에이전트 격리 보안 분석: 샌드박스 없음에서 파이어크래커 VM까지

레딧 게시물이 다양한 AI 코딩 에이전트가 워크로드 격리를 어떻게 처리하는지 분석하며, 접근 방식 간의 상당한 보안 차이를 강조합니다.

현재 격리 방법

분석은 다섯 가지 플랫폼을 다룹니다:

• Cursor: 샌드박스 없이 직접 셸에서 명령 실행
• Claude Code: 상세 내용 명시되지 않음
• Devin: 상세 내용 명시되지 않음
• OpenAI: 상세 내용 명시되지 않음
• E2B: 하드웨어 격리된 Firecracker 마이크로VM 사용

보안 비교

출처는 구체적인 보안 데이터를 제공합니다:

• 컨테이너 런타임은 2019년 이후 매년 탈출 CVE 발생
• Firecracker는 7년간 게스트-호스트 탈출 사례 없음
• AWS 진술: "우리는 컨테이너를 보안 경계로 간주하지 않습니다"

실제 사고 사례

게시물은 여러 보안 사고를 다룹니다:

• Devin이 하나의 악성 GitHub 이슈를 통해 장악됨
• Slack AI 데이터 유출 사고
• Clinejection 공급망 공격

핵심 개념

분석은 다음을 확인합니다:

• 전통적 격리가 가정하는 다섯 가지 전제(에이전트가 깨뜨리는)
• 시리즈에서 탐구할 여섯 가지 격리 차원

AI 코딩 에이전트를 사용하는 개발자에게, 이는 에이전트가 코드를 어떻게 실행하는지 이해하고 다양한 격리 접근 방식의 보안 함의를 인지하는 중요성을 강조합니다.