모든 명령 승인 중지: AI 에이전트를 컨테이너에 넣으세요

코딩 에이전트를 하루 이상 사용해 본 사람이라면 그 리듬을 알고 있을 겁니다.

명령어를 작성합니다. 그리고 멈춥니다. 당신에게 승인을 요청합니다. 당신은 '예'를 클릭합니다. 또 다른 명령어를 작성합니다. 멈추고. 다시 요청합니다.

점심시간이 되기 전에 당신은 '예'를 마흔 번이나 클릭했고, 무엇을 승인하고 있는지 읽는 것을 조용히 멈췄습니다. 이 지점에서 안전 기능은 아무것도 보호하지 못합니다. 단지 속도를 늦출 뿐입니다.

클릭 없이 안전성을 확보하는 방법이 있는데, 그것은 설정이 아닙니다. 바로 에이전트를 '어디서' 실행하느냐 하는 문제입니다.

승인 프롬프트의 실제 목적

이 프롬프트는 단 하나의 이유로 존재합니다: 에이전트가 당신의 실제 컴퓨터에서 실제 코드를 실행하려고 하기 때문입니다.

당신의 SSH 키는 그 컴퓨터에 있습니다. 클라우드 자격 증명(cloud credentials)도 그 컴퓨터에 있습니다. 커밋되지 않은 6개월 치 작업물도 그 컴퓨터에 있습니다.

따라서 이 프롬프트가 당신에게 던지는 진짜 질문은 이것입니다: "이 명령어를
여기에서 실행할 만큼 신뢰하십니까?"

당신의 노트북에서는 그것이 매우 중요한 질문입니다. 하지만 한 번의 클릭으로 삭제할 수 있는 컨테이너 안에서는, 위험 부담이 없는 질문일 뿐입니다.

Codex가 이미 답을 제공하다

Codex는 이 문제에 대해 정확히 세 가지 설정을 제공합니다. codex --help에서 바로 확인할 수 있습니다:

• --ask-for-approval never — 더 이상 묻지 않기
• --approve-for-me — 나 대신 두 번째 AI가 검토하도록 하기
• --dangerously-bypass-approvals-and-sandbox — 요청과 샌드박스 모두 비활성화하기

마지막 것은 안 좋은 생각처럼 들리며, 도움말 내용도 당신에게 동의합니다. 대문자로 이렇게 쓰여 있습니다: 극도로 위험함(EXTREMELY DANGEROUS).

하지만 문장의 나머지 부분을 읽어보세요:

EXTREMELY DANGEROUS. 외부적으로 샌드박스 처리된 환경에서만 실행하도록 의도됨.

이것을 두 번 읽으십시오. 왜냐하면 그것이 핵심이기 때문입니다.

이 플래그를 작성한 사람은 당신에게서 멀어지라고 경고하는 것이 아닙니다. 언제 사용해야 하는지를 알려주는 것입니다: 환경 자체가 이미 격리되어 있을 때. 당신의 노트북은 격리되어 있지 않습니다. 컨테이너가 격리되어 있습니다.

같은 플래그라도, 어떤 상자 안에서 실행되느냐에 따라 완전히 다른 의미를 갖습니다.

'그냥 비활성화하면' 안전하지 않았던 이유

노트북에서는 그렇지 않다는 것이 맞습니다. 그리고 만약 프롬프트가 제대로 작동하도록 시도해봤다면, 아마 다음 문제들 중 하나에 부딪혔을 것입니다:

• 폴더를 허용했음에도 불구하고, bypass 플래그를 사용했더라도 여전히 신뢰되지 않는 경우(#14345).
• "이 세션에 대해 허용(Allow for this session)" 설정은 재시작하는 순간 잊히는 경우(#4212).
• 전체 접근 권한(Full Access)을 켜도 여전히 승인을 요청하는 경우(#29235, #28988).
• 일반 명령어들이 샌드박스 모드에서 승인을 요청하여, 샌드박스가 아무것도 하지 않고 계속 귀찮게 하는 경우(#3140).
• MCP 도구들이 호출할 때마다 승인을 요청하는 경우(#16911).

이것들은 드문 예외 케이스가 아닙니다. 이 주제에 대한 가장 잘 알려진 스레드는 77개의 댓글을 가지고 있으며, 제목은 "모든 셸 명령어마다 권한 승인을 요구하여 Windows에서 사용 불가(Unusable on Windows due to permission ask for every shell command)"입니다(#2860).

패턴은 항상 같습니다: 프롬프트가 작동할 때는 짜증나고, 꺼보려고 할 때는 고장 납니다. 이것은 Codex의 버그가 아닙니다. 이것은 보안 경계로 설계되지 않은 장치에 보안 게이트를 설치했을 때 발생하는 일입니다.

