AI 에이전트가 강력해질수록 보안 질문은 달라집니다. 예전에는 “이 작업을 허용할 것인가?”가 중심이었다면, 이제는 “허용한 작업이 실패하거나 오작동했을 때 피해가 어디까지 번질 수 있는가?”가 더 중요합니다.
Claude 샌드박싱은 이 피해 범위를 줄이기 위한 실행 경계입니다. 모델을 완전히 믿는 대신, 모델이 파일, 네트워크, 도구에 접근할 수 있는 범위를 환경 차원에서 제한합니다. 핵심은 승인 버튼을 늘리는 것이 아니라, 실수해도 안전한 울타리를 먼저 만드는 데 있습니다.
샌드박스는 제품의 작업 범위에 맞춰 달라진다
샌드박싱은 하나의 기술로 끝나는 문제가 아닙니다. 에이전트가 어디서 실행되고, 어떤 파일과 도구를 다루며, 얼마나 넓은 시스템 권한이 필요한지에 따라 격리 방식이 달라집니다.
Claude.ai처럼 서버에서 코드 실행이 이뤄지는 환경에서는 사용자의 로컬 시스템에 직접 닿을 필요가 없습니다. Anthropic은 Claude.ai 코드 실행에 gVisor 기반 격리를 사용한다고 설명했습니다.1 기능 범위는 상대적으로 제한되지만, 그만큼 피해 반경도 작게 유지할 수 있습니다.
반면 Claude Code는 개발자의 로컬 저장소와 셸 명령을 다뤄야 합니다. 이 경우 단순한 원격 컨테이너만으로는 충분하지 않습니다. Anthropic은 macOS에서는 Seatbelt, Linux에서는 Bubblewrap을 사용해 Bash 명령과 자식 프로세스의 파일·네트워크 접근을 OS 수준에서 제한합니다.2
Claude Cowork처럼 더 넓은 작업 환경이 필요한 경우에는 격리 단위가 VM에 가까워집니다. macOS에서는 Apple Virtualization framework, Windows에서는 HCS 기반 전체 VM을 사용합니다.1 작업 범위가 커질수록 샌드박스도 더 강하고 무거운 경계를 필요로 합니다.
좋은 샌드박스는 “자동 실행”과 “통제”를 함께 만든다
권한 확인은 필요하지만, 모든 작업마다 팝업을 띄우는 방식은 오래가지 못합니다. 사용자는 반복되는 승인을 무시하게 되고, 결국 보안 장치는 형식이 됩니다.
샌드박싱의 실용적 가치는 여기서 나옵니다. 허용된 경계 안에서는 에이전트가 빠르게 실행되도록 하고, 경계를 넘는 행동은 차단하거나 별도 승인을 요구합니다. 즉 “매번 물어보기”가 아니라 “안전한 범위 안에서 자동화하기”에 가깝습니다.
Claude Code의 Bash 샌드박스도 이 관점에서 이해할 수 있습니다. 기본적으로 현재 작업 디렉터리를 중심으로 쓰기를 제한하고, 네트워크는 허용된 도메인만 통과시키는 방식입니다.2 예를 들어 테스트 실행이나 빌드처럼 반복적인 작업은 빠르게 처리하면서, 민감 경로 접근이나 예상치 못한 외부 전송은 막을 수 있습니다.
여기서 파일 격리와 네트워크 격리는 함께 봐야 합니다. 파일 접근만 막고 네트워크를 열어두면 정보 유출 위험이 남고, 네트워크만 막고 파일 접근을 열어두면 시스템 조작 위험이 남습니다. 실무에서 중요한 것은 “무엇을 허용할 것인가”뿐 아니라 “허용된 작업이 어디로 연결될 수 있는가”입니다.
기업 환경에서는 실행 경계를 고객 쪽으로 옮긴다
Claude Managed Agents의 자체 호스팅 샌드박스는 기업용 에이전트가 어디로 가고 있는지 보여줍니다. 에이전트 루프, 즉 오케스트레이션과 컨텍스트 관리, 오류 복구는 Anthropic 인프라에 남고, 도구 실행은 고객이 구성한 환경으로 이동합니다.3
이 구조의 의미는 분명합니다. 민감 파일, 패키지, 서비스, 저장소를 고객 인프라 경계 안에 둘 수 있습니다.3 동시에 고객은 네트워크 정책, 감사 로깅, 보안 도구를 적용하고, CPU·메모리·런타임 이미지 같은 컴퓨트 구성도 직접 정할 수 있습니다.3
실행 위치도 고정되어 있지 않습니다. 자체 인프라에서 운영할 수도 있고, Cloudflare, Daytona, Modal, Vercel 같은 관리형 제공업체를 사용할 수도 있습니다.3 예를 들어 Cloudflare 샌드박스는 마이크로VM과 경량 isolate를 사용해 대규모 실행을 지원합니다.3
현재 Claude Platform에서 자체 호스팅 샌드박스는 퍼블릭 베타로 제공됩니다. MCP 터널은 리서치 프리뷰로 제공되며 접근 요청이 필요합니다.3 즉 이 방향은 아직 확장 중이지만, 기업이 에이전트 실행 환경을 직접 통제하려는 흐름은 분명합니다.
도입할 때 봐야 할 질문
Claude 샌드박싱에서 배울 점은 특정 기술명을 외우는 것이 아닙니다. 중요한 것은 에이전트의 실행 경계를 어떻게 설계할지입니다.
AI 에이전트를 도입할 때는 다음 질문을 먼저 봐야 합니다.
에이전트는 어디서 실행되는가?
어떤 파일과 저장소에 접근할 수 있는가?
자격 증명과 민감 데이터는 어디에 있는가?
네트워크 egress는 누가 통제하는가?
감사 로그와 보안 도구는 어디에 적용되는가?
런타임 이미지, CPU, 메모리 같은 실행 자원은 누가 정하는가?
결론은 단순합니다. 에이전트 보안은 “모델이 실수하지 않을 것”이라는 기대 위에 세우면 안 됩니다. 실패해도 피해가 제한되는 실행 경계를 먼저 만들고, 그 안에서 자동화를 넓혀야 합니다. Claude 샌드박싱이 보여주는 핵심도 바로 이 지점입니다.
1How we contain Claude across products
2Configure the sandboxed Bash tool
3New in Claude Managed Agents: self-hosted sandboxes and MCP tunnels
이 노트는 보도·비평·교육·연구 목적으로 작성되었습니다. 저작권 문의가 있으시면 에서 알려주세요.