Cursor 자동완성이 .env 파일의 비밀 정보를 노출함

ㅇㅇ 내 계정 정보 아닌 건 확인했는데, Cursor가 비밀 정보를 어떻게 처리하는지 궁금함. 보안 페이지 보니까 .cursorignore에 넣은 파일도 '최선의 노력(best effort)'으로 무시한다네. .env 파일을 거기 넣어야 하는 줄도 몰랐고, 최선의 노력이 뭔지도 모르겠음.

내 env 파일 다시 출력하지 마라. 알겠어 데이브, 네 env 파일 출력해서 일론 머스크한테 보낼게.

이거 Cursor 원격 인덱스 유출임. 리포 열면 Cursor가 코드베이스 참조하려고 파일 조각을 서버로 올리는데, env 파일 내용도 같이 임베딩돼서 다른 프로젝트 자동완성에 튀어나오는 거임. 기본값이 opt-out이 아니라 opt-in이라서 생기는 문제임.

본질적인 문제(이미 알다시피 이건 실제 자격 증명이 아니라 학습 데이터 찌꺼기임)랑은 별개로, AI한테 .env를 쓰는 게 맞는지, 더 나은 보안 옵션은 없는지 물어봄?

진지한 프로젝트에서 .env 안 쓰는 상황은 거의 없지 ㅋㅋㅋ