밀을 지운다

logger/는 86줄짜리 작은 모듈인데 하는 일이 분명하다 — 토큰 앞자리, Bearer 헤더, 토큰처럼 생긴 파라미터, 페어링 코드 모양의 문자열을 기록 전에 지운다. 디버그 로그가 자격증명 유출 경로가 되는 사고는 실제로 흔하다. 작은 모듈 하나로 그 계열을 통째로 닫아 둔 셈이다.

⑥ 로컬 전용 API를 진짜 로컬로 만드는 법

관리 API는 루프백에서만 받는데, 거기서 한 걸음 더 간다. cf-connecting-ip·x-forwarded-for 같은 프록시 헤더가 붙은 요청은 거부한다 — 터널을 통해 들어온 요청이 루프백인 척하는 걸 막는 장치다. 게다가 인증 없는 탐색에는 401이 아니라 404를 돌려준다. "여기 뭔가 있다"는 사실 자체를 안 알려 주는 것이다.

7하드웨어/시스템 요구사항

모델을 돌리는 게 아니라 중계만 하므로 요구사항이 거의 없다.

진짜 비용은 하드웨어가 아니라 계정이다. ChatGPT 유료 구독(계획·리뷰용)과 Codex를 돌릴 수단이 둘 다 있어야 하고, 고정 주소를 원하면 Cloudflare 계정과 그 위에 올린 도메인이 추가로 필요하다. 상태 파일은 OS 규약 디렉터리(macOS 기준 ~/Library/Application Support/codex-with-chatgpt)에 디렉터리 0700 · 파일 0600으로 저장되고, 프로젝트 폴더 안에는 아무것도 남기지 않는다.

8직접 해볼 수 있는 실습 과제

읽기만 해서는 안 남는다 — 손으로 확인하는 순서.

9관련 기술 심화 학습 로드맵

이 레포를 이해하려고 파고들면 자연히 닿는 것들.

10핵심 키워드 사전

문서와 코드에서 반복해 나오는 말들.

11참고 링크

원문과, 옆에 두고 볼 것들.