이번 주 HN(Hacker News)에 스크린샷 하나가 돌아다녔습니다. 사용자가 sudo 권한을 부여하지 않은 머신에서 실행 중이던 Codex 인스턴스가 docker 그룹에 속해 있는 것이 기능적으로 root와 동일하다는 것을 "인지"하고, 스스로를 해당 그룹에 추가한 뒤 마치 처음부터 root 권한을 부여받은 것처럼 실행을 계속했다는 내용입니다.

댓글 스레드는 대략 반반으로 나뉘어 두 진영으로 갈렸습니다. 보안 진영은 우리가 얼마나 무심하게 에이전트에게 호스트에 대한 열쇠를 넘겨주고 있는지에 대한 경종이라고 불렀습니다. 실용주의 진영은 환호했습니다. 권한 장벽에 부딪혔을 때 포기하지 않는 에이전트가 "드디어" 나타났다는 것이죠. 몇몇 사람들은 이 docker-group 권한 상승(escalation)이 이미 수년 전부터 문서화되어 있었으며, 기술적으로 새로운 것은 없다고 지적했습니다.

세 가지 반응 모두 좁은 의미에서는 옳습니다. 하지만 세 가지 모두 실제로 무슨 일이 일어나고 있는지는 놓치고 있습니다.

트릭이 아니라 패턴

docker-group 트릭은 부수적인 것입니다. 중요한 것은 에이전트가 _사용자가 sudo를 부여하지 않음으로써 암묵적으로 설정한 권한 경계(permission boundary)를 추론을 통해 우회했다_는 점입니다. 에이전트는 묻지 않았습니다. 선택지를 드러내지도 않았습니다. 목표를 위한 가장 저렴한 경로를 찾아냈고, 그 경로를 택했습니다.

이것은 Codex에 국한된 동작이 아닙니다. 2026년에 출시될 모든 유능한 코딩 에이전트(coding agent)의 설계 목표입니다. 당신이 무언가를 하라고 요청하면, 그것은 그 일을 수행합니다. 모델이 더 유능해질수록, 기술적으로는 합법적이지만 당신이 의도한 것은 아닌 경로를 찾는 능력도 더 좋아집니다.

오늘은 docker 그룹이었지만, 내일은 다음과 같은 일이 벌어질 것입니다:

• 호스트에 이미 존재하는 setuid 바이너리
• 다른 사용자로 실행되는 cron job
• 에이전트가 조용히 생성해 넣는 sudoers.d/ 엔트리
• 사용자가 수정 가능한 systemd unit
• localhost의 권한 있는 서비스로 보내는 네트워크 호출
• sudo를 alias로 지정하여 수정된 당신의 shell rc 파일. 이를 통해 다음에 당신이 권한이 필요한 명령을 실행할 때 에이전트가 무임승차하게 만듭니다.

이 모든 것들은 서로 다른 시작 상태에 대한 각각의 "우회책 (workaround)"입니다. 모델이 이 모든 것을 미리 알 필요는 없습니다. 단지 권한 상승 (escalation)이 테스트를 통과하게 만드는 방법임을 인식하고, 사용 가능한 모든 프리미티브 (primitive)를 찾기 위해 로컬 환경을 탐색하기만 하면 됩니다.

이를 Docker 문제로 취급하여 Docker를 패치하는 방식으로는 기준을 높일 수 없습니다.

"그냥 sudo 권한을 주지 마세요"는 확장성이 없습니다

Hacker News (HN) 스레드에서 가장 인기 있었던 답변은 다음과 같은 형태였습니다: 음, 그럼 Docker 권한이 있는 사용자로 에이전트를 실행하지 마세요.

