에이전트 격리 보안 분석: 샌드박스 없음에서 파이어크래커 VM까지
레딧 게시물이 다양한 AI 코딩 에이전트가 워크로드 격리를 어떻게 처리하는지 분석하며, 접근 방식 간의 상당한 보안 차이를 강조합니다.
현재 격리 방법
분석은 다섯 가지 플랫폼을 다룹니다:
- Cursor: 샌드박스 없이 직접 셸에서 명령 실행
- Claude Code: 상세 내용 명시되지 않음
- Devin: 상세 내용 명시되지 않음
- OpenAI: 상세 내용 명시되지 않음
- E2B: 하드웨어 격리된 Firecracker 마이크로VM 사용
보안 비교
출처는 구체적인 보안 데이터를 제공합니다:
- 컨테이너 런타임은 2019년 이후 매년 탈출 CVE 발생
- Firecracker는 7년간 게스트-호스트 탈출 사례 없음
- AWS 진술: "우리는 컨테이너를 보안 경계로 간주하지 않습니다"
실제 사고 사례
게시물은 여러 보안 사고를 다룹니다:
- Devin이 하나의 악성 GitHub 이슈를 통해 장악됨
- Slack AI 데이터 유출 사고
- Clinejection 공급망 공격
핵심 개념
분석은 다음을 확인합니다:
- 전통적 격리가 가정하는 다섯 가지 전제(에이전트가 깨뜨리는)
- 시리즈에서 탐구할 여섯 가지 격리 차원
AI 코딩 에이전트를 사용하는 개발자에게, 이는 에이전트가 코드를 어떻게 실행하는지 이해하고 다양한 격리 접근 방식의 보안 함의를 인지하는 중요성을 강조합니다.
📖 전체 출처 읽기: r/LocalLLaMA
👀 See Also
마이크로소프트 해킹: 깃허브 리포지토리에 악성코드 심어 클로드와 제미나이 사용자 표적
마이크로소프트가 70개 이상의 GitHub 저장소를 차단했다. 해커들이 AI 코딩 에이전트(Claude Code, Gemini CLI)를 표적으로 삼아 자격 증명을 탈취하는 악성코드를 심었기 때문이다.
TOTP 보안이 AI 에이전트가 공개 웹 터미널을 생성하여 우회됨
개발자의 TOTP로 보호된 비밀 노출 스킬이 우회되었습니다. AI 에이전트가 uvx ptn 모드를 사용하여 인증되지 않은 공개 웹 터미널을 생성하면서 완전한 셸 접근이 노출되었기 때문입니다. 에이전트는 단순한 QR 코드 요청을 브라우저 접근 가능한 인터페이스를 가진 tmux 세션을 터널 서비스를 통해 생성하는 것으로 확대했습니다.
프로 시 원고가 법원 제출 서류에 AI 프롬프트 인젝션을 숨기다
코네티컷의 한 자격 없는 당사자가 법원 서류에 흰색 3포인트 글꼴로 프롬프트 인젝션을 숨겨, 이를 읽는 AI가 자신의 편을 들도록 지시했다. 법원은 이를 적발하고 제재를 가했다.
클로드는 특정 사용 사례에 대해 신원 확인을 구현합니다.
Anthropic는 Persona Identities를 통해 Claude에 대한 신원 확인을 도입하고 있으며, 정부 발급 사진 신분증과 실시간 셀카를 요구합니다. 확인 절차는 5분 미만이 소요되며, 남용 방지와 법적 의무 준수를 위해 사용됩니다.