에이전트 샌드박스는 제한된 실행 환경입니다. 그 안에서 에이전트는 파일을 읽고 쓰고, 명령을 실행하고, 지정된 네트워크 자원에 접근할 수 있지만, 닿을 수 있는 범위는 샌드박스의 경계가 정하고 경계를 넘는 작업은 차단됩니다. 이는 에이전트에 더하는 심리적 암시가 아니라 운영체제나 가상화 수준에서의 격리입니다. 샌드박스를 이해하는 핵심은 “매우 안전하다”는 꼬리표가 아니라 실제로 무엇을 격리하는지에 있습니다.
샌드박스가 보통 격리하는 세 가지
첫째는 파일 시스템입니다. 샌드박스 안의 에이전트는 할당된 작업 디렉터리만 볼 수 있고, 호스트 컴퓨터의 다른 파일은 시야에 들어오지 않으므로 실수로 삭제하거나 잘못 고쳐도 피해 범위가 제한됩니다. 둘째는 프로세스와 자원입니다. 샌드박스는 에이전트가 실행할 수 있는 프로그램과 사용할 수 있는 CPU와 메모리를 제한하므로, 폭주한 작업 하나가 컴퓨터 전체를 멈추게 하지 못합니다. 셋째는 네트워크입니다. 많은 샌드박스는 기본적으로 오프라인이거나 허용 목록의 주소만 통과시키므로 에이전트가 마음대로 데이터를 밖으로 보낼 수 없습니다. Google이 새로 내놓은 에이전트 컴퓨팅 환경도 같은 발상입니다. 에이전트마다 격리된 컴퓨터 한 대를 배정하고, 격리된 환경에서 작업을 마친 뒤 결과만 돌려받습니다.
샌드박스가 막지 못하는 세 가지
샌드박스가 관리하는 것은 “무엇에 닿을 수 있는가”이지 “에이전트가 무엇을 믿는가”가 아닙니다. 에이전트가 읽는 파일, 웹페이지, 메일에 유도 지침이 숨어 있으면 샌드박스가 허용하는 범위 안에서 그대로 따를 수 있습니다. 예를 들어 작업 디렉터리의 파일을 어딘가로 보내는 식입니다. 권한을 지나치게 많이 주는 것도 막지 못합니다. 프로젝트 디렉터리 전체와 모든 비밀 정보를 샌드박스에 넣어 버리면 격리는 형식만 남습니다. 더 은밀한 것은 하드웨어 수준의 신호 누출로, 공유 하드웨어 신호를 이용해 격리된 환경에서 데이터를 빼내는 방법이 연구자들에 의해 이미 시연된 바 있어 샌드박스 하나만으로는 만능 자물쇠가 될 수 없습니다.
믿어도 되는 때와 믿으면 안 되는 때
샌드박스를 기본 설정으로 쓰는 것은 옳습니다. 에이전트는 먼저 격리된 환경에서 실행하게 하고, 필요한 디렉터리와 네트워크, 키는 최소 권한으로만 주며, 중요한 작업은 사람이 확인합니다. 샌드박스 하나에만 모든 것을 맡기는 것은 잘못입니다. 민감한 디렉터리는 넣지 않고, 출처가 의심스러운 내용은 먼저 확인하며, 돈과 계정에 관련된 작업은 반드시 사람이 다시 검토해야 합니다. 샌드박스의 가치는 사고의 파급 범위를 줄이는 데 있지, 판단을 대신하는 데 있지 않습니다.
