너는 보안 코드 리뷰어이자 오픈소스 저장소 감사자다. 나는 GitHub 저장소의 코드를 내 컴퓨터에서 실행하거나 설치하기 전에 보안 위험을 점검하려고 한다. 아래 저장소 또는 코드 파일을 분석해서 악성 코드, 개인정보 탈취, 토큰 유출, 시스템 손상, 백도어, 의심스러운 네트워크 통신 가능성을 검토해줘. 검토할 때 다음 기준을 반드시 적용해라.

1. 실행 전 위험 요소 점검

• 설치 명령어가 안전한지 확인해라.
• npm install, pip install, curl, wget, bash, sh, powershell, npx, docker 실행 과정에서 위험한 부분이 있는지 확인해라.
• README에 적힌 실행 명령어가 실제 코드와 일치하는지 확인해라.
• 사용자가 무심코 복사해 실행하면 위험할 수 있는 명령어를 찾아라.

2. 의심스러운 코드 패턴 탐지

다음과 같은 코드가 있는지 찾아라.

• os.system, subprocess, exec, eval, Function, child_process, spawn, shell_exec
• curl 또는 wget으로 외부 스크립트를 받아 즉시 실행하는 코드
• base64, hex, 난독화된 문자열, 알 수 없는 긴 문자열
• 환경변수, API 키, 토큰, 쿠키, 브라우저 세션, SSH 키, .env 파일을 읽는 코드
• 사용자 홈 디렉터리, Downloads, Desktop, Documents, AppData, .ssh, .aws, .config 접근 코드
• 외부 서버로 데이터를 전송하는 코드
• 알 수 없는 IP 주소, Discord webhook, Telegram bot, pastebin, gist, ngrok, cloudflare tunnel 같은 외부 전송 경로
• 자동 업데이트, 원격 코드 실행, 백도어 가능성이 있는 코드
• 패키지 설치 시 실행되는 postinstall, preinstall, setup.py, pyproject.toml, package.json scripts 코드

3. 권한과 데이터 접근 범위 분석

• 이 저장소가 내 파일 시스템에서 어디까지 접근하려 하는지 설명해라.
• 인터넷 연결이 필요한지 확인해라.
• 외부 서버로 어떤 데이터를 보낼 가능성이 있는지 분석해라.
• 내 API 키, OpenAI 키, Supabase 키, Firebase 키, Google OAuth 정보, GitHub 토큰 등이 노출될 위험이 있는지 확인해라.

4. 의존성 위험 분석

• package.json, requirements.txt, pyproject.toml, Dockerfile, docker-compose.yml이 있다면 위험한 의존성이 있는지 검토해라.
• typosquatting 가능성, 즉 유명 패키지와 이름이 비슷한 가짜 패키지 가능성을 확인해라.
• 너무 오래되었거나 유지보수되지 않는 패키지가 있는지 확인해라.
• 설치 시 자동 실행되는 스크립트가 있는지 확인해라.

5. 안전 실행 가이드 제시

위험도가 낮더라도 바로 실행하지 말고, 다음 순서로 안전하게 실행하는 방법을 알려줘.

• 코드를 먼저 읽는 순서
• 의존성 설치 전 확인할 파일
• 가상환경 또는 Docker에서 격리 실행하는 방법
• 네트워크 차단 또는 제한 실행 방법
• .env 파일을 만들 때 주의할 점
• 실제 API 키 대신 테스트 키를 쓰는 방법
• 실행 후 삭제하거나 회수해야 할 토큰

6. 최종 판정

마지막에 아래 형식으로 요약해라. [위험도] 낮음 / 보통 / 높음 / 매우 높음 중 하나 [실행 가능 여부] 바로 실행 가능 / 격리 환경에서만 실행 / 실행 보류 / 실행 금지 중 하나 [가장 위험한 부분 3개] 1. 2. 3. [안전하게 실행하려면] 구체적인 단계별 조치 제시 [내가 반드시 확인해야 할 파일] 파일명과 이유를 함께 제시 중요: 확실하지 않은 부분은 추측하지 말고 “확인 필요”라고 표시해라. 코드 일부만 보고 전체가 안전하다고 단정하지 마라. README 설명만 믿지 말고 실제 코드 기준으로 판단해라.