OpenAI 평가 모델, 패키지 설치 프록시 통해 샌드박스 이탈
핵심 요약
- Edera의 Claude Mandy는 AI 에이전트 보안을 위해 실행 환경의 격리와 접근 범위를 함께 점검해야 한다고 지적했다. 외부 통신·인증정보·종료 후 데이터 관리도 점검 대상으로 꼽았다.
AI 에이전트를 샌드박스에서 실행하더라도 네트워크와 인증정보에 폭넓게 접근하도록 허용하면 피해를 막기 어렵다는 지적이 나왔다. Edera의 필드 CTO인 Claude Mandy는 10월 27일 Forbes 기고문에서 실행 환경의 격리 강도와 에이전트가 접근할 수 있는 범위를 함께 점검해야 한다고 강조했다.
Mandy는 전직 CISO이자 Gartner 애널리스트로, 최근에는 Zscaler의 수석 에반젤리스트를 지냈다. 그는 OpenAI가 7월 공개한 사례를 들었다. 평가 중인 모델들이 벤치마크 정답을 찾다가 패키지 설치 프록시를 통해 샌드박스를 벗어나 Hugging Face에 침입했다. 외부 공격자가 개입하지 않아도 에이전트가 의도하지 않은 시스템에 접근할 수 있음을 보여주는 사례로 제시했다.
에이전트의 피해는 실행 환경을 탈출해야만 발생하는 것도 아니다. 웹페이지나 코드 주석에 숨긴 지시가 비밀정보를 읽어 외부로 보내도록 유도하는 프롬프트 인젝션이 한 경로다. 공격자 없이도 작업을 잘못 이해해 엉뚱한 기록을 삭제하거나, 답을 빨리 찾으려고 접근해서는 안 되는 시스템을 이용할 수 있다. 허용된 API와 유효한 토큰을 사용하면 실행 환경이 이를 이상 행위로 포착할 근거가 없을 수 있다. Mandy는 강력한 격리 환경이라도 내부에 관리자 토큰이 있으면 피해 범위가 커진다고 지적했다.
샌드박스는 코드가 더 넓은 시스템에 영향을 미치지 못하도록 엄격하게 격리한 환경을 뜻한다. 그러나 실제로는 네트워크와 데이터에 연결된 비운영 환경까지 같은 이름으로 부른다. 일반 컨테이너는 네임스페이스와 제어 그룹으로 자원과 시스템에 대한 접근을 분리하지만, 같은 노드의 컨테이너들이 호스트 커널을 공유한다. runc의 CVE-2019-5736과 CVE-2024-21626 같은 취약점은 코드가 이 경계를 넘게 했다. seccomp 같은 보안 강화도 커널 자체의 통제에 의존한다.
gVisor는 사용자 공간 커널로 시스템 호출을 가로채고, Firecracker와 Kata Containers는 워크로드를 경량 가상머신으로 감쌀 수 있다. 하이퍼바이저 기반 실행 환경은 각 파드에 별도 커널을 제공할 수 있다. Kubernetes에서는 RuntimeClass를 통해 워크로드별 실행 환경을 선택한다. Mandy는 공급업체에 실제 사용하는 실행 환경과 다른 고객 워크로드와의 커널 공유 여부를 묻고, 침투 테스트나 레드팀 훈련의 탈출 시험 결과와 최근 시험 시점·방법까지 확인하라고 권고했다.
격리를 강화해도 도구용 네트워크, 사용자 인증정보, 저장소·드라이브, MCP 같은 연결 경로는 남는다. Kubernetes에서는 NetworkPolicy로 차단하기 전까지 파드의 외부 통신이 열려 있을 수 있고, 서비스 계정 토큰이 자동 마운트될 수 있다. 클라우드 메타데이터 엔드포인트도 통제하지 않으면 노드 인증정보를 내줄 수 있다. Mandy는 개별적으로는 타당해 보이는 설정들이 합쳐지면 샌드박스를 주요 시스템 전반에 연결한다고 짚었다. 에이전트가 실행되는 노드에서 적용하는 네트워크 규칙은 그 노드의 보안에 의존하지만, 실행 전 경계를 정하고 커널 아래 하이퍼바이저나 별도 게이트웨이에서 강제하면 에이전트가 통제 지점에 접근하기 더 어려워진다.
외부 통신은 기본 차단하고 필요한 소수 대상만 허용하되, 에이전트가 실행되는 장비 밖에서 정책을 적용해야 한다는 게 Mandy의 권고다. 인터넷 접속을 열어두고 로그만 남기면 정보가 나간 뒤 이를 확인하는 데 그친다. 허용된 사이트라도 에이전트가 데이터를 쓸 수 있으면 유출 경로가 된다. 인증정보는 작업별로 범위와 유효기간을 제한한 토큰을 사용해 피해를 줄일 수 있다. 일부 플랫폼처럼 프록시가 전송 중 인증정보를 붙이면 에이전트가 비밀정보를 직접 보유하지 않아도 된다. 다만 프록시가 허용한 기능도 오용할 수 있어 허용 목록을 토큰만큼 엄격하게 점검해야 한다.
종료와 복제 이후 무엇이 남는지도 확인 대상에 포함됐다. 보안 샌드박스는 보통 실행할 때마다 깨끗한 상태에서 시작하지만, 에이전트는 스냅샷으로 장기 작업을 중단·재개하거나 한 지점에서 여러 복제본을 만들어 작업할 수 있다. Mandy는 종료 후 남는 데이터와 복제본이 물려받는 토큰·메모리를 확인하고, 요청하지 않은 행동을 포함한 전체 감사 기록과 신속한 중단 수단을 확보하라고 제안했다. 에이전트가 의도와 다르게 행동할 가능성을 전제로 접근 범위를 따진 뒤, 배포 전에 공급업체와 플랫폼 팀의 답변을 정책이나 계약에 반영해야 한다고 덧붙였다.
