샌드박싱

​

개요

​

샌드박싱이 중요한 이유

• 승인 피로: “승인” 버튼을 반복적으로 클릭하면 사용자가 승인하는 내용에 덜 주의를 기울이게 될 수 있습니다
• 생산성 감소: 지속적인 중단으로 인해 개발 워크플로우가 느려집니다
• 제한된 자율성: Claude Code는 승인을 기다릴 때 효율적으로 작업할 수 없습니다

1. 명확한 경계 정의: Claude Code가 액세스할 수 있는 정확한 디렉토리 및 네트워크 호스트를 지정합니다
2. 권한 프롬프트 감소: 샌드박스 내의 안전한 명령은 승인이 필요하지 않습니다
3. 보안 유지: 샌드박스 외부의 리소스에 액세스하려는 시도는 즉시 알림을 트리거합니다
4. 자율성 활성화: Claude Code는 정의된 제한 내에서 더 독립적으로 실행할 수 있습니다

​

작동 방식

​

파일시스템 격리

• 기본 쓰기 동작: 현재 작업 디렉토리 및 그 하위 디렉토리에 대한 읽기 및 쓰기 액세스
• 기본 읽기 동작: 특정 거부된 디렉토리를 제외한 전체 컴퓨터에 대한 읽기 액세스
• 차단된 액세스: 명시적 권한 없이 현재 작업 디렉토리 외부의 파일을 수정할 수 없습니다
• 구성 가능: 설정을 통해 사용자 정의 허용 및 거부 경로를 정의합니다

​

네트워크 격리

• 도메인 제한: 승인된 도메인만 액세스할 수 있습니다
• 사용자 확인: 새 도메인 요청은 권한 프롬프트를 트리거합니다(allowManagedDomainsOnly가 활성화된 경우 제외, 이는 허용되지 않은 도메인을 자동으로 차단합니다)
• 사용자 정의 프록시 지원: 고급 사용자는 나가는 트래픽에 대한 사용자 정의 규칙을 구현할 수 있습니다
• 포괄적 범위: 제한은 명령으로 생성된 모든 스크립트, 프로그램 및 하위 프로세스에 적용됩니다

​

OS 수준 적용

• macOS: 샌드박스 적용을 위해 Seatbelt를 사용합니다
• Linux: 격리를 위해 bubblewrap을 사용합니다
• WSL2: Linux와 동일하게 bubblewrap을 사용합니다

​

시작하기

​

필수 조건

sudo apt-get install bubblewrap socat

sudo dnf install bubblewrap socat

​

샌드박싱 활성화

/sandbox

​

샌드박스 모드

​

샌드박싱 구성

​

특정 경로에 대한 하위 프로세스 쓰기 액세스 부여

{
  "sandbox": {
    "enabled": true,
    "filesystem": {
      "allowWrite": ["~/.kube", "/tmp/build"]
    }
  }
}

{
  "sandbox": {
    "enabled": true,
    "filesystem": {
      "denyRead": ["~/"],
      "allowRead": ["."]
    }
  }
}

​

보안 이점

​

프롬프트 주입으로부터의 보호

• ~/.bashrc와 같은 중요한 구성 파일을 수정할 수 없습니다
• /bin/의 시스템 수준 파일을 수정할 수 없습니다
• Claude 권한 설정에서 거부된 파일을 읽을 수 없습니다

• 공격자가 제어하는 서버로 데이터를 유출할 수 없습니다
• 승인되지 않은 도메인에서 악성 스크립트를 다운로드할 수 없습니다
• 승인되지 않은 서비스에 예상치 못한 API 호출을 할 수 없습니다
• 명시적으로 허용된 도메인이 아닌 다른 도메인에 연락할 수 없습니다

• 샌드박스 외부의 모든 액세스 시도는 OS 수준에서 차단됩니다
• 경계가 테스트될 때 즉시 알림을 받습니다
• 요청을 거부하거나, 한 번만 허용하거나, 구성을 영구적으로 업데이트하도록 선택할 수 있습니다

​

공격 표면 감소

• 악성 종속성: 해로운 코드가 있는 NPM 패키지 또는 기타 종속성
• 손상된 스크립트: 보안 취약점이 있는 빌드 스크립트 또는 도구
• 사회 공학: 사용자를 속여 위험한 명령을 실행하도록 하는 공격
• 프롬프트 주입: Claude를 속여 위험한 명령을 실행하도록 하는 공격

​

투명한 작동

1. 작업이 OS 수준에서 차단됩니다
2. 즉시 알림을 받습니다
3. 다음을 선택할 수 있습니다:
   • 요청 거부
   • 한 번만 허용
   • 샌드박스 구성을 업데이트하여 영구적으로 허용

​

보안 제한 사항

• 네트워크 샌드박싱 제한: 네트워크 필터링 시스템은 프로세스가 연결할 수 있는 도메인을 제한하여 작동합니다. 프록시를 통과하는 트래픽을 검사하지 않으며 사용자는 정책에서 신뢰할 수 있는 도메인만 허용하도록 해야 합니다.