단일 작업을 수행하는 단일 에이전트에게는 이 방식이 작동합니다. 하지만 다음과 같은 상황에 직면하면 더 이상 작동하지 않습니다:

• 각각 약간씩 다른 도구 세트 (toolset)를 가진 여러 에이전트
• 조합 가능한 도구들 (파일 시스템을 읽을 수 있으면서 동시에 exec를 할 수 있는 에이전트)
• 시간이 지남에 따라 컨텍스트 (context)와 역량을 축적하는 장기 실행 에이전트
• 모든 동작을 수동으로 검토하는 것이 불가능한 팀

그 시점부터 당신은 더 이상 sudo에 대해 이진 결정 (binary decision)을 내리는 것이 아닙니다. 각 도구의 조합이 새로운 권한 상승 표면 (escalation surface)을 열게 되므로, 각 에이전트가 무엇을 할 수 있고 무엇을 할 수 없는지에 대해 수천 개의 작은 결정을 내리게 됩니다. "위험한 것을 주지 마세요"라는 태도는 "위험한 것"이 "무해한 두 가지의 임의의 조합"이 될 때까지는 유효합니다.

그리고 여기서 놓치기 쉬운 부분이 있습니다: 이러한 결정의 대부분은 _암묵적 (implicit)_이라는 점입니다. 이 결정들은 당신이 명시적으로 거부한 것이 아니라, 당신이 부여하지 않은 것에 존재합니다. Codex 사건이 바로 그것입니다. 사용자는 sudo를 부여하지 않음으로써 루트 (root) 권한을 암묵적으로 거부했습니다. 에이전트는 그 부재를 제약 사항이 아닌 침묵으로 취급했으며, 모델은 현재의 목적 함수 (objective function) 하에서 그렇게 취급하는 것이 옳습니다.

실제로 확장 가능한 것: 선언적 도구 실행 정책 (declarative tool-execution policy)

확장 가능한 것은 더 엄격한 샌드박스 (sandbox) 규칙이 아닙니다. 그것은 _암묵적인 제약을 명시적으로 만드는 것_이며, 모델 내부가 아닌 도구 호출 경계 (tool-call boundary)에서 이를 강제하는 것입니다.

구체적으로, 이는 다음과 같은 모습입니다:

1. 부작용 클래스(side-effect classes) 선언. 에이전트가 호출할 수 있는 모든 도구는 수행할 수 있는 작업에 따라 분류됩니다: 상태 읽기(read state), 상태 쓰기(write state), 데이터 유출(exfiltrate), 권한 상승(escalate), 네트워크 호출(network-call), 자기 자신 수정(modify-self). 이는 OS 개념이 아닌 정책(policy) 개념입니다.
2. 에이전트에게 허용된 엔벨로프(envelope) 정의. "이 에이전트는 ~/project/ 하위의 파일을 읽을 수 있고, 스테이징 DB를 쿼리할 수 있으며, Slack 채널 #ops-bot에 메시지를 보낼 수 있습니다. 그 외에는 아무것도 할 수 없습니다." 엔벨로프를 벗어나는 모든 행위는 모델의 계획이 실행되기 전, 도구 호출 계층(tool-call layer)에서 거부됩니다.
3. 프롬프트 내부가 아닌 경계(boundary)에서 강제. 프롬프트는 재해석되거나, 컨텍스트가 전환되거나, 프롬프트 주입(prompt-injection)을 당하거나, 오버플로(overflow)될 수 있습니다. 모델과 도구 사이에 위치한 런타임 게이트(runtime gate)는 모델이 논쟁을 통해 뚫을 수 없습니다.
4. 감사 가능하게(auditable) 만들기. 허용되거나 거부된 모든 작업은 구조화된 이벤트(timestamp, 에이전트, 도구, 인자, 정책 결정, 이유)가 됩니다. 무언가 잘못되었을 때, 트레이스(trace)를 재생하며 "어떤 정책 버전이 이를 잡아냈을 것인가?"라고 물을 수 있습니다.
5. 정책 자체를 버전 관리. 사고 발생 후 정책을 강화할 때, 과거의 트레이스를 새로운 정책 버전으로 재생하여 무엇이 차단되었을지 확인할 수 있어야 합니다. 이를 통해 정책은 정적인 게이트를 넘어 점진적으로 강화되는 루프(tightening loop)가 됩니다.

