Agent Sandboxing

에이전트 샌드박싱은 AI 에이전트, 도구 또는 생성된 코드를 제한된 실행 환경에서 실행하는 방식입니다. 샌드박스는 에이전트가 접근할 수 있는 파일, 네트워크, 자격 증명, 프로세스 및 컴퓨팅 리소스를 제한합니다. 에이전트가 안전하지 않은 결정을 내리거나 악의적인 지침을 처리하더라도, 이러한 경계는 프로덕션 시스템과 민감한 데이터에 미칠 수 있는 영향을 줄여 줍니다.

에이전트 샌드박싱 작동 방식#

에이전트는 모델을 도구, 메모리, API 및 실행 루프에 연결하는 에이전트 하네스를 통해 작동하는 경우가 많습니다. 샌드박싱은 이러한 기능을 둘러싸는 강제 적용 계층을 추가합니다. “비공개 파일에 접근하지 마세요”와 같은 프롬프트를 모델이 따를 것이라고 신뢰하는 대신, 실행 환경에서 해당 접근을 기술적으로 차단합니다.

실용적인 샌드박스는 다음 요소를 조합할 수 있습니다.

• 작업이 끝난 후 제거되는 임시 컨테이너 또는 가상 머신.
• 쓰기 가능한 작업 공간을 작게 둔 읽기 전용 기본 파일 시스템.
• 승인된 도메인 또는 내부 서비스에만 접근을 허용하는 아웃바운드 네트워크 규칙.
• 현재 사용자와 작업에 범위를 한정한 단기 자격 증명.
• CPU, 메모리, 스토리지, 프로세스 및 실행 시간 제한.
• 도구 호출, 파일 변경, 네트워크 요청 및 정책 위반을 기록하는 감사 로그.

Docker 기본 seccomp 프로필과 같은 Linux 제어 기능은 시스템 호출을 제한할 수 있으며, Docker 리소스 제약은 리소스 소비를 제한합니다. 클러스터 규모에서는 Kubernetes 네트워크 정책을 사용해 에이전트 워크로드가 통신할 수 있는 서비스를 제어할 수 있습니다.

에이전트 샌드박싱이 중요한 이유#

에이전트는 함수 호출 및 도구 사용을 통해 작업을 수행할 수 있으므로, 에이전트의 실패는 잘못된 챗봇 응답보다 더 심각한 결과를 초래할 수 있습니다. 코딩 에이전트는 셸 명령을 실행할 수 있고, 운영 에이전트는 레코드를 업데이트하거나 배포를 트리거할 수 있습니다.

OWASP AI 에이전트 보안 가이드는 도구 오용, 권한 상승, 메모리 오염 및 데이터 유출 등의 위험을 제시합니다. 샌드박싱은 특히 에이전트가 웹페이지, 문서, 이미지 메타데이터 또는 도구 응답에 숨겨진 프롬프트 인젝션을 접했을 때 이러한 위험을 억제하는 데 도움이 됩니다. OWASP 프롬프트 인젝션 방지 가이드는 입력 필터링만으로는 모든 악의적인 지침을 안정적으로 식별할 수 없으므로 여러 계층의 방어를 권장합니다.

샌드박싱은 과도한 에이전트 자율성 문제도 해결합니다. 불필요한 도구와 광범위한 자격 증명을 보유하고 제한 없이 자율적으로 작동하는 에이전트는 모델 오류나 조작된 입력에 따라 피해를 일으키는 작업을 수행할 수 있습니다. 과도한 에이전트 자율성에 관한 OWASP 가이드는 모델 동작에만 의존하는 대신 도구 기능, 권한 및 자율성을 최소화할 것을 권장합니다.

샌드박싱과 관련 보안 제어 비교#

에이전트 샌드박싱은 다른 보안 메커니즘을 보완하지만 이를 대체하지는 않습니다.