• Unix 소켓을 통한 권한 상승: allowUnixSockets 구성은 실수로 샌드박스 우회로 이어질 수 있는 강력한 시스템 서비스에 대한 액세스를 부여할 수 있습니다. 예를 들어 /var/run/docker.sock에 대한 액세스를 허용하는 데 사용되면 docker 소켓을 악용하여 호스트 시스템에 대한 액세스를 효과적으로 부여합니다. 사용자는 샌드박스를 통해 허용하는 모든 unix 소켓을 신중하게 고려하도록 권장됩니다.
• 파일시스템 권한 상승: 과도하게 광범위한 파일시스템 쓰기 권한은 권한 상승 공격을 가능하게 할 수 있습니다. $PATH의 실행 파일을 포함하는 디렉토리, 시스템 구성 디렉토리 또는 사용자 셸 구성 파일(.bashrc, .zshrc)에 대한 쓰기를 허용하면 다른 사용자 또는 시스템 프로세스가 이러한 파일에 액세스할 때 다른 보안 컨텍스트에서 코드 실행으로 이어질 수 있습니다.
• Linux 샌드박스 강도: Linux 구현은 강력한 파일시스템 및 네트워크 격리를 제공하지만 권한 있는 네임스페이스 없이 Docker 환경 내에서 작동할 수 있도록 하는 enableWeakerNestedSandbox 모드를 포함합니다. 이 옵션은 보안을 상당히 약화시키며 추가 격리가 다른 방식으로 적용되는 경우에만 사용해야 합니다.

​

샌드박싱이 권한과 어떻게 관련되는지

• 권한은 Claude Code가 사용할 수 있는 도구를 제어하며 도구가 실행되기 전에 평가됩니다. 이들은 모든 도구에 적용됩니다: Bash, Read, Edit, WebFetch, MCP 등.
• 샌드박싱은 Bash 명령이 파일시스템 및 네트워크 수준에서 액세스할 수 있는 것을 제한하는 OS 수준의 적용을 제공합니다. Bash 명령 및 그 자식 프로세스에만 적용됩니다.

• sandbox.filesystem.allowWrite를 사용하여 작업 디렉토리 외부의 경로에 대한 하위 프로세스 쓰기 액세스를 부여합니다
• sandbox.filesystem.denyWrite 및 sandbox.filesystem.denyRead를 사용하여 특정 경로에 대한 하위 프로세스 액세스를 차단합니다
• sandbox.filesystem.allowRead를 사용하여 denyRead 영역 내의 특정 경로 읽기를 다시 허용합니다
• Read 및 Edit 거부 규칙을 사용하여 특정 파일 또는 디렉토리에 대한 액세스를 차단합니다
• WebFetch 허용/거부 규칙을 사용하여 도메인 액세스를 제어합니다
• 샌드박스 allowedDomains를 사용하여 Bash 명령이 도달할 수 있는 도메인을 제어합니다

​

고급 사용

​

사용자 정의 프록시 구성

• HTTPS 트래픽 복호화 및 검사
• 사용자 정의 필터링 규칙 적용
• 모든 네트워크 요청 로깅
• 기존 보안 인프라와 통합

{
  "sandbox": {
    "network": {
      "httpProxyPort": 8080,
      "socksProxyPort": 8081
    }
  }
}

​

기존 보안 도구와의 통합

• 권한 규칙: 권한 설정과 결합하여 심층 방어를 수행합니다
• 개발 컨테이너: devcontainers와 함께 사용하여 추가 격리를 수행합니다
• 엔터프라이즈 정책: 관리 설정을 통해 샌드박스 구성을 적용합니다

​

모범 사례

1. 제한적으로 시작: 최소 권한으로 시작하여 필요에 따라 확장합니다
2. 로그 모니터링: 샌드박스 위반 시도를 검토하여 Claude Code의 필요 사항을 이해합니다
3. 환경별 구성 사용: 개발 및 프로덕션 컨텍스트에 대해 다른 샌드박스 규칙을 사용합니다
4. 권한과 결합: 포괄적인 보안을 위해 샌드박싱을 IAM 정책과 함께 사용합니다
5. 구성 테스트: 샌드박스 설정이 합법적인 워크플로우를 차단하지 않는지 확인합니다

​

오픈 소스

npx @anthropic-ai/sandbox-runtime <command-to-sandbox>

​

제한 사항

• 성능 오버헤드: 최소이지만 일부 파일시스템 작업이 약간 더 느릴 수 있습니다
• 호환성: 특정 시스템 액세스 패턴이 필요한 일부 도구는 구성 조정이 필요할 수 있으며 샌드박스 외부에서 실행해야 할 수도 있습니다
• 플랫폼 지원: macOS, Linux 및 WSL2를 지원합니다. WSL1은 지원되지 않습니다. 기본 Windows 지원이 계획되어 있습니다.

​

샌드박싱이 다루지 않는 것

• 기본 제공 파일 도구: Read, Edit 및 Write는 샌드박스를 통해 실행되지 않고 권한 시스템을 직접 사용합니다. 권한을 참조하세요.
• Desktop의 컴퓨터 사용: Claude가 macOS에서 앱을 열고 화면을 제어할 때 격리된 환경이 아닌 실제 데스크톱에서 실행됩니다. 앱별 권한 프롬프트가 각 애플리케이션을 제어합니다. 컴퓨터 사용을 참조하세요.

​

참고 항목

• 보안 - 포괄적인 보안 기능 및 모범 사례
• 권한 - 권한 구성 및 액세스 제어
• 설정 - 전체 구성 참조
• CLI 참조 - 명령줄 옵션