에이전트가 내 PC를 망치기 전, 샌드박스의 벽

AI 에이전트에게 셸 명령 실행을 맡기는 순간, 아무도 검토하지 않은 코드가 내 컴퓨터에서 돌아간다. 클로드 코드(Claude Code)와 코덱스(Codex)가 이 위험을 어떻게 막는지 한 기술 분석이 정리했다.

무슨 일인가

개발자 다카하시 히데아키가 미디엄(Medium)에 쓴 분석에 따르면, AI 에이전트가 저장소에서 명령을 실행한다는 것은 사람이 작성하지도, 검토하지도 않은 코드를 그대로 실행한다는 뜻이다. 에이전트는 엉뚱한 디렉터리를 삭제하거나, 외부 스크립트를 내려받아 실행하거나, SSH 키 같은 민감 정보를 빼돌리거나, 무한 루프로 CPU를 태울 수 있다. 그래서 샌드박스(sandbox)는 '에이전트가 시도했다'와 '내 컴퓨터가 망가졌다' 사이를 막는 방화벽 역할을 한다. 글은 클로드 코드(앤트로픽)와 코덱스(오픈AI)가 이 벽을 어디에, 얼마나 두껍게 세우는지 비교한다.

핵심 짚어보기

글이 짚는 핵심은 리눅스(Linux) 샌드박스가 단일 기능이 아니라 여러 커널 장치를 쌓아 만든다는 점이다. 네임스페이스(namespace)는 프로세스·네트워크·파일시스템 같은 자원을 격리하고, 버블랩(Bubblewrap)은 이 격리된 환경에 제한된 파일 보기를 만들어 명령을 한 번 실행시킨다. 클로드 코드와 코덱스 모두 리눅스 파일시스템 격리에는 버블랩을 쓴다는 공통점이 있다. 여기에 시스템 호출을 걸러내는 시콤프(seccomp), 파일·네트워크 접근을 허용목록으로 제한하는 랜드록(Landlock), 커널 방화벽 엔에프테이블스(nftables) 등이 층층이 더해진다. 다만 시콤프는 정적이라 '깃허브에만 접속 허용' 같은 동적 판단은 못 하고, 방화벽은 IP 단위라 도메인을 미리 IP로 변환해 고정해야 하는 한계가 있다.

1인기업 실전 적용 포인트

• 에이전트에게 자동 실행 권한을 줄 땐 작업 폴더만 쓰기 허용하고 나머지는 읽기 전용으로 묶어라. 버블랩식 '쓰기 구멍' 개념을 흉내 내면 사고 반경이 확 줄어든다.
• 민감 파일(~/.ssh, .env, 키 파일)은 에이전트가 접근할 수 있는 경로 밖으로 빼두라. 가장 흔한 유출 경로가 바로 이 키들이다.
• 검증되지 않은 작업은 도커(Docker) 컨테이너나 별도 계정에서 돌려라. '에이전트가 사고 쳐도 호스트는 무사한' 구조가 1인기업의 마지막 안전망이다.
• 네트워크가 필요 없는 작업이면 아예 네트워크를 끊고 실행하라. 외부 유출·악성 다운로드를 원천 차단할 수 있다.

전망 / 주의점

샌드박스는 만능이 아니다. 커널 자체의 취약점이나 설정 실수 한 번이면 격리는 뚫린다. 글은 여러 에이전트가 충돌 없이 협업·상호 검토하는 더 강한 격리 환경(h5i)도 함께 소개하는데, 에이전트를 여러 개 동시에 굴리는 흐름이 커질수록 격리의 중요성도 같이 커진다. 자동화 편의만 보고 권한을 활짝 열어두는 습관이 가장 위험하다.

출처: 미디엄(Medium) (https://medium.com/@Koukyosyumei/how-claude-code-and-codex-sandbox-untrusted-code-ba39b493046a)