WebAssembly로 AI 에이전트 샌드박싱하기: 기본적으로 제로 권한

현재 HN에서 트렌드인 코스모닉의 글은 기존 리눅스 샌드박싱 메커니즘 — seccomp, seatbelt, bubblewrap — 이 근본적으로 에이전트 AI 워크로드에 부적합하다는 강력한 논지를 펼칩니다. 핵심 문제는 내재된 권한(ambient authority)입니다.

내재된 권한 문제

모든 현대 런타임은 프로세스에 환경이 제공하는 모든 권한(파일시스템, 네트워크, 사용자의 git 자격 증명, ENV의 AWS API 키 등)을 부여합니다. 프로세스는 이를 요청한 적이 없습니다. 결정론적인 사람이 작성한 바이너리의 경우 감사로 이 위험을 관리할 수 있을지 모릅니다. 하지만 LLM 에이전트와 비결정론적 워크플로는 개발자의 전체 신원과 기능을 상속받아 '참을 수 없는 공격 표면'을 만듭니다.

저자는 이를 지도 제작자의 딜레마라고 부릅니다: 유출 경로의 변화무쌍한 해안선을 매핑하려는 시도이며, LLM은 모든 매핑되지 않은 만을 찾아낼 것입니다.

WebAssembly의 역량 모델

코스모닉은 WebAssembly와 WASI를 대안으로 제시합니다. Wasm 컴포넌트는 권한이 전혀 없는 상태에서 시작합니다: 파일시스템, 네트워크, 시스템 콜, 환경 변수가 없습니다. 모든 역량은 컴포넌트 인터페이스에서 타입 임포트여야 합니다. 이는 Mark Miller의 객체-역량 모델을 런타임으로 구현한 것으로, 참조 자체가 권한입니다.

주요 시사점:

• 가상화된 부여: 파일시스템 역량이 /etc를 넘겨주지 않습니다. 대신 임시 저장소, 세션별 블롭, 데이터베이스 등 모든 저장소가 지원하는 인터페이스를 제공합니다. 컴포넌트는 추상화를 벗어날 수 없습니다.
• 조합 가능한 역량: '네트워크'를 임포트하는 대신, 컴포넌트는 허용된 트래픽 형태를 가진 wasi:http 또는 특정 버킷이 있는 wasi:keyvalue를 임포트합니다. 모든 역량은 이름이 지정되고, 범위가 제한되며, 검토 가능합니다.

이로 인해 보안 모델이 '기본 허용, 예외 제한'에서 '기본 거부, 명시적 부여'로 전환됩니다. 저자는 이것이 AI 에이전트 보안의 유일한 건전한 기반이라고 주장합니다.