• AI 가드레일: 가드레일은 입력, 출력 또는 제안된 작업을 검사합니다. 샌드박스는 가드레일이 위협을 놓치더라도 환경 제한을 강제합니다.
• 액세스 제어: 인증 및 권한 부여는 작업의 허용 여부를 결정합니다. 샌드박싱은 권한 부여 로직이 우회되더라도 사용할 수 있는 리소스를 제한합니다. AWS ID 및 액세스 관리 모범 사례는 임시 자격 증명과 최소 권한을 강조합니다.
• 컨테이너화: 컨테이너는 프로세스를 패키징하고 격리하지만, 기본 컨테이너 설정이 반드시 강력한 보안 경계를 제공하는 것은 아닙니다. Ultralytics Docker 빠른 시작 가이드는 일관되고 격리된 컴퓨터 비전 환경을 지원하며, 프로덕션 샌드박스에는 파일 시스템, 권한, 네트워크 및 리소스에 대한 추가 제한이 필요합니다.
• 테스트 환경: 개발 “샌드박스”는 시스템의 비프로덕션 복사본입니다. 에이전트 샌드박싱은 특히 실행을 제한하며 개발 및 프로덕션 환경에 적용할 수 있습니다.

Ultralytics Agent Skills은 코딩 에이전트가 재사용할 수 있는 지침을 제공하지만, 스킬 자체가 격리 경계를 만들지는 않습니다. 스크립트와 종속성은 계속 검토해야 하며 적절한 권한으로 실행해야 합니다.

실제 적용 사례#

엔터프라이즈 코딩 에이전트: 코딩 에이전트는 임시 작업 공간에서 리포지토리를 검사하고 파일을 수정하며 테스트를 실행할 수 있습니다. 샌드박스는 할당된 리포지토리만 마운트하고, 프로덕션 자격 증명을 차단하며, 승인된 패키지 레지스트리로 아웃바운드 트래픽을 제한하고, 병합 또는 배포 전에 사람의 승인을 요구합니다. 따라서 손상된 종속성이나 주입된 지침으로도 내부 스토리지를 자유롭게 검색하거나 소스 코드를 전송할 수 없습니다.

비전 기능을 갖춘 운영 에이전트: 창고 에이전트는 카메라 이미지를 분석하는 Ultralytics YOLO26을 사용해 통로의 장애물을 식별하고 유지보수 티켓을 생성할 수 있습니다. 샌드박스는 에이전트에 수신 이미지에 대한 읽기 전용 접근 권한을 제공하고 추론 및 티켓 관리 API에만 네트워크 접근을 허용할 수 있습니다. 에이전트에 제한 없는 카메라 관리 권한, 직원 기록 또는 배포 자격 증명을 제공해서는 안 됩니다.

인식 단계에서는 문서화된 Ultralytics YOLO 예측 워크플로를 사용할 수 있습니다.

from pathlib import Path

from ultralytics import YOLO

source = "https://ultralytics.com/images/bus.jpg"
output_path = Path("sandbox_result.jpg")

# 제한된 작업 공간에서 시각적 추론 실행
model = YOLO("yolo26n.pt")
results = model(source)

result = results[0]
result.save(filename=str(output_path))

Python 코드는 일반적인 추론을 수행하며, 주변 런타임이 파일, 네트워킹, 자격 증명 및 리소스를 제한하여 샌드박스를 제공합니다.

실용적인 설계 지침#

접근 권한을 모두 차단한 상태에서 시작하고 각 작업에 필요한 권한만 명시적으로 허용합니다. 임시 작업 공간, 단기 자격 증명, 읽기 전용 마운트, 아웃바운드 네트워크 허용 목록, 시간 제한 및 리소스 할당량을 사용합니다. 되돌릴 수 없는 작업은 승인을 요구하고 권한 부여 검사는 모델 외부에서 수행합니다.

차단된 작업을 포함해 모든 시도된 작업을 기록하되 로그에 비밀 정보가 노출되지 않도록 합니다. 팀은 에이전트 워크플로에서 비전 엔드포인트 요청, 지연 시간, 오류 및 상태를 모니터링하기 위해 Ultralytics Platform 배포 모니터링을 사용할 수 있습니다. 마지막으로 악성 파일, 간접 프롬프트, 반복적인 도구 호출 및 리소스 고갈 시도를 대상으로 전체 시스템을 테스트합니다. NIST AI 위험 관리 프레임워크 플레이북은 이러한 위험을 관리하고 측정하며 지속적으로 다루기 위한 더 포괄적인 구조를 제공합니다.