AI 에이전트 안전하게 배포하기

​

위협 모델

​

기본 제공 보안 기능

• 권한 시스템: 모든 도구 및 bash 명령을 허용, 차단 또는 사용자 승인 요청으로 구성할 수 있습니다. glob 패턴을 사용하여 “모든 npm 명령 허용” 또는 “sudo가 있는 모든 명령 차단”과 같은 규칙을 만듭니다. 조직은 모든 사용자에게 적용되는 정책을 설정할 수 있습니다. 권한을 참조하십시오.
• 권한을 위한 명령 파싱: bash 명령을 실행하기 전에 Claude Code는 이를 AST로 파싱하고 결과를 권한 규칙과 비교합니다. 깔끔하게 파싱할 수 없거나 허용 규칙과 일치하지 않는 명령은 명시적 승인이 필요합니다. eval과 같은 작은 구성 집합은 허용 규칙에 관계없이 항상 승인이 필요합니다. 이는 권한 게이트이지 샌드박스가 아닙니다. 대상 경로나 효과에서 명령이 위험한지 여부를 추론하지 않습니다.
• 웹 검색 요약: 검색 결과는 원본 콘텐츠를 컨텍스트에 직접 전달하는 대신 요약되어 악성 웹 콘텐츠로부터의 프롬프트 주입 위험을 줄입니다.
• 샌드박스 모드: Bash 명령은 파일 시스템 및 네트워크 접근을 제한하는 샌드박스 환경에서 실행될 수 있습니다. 자세한 내용은 샌드박싱 설명서를 참조하십시오.

​

보안 원칙

​

보안 경계

​

최소 권한

​

심층 방어

• 컨테이너 격리
• 네트워크 제한
• 파일 시스템 제어
• 프록시에서의 요청 검증

​

격리 기술

​

샌드박스 런타임

• 파일 시스템: OS 기본 요소(bubblewrap on Linux, sandbox-exec on macOS)를 사용하여 구성된 경로에 대한 읽기/쓰기 접근을 제한합니다
• 네트워크: 네트워크 네임스페이스(Linux)를 제거하거나 Seatbelt 프로필(macOS)을 사용하여 네트워크 트래픽을 기본 제공 프록시를 통해 라우팅합니다
• 구성: 도메인 및 파일 시스템 경로에 대한 JSON 기반 허용 목록

npm install @anthropic-ai/sandbox-runtime

1. 동일 호스트 커널: VM과 달리 샌드박스 프로세스는 호스트 커널을 공유합니다. 커널 취약점은 이론적으로 탈출을 가능하게 할 수 있습니다. 일부 위협 모델의 경우 이는 허용되지만, 커널 수준 격리가 필요한 경우 gVisor 또는 별도의 VM을 사용하십시오.
2. TLS 검사 없음: 프록시는 클라이언트가 제공한 호스트명을 기반으로 도메인을 허용 목록에 추가하며 암호화된 트래픽을 종료하거나 검사하지 않습니다. 샌드박스 내부에서 실행되는 코드는 잠재적으로 도메인 프론팅 또는 유사한 기술을 사용하여 허용 목록 외부의 호스트에 도달할 수 있습니다. 위협 모델이 더 강력한 보장을 요구하는 경우, TLS 종료 프록시를 구성하십시오. 자세한 내용은 샌드박싱 보안 제한사항을 참조하십시오. 별도로, 에이전트가 허용된 도메인에 대한 허용 자격증명을 가지고 있는 경우, 해당 도메인을 사용하여 다른 네트워크 요청을 트리거하거나 데이터를 유출할 수 없도록 하십시오.

​

컨테이너

docker run \
  --cap-drop ALL \
  --security-opt no-new-privileges \
  --security-opt seccomp=/path/to/seccomp-profile.json \
  --read-only \
  --tmpfs /tmp:rw,noexec,nosuid,size=100m \
  --tmpfs /home/agent:rw,noexec,nosuid,size=500m \
  --network none \
  --memory 2g \
  --cpus 2 \
  --pids-limit 100 \
  --user 1000:1000 \
  -v /path/to/code:/workspace:ro \
  -v /var/run/proxy.sock:/var/run/proxy.sock:ro \
  agent-image

​

gVisor

// /etc/docker/daemon.json
{
  "runtimes": {
    "runsc": {
      "path": "/usr/local/bin/runsc"
    }
  }
}

docker run --runtime=runsc agent-image

​

가상 머신

​

클라우드 배포

1. 에이전트 컨테이너를 인터넷 게이트웨이가 없는 프라이빗 서브넷에서 실행합니다
2. 클라우드 방화벽 규칙(AWS 보안 그룹, GCP VPC 방화벽)을 구성하여 프록시를 제외한 모든 송신을 차단합니다
3. 요청을 검증하고, 도메인 허용 목록을 적용하며, 자격증명을 주입하고, 외부 API로 전달하는 프록시(예: credential_injector 필터가 있는 Envoy)를 실행합니다
4. 에이전트의 서비스 계정에 최소 IAM 권한을 할당하여 가능한 경우 민감한 접근을 프록시를 통해 라우팅합니다
5. 감사 목적으로 프록시에서 모든 트래픽을 기록합니다

​

자격증명 관리

​

프록시 패턴

1. 에이전트는 실제 자격증명을 볼 수 없습니다
2. 프록시는 허용된 엔드포인트의 허용 목록을 적용할 수 있습니다
3. 프록시는 감사를 위해 모든 요청을 기록할 수 있습니다
4. 자격증명은 각 에이전트에 분산되는 대신 하나의 안전한 위치에 저장됩니다

​

Claude Code를 프록시를 사용하도록 구성

export ANTHROPIC_BASE_URL="http://localhost:8080"

export HTTP_PROXY="http://localhost:8080"
export HTTPS_PROXY="http://localhost:8080"

​

프록시 구현

• Envoy Proxy: 인증 헤더를 추가하기 위한 credential_injector 필터가 있는 프로덕션 등급 프록시
• mitmproxy: HTTPS 트래픽을 검사하고 수정하기 위한 TLS 종료 프록시
• Squid: 접근 제어 목록이 있는 캐싱 프록시
• LiteLLM: 자격증명 주입 및 속도 제한이 있는 LLM 게이트웨이

​

다른 서비스를 위한 자격증명

​

사용자 정의 도구

• TLS 검사 없음: 외부 서비스는 인증된 요청을 직접 만듭니다
• 자격증명이 외부에 유지됨: 에이전트는 기본 자격증명이 아닌 도구 인터페이스만 봅니다

​

트래픽 전달

1. 에이전트의 컨테이너 외부에서 프록시를 실행합니다
2. 프록시의 CA 인증서를 에이전트의 신뢰 저장소에 설치합니다(에이전트가 프록시의 인증서를 신뢰하도록)
3. HTTP_PROXY/HTTPS_PROXY를 구성하여 트래픽을 프록시를 통해 라우팅합니다

​

파일 시스템 구성

​

읽기 전용 코드 마운트

docker run -v /path/to/code:/workspace:ro agent-image

​

쓰기 가능한 위치

docker run \
  --read-only \
  --tmpfs /tmp:rw,noexec,nosuid,size=100m \
  --tmpfs /workspace:rw,noexec,size=500m \
  agent-image

​

추가 읽기

• Claude Code 보안 설명서
• Agent SDK 호스팅
• 권한 처리
• 샌드박스 런타임
• AI 에이전트를 위한 치명적인 삼중주
• OWASP Top 10 for LLM Applications
• Docker 보안 모범 사례
• gVisor 설명서
• Firecracker 설명서