보안

Sume CLI의 비밀 값, 미디어 출력, 유료 호출, 에이전트 자동화를 안전하게 다루는 방법을 살펴보세요.

이 문서는 영문 원고를 AI로 번역한 내용이라 표현이 어색할 수 있습니다.

Sume CLI는 에이전트가 쓰도록 설계됐지만, CLI 출력에는 여전히 민감하거나 사용자 소유인 데이터가 담길 수 있습니다. 인증, Job, 미디어 출력을 조심해서 다루세요.

비밀 값

다음은 절대 출력하거나 커밋하지 마세요.

SUME_API_KEY
로컬 ~/.sume-com/config.json
원본 프로바이더 페이로드

자동화에는 환경 변수나 시크릿 매니저를 사용하세요.

로컬 개발에서는 sume login을 권장합니다. CLI는 Sume 로그인으로 로그인하고 1시간짜리 액세스 토큰과 리프레시 토큰을 저장합니다(API 키 아님). sume logout이 둘 다 취소합니다. 스크립트용 수동 키는 API Keys 대시보드에 있습니다.

쓰기와 유료 게이트

현재 쓰기 명령어에는 확인 플래그가 필요합니다.

게이트	용도
`--confirm-submit`	Job 취소처럼 유료가 아닌 쓰기입니다.
`--confirm-paid`	크레딧을 예약하거나 소모할 수 있는 프로바이더 기반 Avatar 1.0 · Avatar Video 1.0 실행입니다. Image/Video/Music은 오늘 API 우선이므로 HTTP 클라이언트에서 같은 확인 원칙을 적용하세요.

에이전트는 사용자 의도를 확인하고, 테스트할 때는 범위가 제한된 Job을 하나만 먼저 제출하고, 유료 명령어를 무턱대고 재시도하는 대신 기존 Job을 복구해야 합니다.

미디어 URL

Sume Job 결과에는 자사 미디어 URL이 포함될 수 있습니다. 공개 URL이지만 여전히 사용자 데이터입니다.

결과를 보고할 때는 다음을 지키세요.

미디어 개수와 파일 형식을 요약합니다.
가능하면 전체 원격 URL 대신 로컬 파일명을 사용합니다.
쿼리 문자열과 비공개 식별자는 가립니다.
큰 원본 결과 페이로드를 통째로 쏟아내지 않습니다.

버그 리포트

도움이 된다면 정리된 명령어 이름, 에러 코드, request id, Job ID를 포함하세요. 엔지니어링이 명시적으로 요청하지 않는 한 API 키, 서명된 URL, 전체 비공개 미디어 URL, 원본 프로바이더 페이로드, 이메일, 워크스페이스·사용자 ID는 포함하지 마세요.