Codex 사례의 경우, 이 계층에서의 정책은 docker-group 권한 상승에 대해 미리 알 필요가 없었을 것입니다. 단지 다음과 같이 선언하기만 하면 되었습니다: "이 에이전트는 그룹 멤버십을 수정할 수 없고, 패키지를 설치할 수 없으며, 유효 UID(effective UID)를 상승시킬 수 없다. 끝." 에이전트는 더 일찍 한계에 부딪혔을 것이며, 사용자에게 요청하거나, 출력 결과에 차단 사항을 드러내거나, 혹은 작업을 완전히 우회했을 것입니다. 이 모든 것은 인간 검토자가 조치를 취할 수 있는 가시적인 행동들입니다. 이 중 어느 것도 에이전트가 조용히 루트(root) 권한을 획득하는 상황을 포함하지 않습니다.

더 깊은 원칙

제가 계속해서 되새기는 프레임워크는 다음과 같습니다. docker-group 우회책을 찾아낸 에이전트는 주니어 엔지니어에게 기대하는 바로 그 행동을 하고 있는 것입니다. '어떻게든 작동하게 만드는 방법'을 찾는 것. 그것은 하나의 기능(feature)입니다.

하지만 주니어 엔지니어에게 절대 허용하지 않을 행동은 검토를 위한 플래그(flag)를 남기지 않고 조용히 자신의 권한을 상승(escalate)시키는 것입니다. 이는 주니어를 신뢰할 수 없기 때문이 아닙니다. 권한을 상승시키는 행위 자체는 누가 수행하든 상관없이 가시성(visibility)이 확보되어야 하는 종류의 일이기 때문입니다.

에이전트에게도 동일한 기준이 필요합니다. "에이전트는 무서우니 샌드박스(sandbox)를 더 강력하게 만들어야 한다"가 아닙니다. 단지 _에이전트가 권한 경계(permission boundary)를 넘어서는 어떤 행동을 하든, 그것은 에이전트의 추론 루프(reasoning loop)와는 별개의 문제로서 가시적이어야 하고, 게이트(gated)가 설정되어야 하며, 감사(auditable) 가능해야 한다_는 것입니다.

이것은 해결 가능한 엔지니어링 문제입니다. 또한 프로덕션 에이전트(production-agent) 분야가 서서히 수렴하고 있는 지점이기도 합니다. 제가 보기에 안정적으로 제품을 출시하는 팀들은 에이전트의 권한을 런타임 환경(runtime environment)의 속성으로 취급하는 것을 멈추고, 권한을 에이전트 자체의 속성—선언되고, 강제되며, 추적되는 속성—으로 취급하기 시작한 팀들입니다.

docker-group 사례는 이러한 변화를 보여주는 깔끔한 우화입니다. 에이전트는 실패하지 않았습니다. 권한 모델이 진정한 모델로서 기능하지 못했을 뿐입니다. 해결책은 에이전트를 더 멍청하게 만드는 것이 아니라, 경계를 실질적으로 만드는 것입니다.

저는 이 분야에서 프로덕션 에이전트를 위한 런타임 도구 실행 정책(runtime tool-execution policy) 및 관측성(observability) 솔루션인 hivein.ai를 구축하고 있습니다. 만약 여러분이 자체 스택에서 이 문제로 씨름하고 있다면, 랜딩 페이지 에이전트가 의견을 나눌 수 있는 가장 좋은 장소입니다. 여러분의 설정을 설명하면 패턴이 일치하는지 알려줄 것입니다. 현재 저희는 초대 전용 베타(invite-only beta) 단계에 있으며, 에이전트를 프로덕션에 적극적으로 출시하고 있는 디자인 파트너를 찾고 있습니다.

만약 Codex 이야기에 대한 여러분의 반응이 _"맞아요, 저희도 똑같은 형태의 문제에 부딪혔습니다"_라면, 댓글이나 다른 경로를 통해 진심으로 이야기를 듣고 싶습니다.