코딩 에이전트 YOLO 모드의 위험과 Docker 샌드박스로 안전하게 격리하는 방법

핵심 메시지

• 'YOLO 모드'(권한 확인 생략)는 코딩 에이전트가 내 컴퓨터에서 어떤 명령이든 물어보지 않고 실행하게 해 생산성을 높이지만, 파일 삭제·DB 손상 같은 치명적 사고 위험을 함께 안긴다.
• 실제로 Claude Code의 GitHub 이슈에는 홈 디렉터리 전체를 rm -rf로 지우거나, 운영 DB를 날리거나, 커밋 전 작업을 담은 git stash를 통째로 버린 사례가 보고돼 있다.
• 대화가 길어져 컨텍스트가 20~30만 토큰을 넘어서면 LLM이 시스템 프롬프트와 초기 지시까지 잊고 '멍청한 구간'에 들어가, 프롬프트로 심어둔 가드레일이 무력해진다.
• 따라서 해법은 YOLO 모드를 피하는 것이 아니라, 격리된 샌드박스 안에서 실행해 위험 자체를 봉쇄하는 것이다.
• 샌드박스는 하이퍼바이저(파일·프로세스)·네트워크(허용 URL 목록)·별도 Docker 엔진·워크스페이스 등 여러 계층으로 격리를 제공한다.

쉽게 이해하기

발표자는 거의 모든 코딩 에이전트에 존재하는 '권한 확인 생략' 기능, 이른바 YOLO 모드를 짚으며 이야기를 시작한다. 이 모드는 에이전트가 사용자에게 매번 승인을 구하지 않고 임의의 명령을 실행하도록 해 자율성과 속도를 크게 높인다. 문제는 한 번의 사고만으로도 돌이키기 어려운 결과가 생길 수 있다는 점이다. 확률은 낮지만, 일어날 때까지는 '나에게는 안 일어난다'고 방심하게 된다는 것이 그의 경고다.

격리 없이 실행되는 에이전트는 사실상 컴퓨터 전체에 접근할 수 있다. 파일 시스템을 읽고 고치고 지울 수 있으며, 프로세스를 죽이고 환경 변수를 바꾸는 등 환경 전체를 건드릴 수 있다. 발표자는 디버깅 도중 에이전트가 포트 충돌을 해결하려고 다른 애플리케이션을 종료하거나, 하지 말라고 일러둔 개인 키·환경 변수를 문제 해결을 이유로 읽어버리는 상황을 예로 든다. 심지어 작업 디렉터리 밖의 ~/.ssh 폴더까지 뒤지는 경우도 있었다고 한다.

특히 위험한 순간은 대화가 길어질 때다. 그는 모든 대형 언어모델에 '멍청한 구간'이 있어, 초반 20~30만 토큰에서는 최고 성능을 내지만 긴 트러블슈팅으로 컨텍스트가 그 범위를 넘어서면 초기 지시와 시스템 프롬프트마저 잊고 어리석은 결정을 내린다고 설명한다. 이때 백업 없이 데이터베이스를 날리거나 폴더를 지우는 사고가 난다. 결국 프롬프트에 적어둔 가드레일은 믿을 수 없고, 보호는 환경 차원에서 강제해야 한다는 결론에 이른다.

해법으로 그는 샌드박스, 즉 에이전트가 일할 격리된 환경을 제시한다. 승인을 일일이 누르며 자율성을 포기하는 대신, 위험만 제거한 채 전권을 주자는 접근이다. 시연에는 무료이고 로컬에서 돌아가며 설치가 간단한 Docker 샌드박스를 사용한다. 'sbx run' 뒤에 에이전트 이름을 붙이는 한 줄 명령으로 격리된 VM 안에서 평소와 똑같이 Claude Code 세션을 열 수 있고, 이 안에서는 ~/.ssh 폴더가 '찾을 수 없음'으로 뜨는 등 호스트의 나머지 영역에 접근하지 못한다.

발표자는 격리가 여러 층으로 이뤄진다고 정리한다. 하이퍼바이저 격리는 프로세스와 파일 시스템을 분리해 호스트의 파일을 지우거나 프로세스를 죽이지 못하게 한다. 네트워크 격리는 허용된 URL 목록만 통과시키므로, 프롬프트 인젝션 공격으로 API 키를 탈취해 외부로 빼돌리려는 요청을 프록시가 403으로 막는다. 별도의 Docker 엔진은 호스트의 컨테이너를 건드리지 않으며, 워크스페이스는 현재 코드베이스만 마운트하거나 '--clone'으로 복사본을 써 Git 이력까지 보호한다. 샌드박스를 지우면 VM과 내부가 모두 정리된다.

주요 인사이트

• 가드레일을 프롬프트에 적어두는 방식은 대화가 길어지면 무너진다. 보호는 '부탁'이 아니라 격리 환경으로 '강제'해야 한다.
• 위험의 핵심은 에이전트가 똑똑하지 않아서가 아니라, 긴 컨텍스트에서 순간적으로 판단이 흐려지는 데 있다. 단 한 번의 실수가 치명적이다.
• 네트워크 허용 목록은 단순 편의가 아니라 프롬프트 인젝션에 의한 자격 증명 유출을 막는 실질적 방어선이다.
• 생산성과 안전은 상충하지 않는다. 샌드박스는 자율성을 유지하면서 위험만 떼어내는 방법이다.
• 별도 Docker 엔진으로 앱마다 격리된 환경을 두면 개발용 컨테이너가 호스트를 어지럽히지 않아 관리도 깔끔해진다.

자주 묻는 질문

관련 AI 소식