AI 에이전트 샌드박스란? 코드 실행 격리, 마이크로VM, 스냅샷 롤백까지 핵심 정리

핵심 메시지

• 에이전트는 이제 질문에 답하는 데 그치지 않고 코드를 쓰고 테스트를 돌리고 데이터를 분석한다. 이런 작업을 하려면 모델과 도구만으로는 부족하고 실제로 명령을 실행할 컴퓨터가 필요하다.
• 그렇다고 자기 노트북을 그대로 내줄 수는 없다. 에이전트는 기본적으로 신뢰할 수 없는 코드를 실행하며, 그중 일부는 예상치 못한 결과를 낳는다.
• 샌드박스는 에이전트 코드만 돌리는 격리된 일회용 환경이다. 자체 파일 시스템과 메모리를 갖고, 네트워크를 세밀하게 통제할 수 있으며, 작업이 끝나면 버릴 수 있어야 한다.
• 실전에서는 컨테이너만으로 부족하다는 인식이 커지고 있다. 커널 수준 격리, 자격증명을 실행 환경에 두지 않는 구조, 일시정지·재개, 스냅샷과 롤백이 함께 요구된다.

쉽게 이해하기

지난 2년 사이 대규모 언어 모델을 쓰는 방식이 크게 달라졌다. 단순한 덧셈이나 글자 수 세기에서 실수하던 시절을 지나, 이제는 에이전트가 실제 코드를 쓰면서 여러 작업으로 확장되고 있다. 가장 익숙한 사례는 소프트웨어 개발이지만 데이터 분석도 빠르게 늘고 있다. 1년 전만 해도 SQL을 작성하거나 스프레드시트를 다루는 전용 도구를 일일이 만들어 붙였다면, 지금은 에이전트에게 파이썬을 직접 쓰게 하거나 CLI로 SQL 접근 권한을 주고 필요한 방법을 스스로 찾게 하는 편이 더 강력하다.

보안 분야에서는 에이전트가 직접 익스플로잇을 실행해 보는 형태의 활용이 나타났고, 브라우저나 가상 데스크톱을 조작하게 하면 API가 없는 프로그램까지 다룰 수 있게 된다. 문제는 이 강력함이 곧 위험이라는 점이다. 발표에서는 코딩 에이전트가 사용자의 로컬 파일을 통째로 지워 버린 사고, npm 생태계에서 개발자 토큰을 훔치며 스스로 퍼진 공급망 웜, 인기 자동화 도구의 원격 코드 실행 취약점, AI 개발 환경의 설정 주입 공격 등이 최근 사례로 열거됐다. 보안팀에 '임의의 코드를 실행하도록 허용하고 있다'고 말하면 어떤 반응이 돌아올지 생각해 보라는 것이다.

그래서 나온 개념이 샌드박스다. 핵심 성질은 세 가지로 정리된다. 첫째 격리 — 자체 파일 시스템과 메모리를 갖고 악성 사이트 접근 같은 네트워크 통제가 가능해야 한다. 둘째 일회성 — 한두 개 작업을 마치면 버릴 수 있어야 하고, 동시에 많이 띄울 수 있어야 한다. 셋째 완전한 환경 — 셸과 패키지 설치를 포함해 작업에 필요한 도구를 에이전트가 직접 갖출 수 있어야 한다.

말로는 간단하지만 프로덕션에서는 얘기가 달라진다. 개인 작업용으로 맥미니 한 대를 두는 것과, 사용자 요청에 맞춰 수천 개를 동시에 띄웠다가 0으로 되돌리는 것은 전혀 다른 문제다. 발표에서는 중앙값 기준 1초 안팎의 기동 시간, 컨테이너 탈출을 막기 위한 마이크로VM 단위의 하드웨어 가상화, 자격증명이 실행 환경에 닿지 않도록 모든 외부 통신을 프록시가 대신 처리하는 구조가 해법으로 제시됐다.

에이전트 작업이 길어진 것도 새로운 요구를 만든다. 몇 년 전 1~5분이면 끝나던 작업이 이제 10분, 20분씩 걸리다 보니 계속 켜 두면 비용이 커진다. 그래서 일시정지와 재개, 유휴 상태에서 자동으로 내려갔다가 다음 요청에 다시 올라오는 방식이 필요해졌다. 여기에 에이전트가 실수했을 때 되돌릴 수 있도록 특정 시점 스냅샷과 복원, 여러 갈래를 시험해 보는 포크가 더해진다.

주요 인사이트

• 에이전트에게 도구를 하나하나 만들어 주던 접근에서, 실행 환경을 주고 스스로 방법을 찾게 하는 접근으로 무게중심이 옮겨가고 있다. 데이터 분석용 전용 도구를 짜는 대신 파이썬을 직접 쓰게 하는 것이 대표적이다.
• 격리 수준의 기준선이 올라갔다. 컨테이너 탈출 사례가 계속 나오면서, 에이전트 실행 환경에는 커널 수준까지 분리되는 마이크로VM 같은 하드웨어 가상화가 요구되고 있다.
• 자격증명을 실행 환경에 두지 않는 설계가 중요해졌다. 사용자에게 노출되는 모든 것에는 프롬프트 주입 시도가 따라오기 때문에, 외부로 나가는 통신을 프록시가 통제하고 허용 목록에 없는 대상과는 아예 통신하지 못하게 막는 방식이 제안된다.
• '폭발 반경'을 설계 단위로 생각하게 된다. 에이전트가 악성 패키지를 설치하더라도 피해 범위가 버려질 가상 머신 한 대로 끝나야 한다는 것이 격리의 목적이다.
• 규제 대응도 인프라 요건이 됐다. 데이터 소재지가 문제가 되는 상황을 감안해 미국·유럽·아시아태평양 등 필요한 리전에서 실행 환경을 띄울 수 있어야 한다는 점이 함께 언급됐다.

자주 묻는 질문

관련 AI 소식