"끄기"가 너무 멀게 느껴질 때 중간 옵션

완전히 자동화된 상태로 가기 준비가 되지 않았다면, --approve-for-me라는 옵션이 있습니다. Codex가 사용자에게 묻는 대신 다른 모델에게 명령을 검토하도록 요청하고 지루한 명령어들은 자동으로 통과시킵니다. 정말 이상한 것들만 사용자에게 도달합니다. (내부적으로 이것은 "가디언(guardian)" 리뷰어이며, 안정적인 기능입니다 — codex features list에서 guardian_approval이 표시됩니다.)

이는 공정한 교환이지만, 그 대가가 무엇인지 솔직하게 알아야 합니다: 모든 결정은 또 다른 모델 호출을 의미합니다. 사용자가 볼 필요가 없도록 토큰을 소모하는 것입니다. 이것은 종종 가치가 있습니다. 단지 무료는 아니라는 점입니다.

컨테이너가 이 모든 비용을 바꿉니다

일회용 컨테이너 안에 있는 동일한 세 가지 설정입니다:

상자가 일회용이라면, "절대 묻지 않기"는 더 이상 도전이 아니라 합리적인 기본 설정이 됩니다. 프롬프트도 없고, 기다릴 필요도 없으며, 당신이 '아니요'라고 말하고 에이전트가 재계획하며, 결국 어쨌든 '예'라고 말하게 되는 그러한 루프에 휘말려 토큰으로 비용을 지불할 필요도 없습니다 (#14593에는 정확히 그러한 종류의 낭비에 대한 댓글이 630개나 있습니다).

따라서 결정 순서가 중요합니다:

먼저 하나의 잘못된 명령이 얼마나 큰 피해를 줄 수 있는지 선택하십시오. 그런 다음 에이전트에게 어느 정도의 자유를 부여할지 선택하십시오.

순서를 반대로 하면, 당신의 선택지는 "너무 시끄럽다"와 "너무 위험하다" 두 가지뿐입니다.

TaskHandoff가 하는 일

TaskHandoff는 자체 장비에서 AI/Codex 워크스페이스를 실행하기 위한 오픈 소스 (Apache-2.0) 제어 평면(control plane)입니다. 모든 세션은 사용자가 직접 생성하고, 시작하고, 중지하고, 폐기하는 관리형 Linux Docker 컨테이너 내에서 실행됩니다.

이 컨테이너가 도움말 텍스트에 언급된 "외부 격리 환경(externally sandboxed environment)" 그 자체입니다.

• 세션은 데스크톱이 아닌 관리형 컨테이너에서 실행됩니다.
• 워크스페이스는 사용자가 소유하고 제어하는 것입니다: 생성, 스냅샷, 복원, 삭제, 재구축할 수 있습니다.
• **템플릿(Templates)**은 작업 도구 체인(toolchain)을 한 번 저장하여 프로젝트마다 다시 구축할 필요가 없습니다.
• 여러 장비, 하나의 콘솔 — 무거운 작업은 Linux 박스에서 실행하고 노트북으로 제어할 수 있습니다.
• WebSocket을 통한 실시간 세션 뷰를 제공합니다.

프롬프트를 끄도록 스스로 설득할 필요가 없습니다. 단지 버려지기 위해 만들어진 어딘가에 명령어를 실행하기만 하면 됩니다.

빠른 시작 (Quick start)

curl -fsSL https://github.com/edgestorage/task-handoff/releases/latest/download/install-server.sh | sudo sh

데스크톱 앱과 서버(Debian/Ubuntu의 systemd) 형태로 제공되며, 영어와 중국어 UI를 지원합니다.

⚠️ [IMG:N] 형식 토큰은 이미지 placeholder 입니다. 번역하지 말고 원래 위치에 그대로 유지하세요.

• Repo: https://github.com/edgestorage/task-handoff
• Docs: https://docs.thandoff.com/

솔직한 주의사항 (One honest caveat)

전체 접근 권한(Full access)을 부여한다는 것은 컨테이너가 이제 사용자를 보호하는 주체가 된다는 의미이므로, 이 컨테이너는 정말로 일회용(disposable)이어야 합니다. 따라서 자격 증명(credentials)의 유일한 사본을 여기에 마운트하지 말고, 비밀번호 금고(password vault)로 사용해서도 안 됩니다.

만약 작업에 실제로 호스트 머신이나 Windows 전용 도구가 필요한 경우라면, 프롬프트(prompts)를 켜 두세요. 이 세 가지 설정이 종교는 아닙니다. 단지 도구일 뿐이며, 이제 어떤 설정이 어느 항목과 일치하는지 아셨을 겁니다.