Tsuba 개인정보 처리 안내
Tsuba가 Mac에 보관하는 것, 언제 무엇을 네트워크로 보내는지, 그리고 절대 하지 않는 것.
- 업데이트
요약: Tsuba에는 계정, 원격 측정, 사용 통계, 충돌 보고가 없습니다. 기록하는 것은 모두 Mac에 남습니다. 온라인에 접속하는 것은 눈앞의 코드를 검사할 때와 위협 인텔리전스를 최신으로 유지할 때뿐이며, AI 단계는 직접 설정하기 전까지 꺼져 있습니다.
Mac에 남는 것
Tsuba가 기록하는 모든 것은 홈 폴더의 ~/.tsuba에 있습니다.
- 추가한 API 키를 포함한 설정
- 모든 검사와 그 증거의 기록
- 격리된 파일(
~/.tsuba/quarantine) - 내려받은 위협 인텔리전스(
~/.tsuba/intel)
이 중 어느 것도 어디에도 업로드되지 않습니다. Tsuba가 저장한 것을 모두 지우려면 ~/.tsuba를 삭제하세요.
Mac 밖으로 나가는 것과 그 시점
| 보내는 것 | 받는 곳 | 시점 |
|---|---|---|
| 프로젝트 의존성의 이름과 버전 | 공개 취약점 데이터베이스 OSV | 프로젝트를 설치하거나 스캔할 때, 패키지를 알려진 악성 목록에서 조회하기 위해 |
| 패키지 이름 | npm 레지스트리 | 패키지가 얼마나 새것인지, 설치 스크립트를 실행하는지 확인하기 위해 |
| 도메인 이름 | rdap.org | 다운로드 도메인이 얼마나 최근에 등록되었는지 확인하기 위해 |
| 파일의 SHA-256 해시(파일 자체는 절대 아님) | VirusTotal | 직접 VirusTotal API 키를 추가한 경우에만 |
| 사용자나 코드에 관한 정보는 없음 | GitHub(OpenSSF 악성 패키지), VS Code 마켓플레이스 목록, abuse.ch(직접 키를 넣은 경우에만) | 매일 위협 인텔리전스를 내려받을 때 |
| 실행하려던 스크립트나 설치 프로그램 | 그것이 온 곳 | Tsuba가 실행하지 않고 읽기 위해 가져옵니다. 원래 보내려던 것과 같은 요청입니다 |
| 검사 하나에 필요한 증거 | 선택한 AI 제공업체 | AI를 켰을 때만 |
AI 단계
AI 검토는 선택 사항이며, 제공업체를 고르기 전까지 꺼져 있습니다: Claude(Claude Code 또는 Anthropic API 사용), OpenAI, DeepSeek, Alibaba Cloud DashScope, Google Gemini, 또는 로컬에서 실행하는 모델. 로컬 모델을 쓰면 Mac 밖으로 아무것도 나가지 않습니다.
AI를 켜면 Tsuba는 검사 하나에 필요한 증거만 보냅니다: 수상한 줄, 그 출처, 그리고 무엇이 일치했는지. 코드 주석은 먼저 제거합니다. 환경 변수 값, API 키, 토큰은 절대 포함하지 않으며, Tsuba 자체 로그에도 남기지 않습니다. 제공업체가 받은 내용에는 해당 제공업체의 개인정보 처리방침이 적용됩니다.
Tsuba가 절대 하지 않는 것
- 파일이나 프로젝트를 업로드하지 않습니다.
- 원격 측정, 분석, 충돌 보고가 없으므로 개발자는 누가 어떻게 쓰는지 알 수 없습니다.
- 광고를 보여 주지 않고, 아무것도 팔지 않습니다.
Tsuba는 오픈 소스이므로(GitHub, Apache 2.0) 위 내용은 모두 코드로 확인할 수 있습니다. 질문은 GitHub Issues에 남겨 주세요.