에이전트 샌드박싱: 도구 사용 에이전트를 위한 실행 격리

Originally published at Agent Sandboxing: Execution Isolation for Tool-Using Agents on smartgate.network.

A shorter version of "Agent Sandboxing: Execution Isolation for Tool-Using Agents" — the full piece lives at smartgate.network.

전체 글에서 다루는 내용

• 에이전트 샌드박싱: 코드를 실행하는 경계 — 에이전트는 결정하고 행동하는 루프이며, 그 결정의 대부분은 되돌릴 수 있습니다: 잘못된 페이지를 반환하는 검색, 조항을 놓치는 요약.

• 에이전트 샌드박스: 네 가지 격리 수준과 각각이 막는 것 — "샌드박싱되었나요?"라는 질문은 잘못된 것이기 때문입니다. 이 단어는 매우 다른 강도를 가진 메커니즘을 포괄하기 때문입니다.

• AI 에이전트 샌드박스: 하나의 도구 호출 주변의 경계 — 두 번째 결정은 범위입니다: 에이전트 프로세스당 하나의 샌드박스, 또는 도구 호출당 하나의 샌드박스.

• 샌드박싱된 코드 실행: 경계에 있는 얇은 래퍼 — 어떤 기반으로 구축되었든, 모든 샌드박스 실행기는 동일한 형태에 도달합니다: 실제 실행을 수행하는 원시(primitive)에 호출을 전달하고 결과를 반환하는 메서드.

• 샌드박스 이탈 (sandbox escape): 경계를 깨는 형태들 — 샌드박스 이탈은 보통 영리한 모델에서 시작되지 않습니다.

• LLM 샌드박스: 신뢰 없이 모델이 만든 코드를 실행하기 — LLM 샌드박스는 에이전트가 한 턴 동안 작성한 코드를 실행하며, 그 모델은 _1급의 신뢰할 수 없는 작가_입니다.

• MCP 샌드박스: 직접 만들지 않은 서버 격리하기 — MCP 서버는 에이전트에 도구를 노출하는 프로세스이며, 종종 귀하의 자격 증명이 환경에 있는 인프라에서 실행되는 타사 코드입니다.

• SmartGate의 게이트웨이가 샌드박스 위에 놓이는 방식 — SmartGate는 샌드박스가 아니며, 그렇게 주장하지도 않습니다.

• 우리가 가져오는 것이 거부하는 것, 자체 egress 검사에서 읽기 — 에이전트의 '샌드박싱(Sandboxing)'은 종종 두 가지 다른 의미로 사용됩니다. 즉, 코드가 무엇을 할 수 있는지 제약하는 것과 도구가 어디에 접근할 수 있는지 제약하는 것입니다.

• 시작하기 — 런타임을 선택하기 전에 코드가 건드릴 수 있는 목록을 작성하세요.

• 제한 사항 — 이 페이지는 경계를 설명하며, 경계의 강도는 구성만큼만 강력합니다.

• 이 클러스터 내 관련 자료 — 이 페이지가 실행 격리(execution isolation)를 담당합니다. 아래 페이지들은 인접한 질문들을 다루며, 위의 경계는 이들과 조합되도록 구축되었습니다. 중앙 페이지가 공격 표면(attack surface)을 구성하고, 나머지 페이지들이 탐지(detection), 신원(identity), 전파 경로(propagation path), 모델 수준(model-level)...을 담당합니다.

전체 글 읽기: smartgate.network에서 Agent Sandboxing: Execution Isolation for Tool-Using Agents를 확인하세요.