나는 내 코딩 에이전트에게 셸(shell) 액세스 권한을 주었고, 대부분의 경우 훌륭했다 — 문제가 발생하기 전까지는 말이다.

한 세션에서는 형제 디렉터리를 삭제할 수도 있는 명령어를 제안했다. 또 다른 세션에서는 "배포를 테스트하기 위해" curl을 통해 .env 파일을 유출하려고 시도했다. 둘 다 악의적인 의도는 없었다; 둘 다 컨텍스트 창(context window)에 있는 텍스트를 행동으로 충실히 옮기려던 에이전트였을 뿐이다. 그리고 일단 에이전트가 명령어를 실행할 수 있게 되면, "도움이 되는 것"과 "사고" 사이의 거리는 단 한 번의 잘못된 도구 호출(tool call)만큼이나 가깝다.

그렇다면 실제로 그 호출을 어디에서 차단해야 하는가?

에이전트는 신뢰할 수 없는 지침을 수행하는 권한이 없는 프로세스이다

그런 관점에서 볼 때, 실패 모드(failure modes)는 결코 생소한 것이 아니다:

• Secret 유출 (Secret exfiltration) — 에이전트가 ~/.aws/credentials 또는 .env 파일을 읽어 URL로 전송하는 경우.
• 파괴적 명령어 (Destructive commands) — 잘못된 경로에 대한 rm -rf 실행; 실제로는 '정리'가 아닌 것.
• 리버스 셸 / C2 이그레스 (Reverse shells / C2 egress) — 승인하지 않은 곳으로 나가는 아웃바운드 연결.
• 프롬프트 주입 → 행동 (Prompt injection → action) — 오염된 README 파일에

직접 작성하지 않은 에이전트의 도구 호출 경계(tool-call boundary)에 위치하려면 두 가지 가로채기 지점(interception points)이 필요합니다. 생태계가 아직 하나의 표준으로 통일되지 않았기 때문입니다.

• 훅 (Hooks) — 네이티브 훅 시스템을 갖춘 에이전트(Claude Code, Codex)는 PreToolUse / PostToolUse 핸들러를 등록할 수 있게 해줍니다. 모든 도구 호출은 실행되기 전에 평가됩니다.
• MCP 프록시 (MCP proxy) — Model Context Protocol (MCP)을 사용하는 모든 것은 프록시로서 중간에 위치하여 가로챌 수 있으므로, 모든 tools/call은 당신을 먼저 거쳐 가게 됩니다.

이 두 가지 사이에서, 당신은 Claude Code, Codex, Cursor, Cline, Roo, Gemini CLI, Goose, Hermes, opencode 등 현재 에이전트 환경의 대부분을 그 어떤 것도 패치하지 않고 커버할 수 있습니다. 이는 당신의 사용자 권한으로 실행되며(절대 root 권한이 아님), 외부 서버와 통신(phone home)할 필요도 없습니다.

결정론적 결정(deterministic decision)이 실제로 작동하는 방식

도구 호출이 도착하면, 명시적인 규칙 카탈로그(rule catalog)에 따라 이를 분류하고 다음 세 가지 판결 중 하나를 반환합니다.

• 허용 (Allow) — 명확하게 안전함. 조용히 실행되며, 프롬프트 피로(prompt fatigue)를 유발하지 않음.
• 거부 (Deny) — 명확하게 위험함 (비밀 정보 유출, rm -rf, 리버스 셸, 주입 기반 호출). 즉시 차단됨.
• 질문 (Ask) — 진정으로 모호함. 일시 중지하고 사람에게 질문함.

두 가지 속성이 전체 설계를 지탱합니다.

• 결정 경로에 LLM을 포함하지 않음. 이것은 규칙 엔진(rules engine)입니다. 동일한 입력 → 동일한 판결이 100ms 이내에 이루어지므로, 지연 시간을 아무도 느끼지 못하는 사이에 모든 호출을 동기적으로 제어할 수 있습니다.
• 실패 시 차단 (Fail-closed). 평가 오류가 발생하거나, 타임아웃이 발생하거나, 호출을 분류할 수 없는 경우 결과는 허용이 아니라 **거부(deny)**입니다. 안전벨트의 실패 모드는

많은 호출이 명확하지 않습니다. 에이전트가 이 원격 저장소에 git push 해야 할까요? 이 패키지를 설치해야 할까요? 프로젝트 디렉터리 외부에 파일을 작성해야 할까요? 이러한 것들을 허용(allow) 또는 거부(deny)로 코딩하는 것은 통제권을 사람들이 뜯어내는 방식입니다.

이것이 바로 Ask가 필요한 이유입니다. 에이전트를 일시 정지하고 원터치 **허용/거부(Allow / Deny)**를 전송할 수 있습니다. 그리고 이것은 터미널뿐만 아니라 Telegram, Discord, Slack, Matrix, Mattermost 또는 WhatsApp을 통해서도 가능합니다. 사용자가 자리를 비운 동안 에이전트가 계속 작업하도록 내버려 두고, 의도하지 않은 것을 요청할 때

위의 내용은 가설이 아닙니다. 저는 AI 코딩 에이전트를 위한 오픈 소스 (AGPL-3.0), 로컬 우선 (local-first) 정책 계층인 **Belay**를 구현했습니다. 하나의 설치 프로그램이 사용자가 이미 실행 중인 에이전트를 자동으로 감지하고, 훅 (hooks) 또는 MCP 프록시 (proxy)를 통해 연결합니다:

curl -fsSL https://dl.belay.secblok.io/install.sh | bash

문서와 데스크톱 앱은 **belay.secblok.io**에서 확인할 수 있으며, 리포지토리는 **github.com/SECBLOK/belay**에 있습니다.

만약 에이전트를 무인 상태로 실행하신다면, 다음 두 가지 사항에 대해 진심 어린 피드백을 부탁드립니다. 기본 거부 (deny) 규칙이 실제 워크플로에 너무 공격적인지, 그리고 제가 놓치고 있는 회피 표면 (evasion surface)은 어디인지에 대한 의견입니다. 허용/거부 (allow/deny) 규칙은 모두 공개되어 있습니다. 규칙에 대해 논쟁하고, 깨뜨려 보시고, 제가 놓친 부분은 풀 리퀘스트 (PR)를 보내주세요.