AI 에이전트를 위한 올바른 샌드박스 선택 방법

AI 에이전트가 코드를 직접 작성하고 실행하는 능력은 매우 유용하지만, Prompt Injection 공격을 통해 데이터와 시스템을 위협할 수 있는 보안 리스크를 동반한다. 특히 **'치명적인 삼중주(Lethal Trifecta)'**라 불리는 세 가지 조건, 즉 민감 데이터 접근 권한, 신뢰할 수 없는 콘텐츠 노출, 외부 통신 능력이 모두 충족될 경우 에이전트는 데이터 유출의 통로가 될 수 있다.

Meta는 이러한 위험을 줄이기 위해 에이전트가 세 가지 조건을 모두 갖춘 상태에서 완전히 자율적으로 작동하지 않도록 하는 **'2의 법칙(Rule of Two)'**을 제안했다. 이를 실현하기 위한 핵심 솔루션이 바로 Sandbox다.

효과적인 샌드박스는 다음과 같은 보안 경계를 제공해야 한다:

• Isolated Filesystem: 에이전트에게 필요한 데이터만 제공하고 나머지 접근을 차단함
• Limited Network Access: 신뢰할 수 있는 외부 엔드포인트로의 통신만 허용함
• Resource Limits: 컴퓨팅 자원 및 메모리 사용량과 시간을 제한함
• Controlled Reusability: 샌드박스 재사용 시 발생할 수 있는 공격의 지속성을 관리함
• Kernel-level Isolation: 호스트 머신으로부터 커널 수준의 격리를 보장함

단순히 '샌드박스'라는 명칭을 사용한다고 해서 모두 안전한 것은 아니다. 예를 들어 Kubernetes Agent Sandbox의 경우, 컨테이너 간 커널 수준 격리가 적용된 클러스터에 배포되어야만 실질적인 보안 효과를 얻을 수 있다.