AI 에이전트 샌드박스란? 에이전트를 격리된 환경에서 실행하는 이유와 비용

AI 에이전트 샌드박스는 에이전트가 코드를 실행하고 파일과 네트워크에 접근할 때 그 영향이 정해진 경계 밖으로 번지지 않도록 가두는 실행 환경이에요. 모델이 잘못 판단하거나 악성 문서에 속더라도 피해 범위를 작업 폴더나 일회용 가상 머신 안으로 줄이는 것이 목적이에요. 이 글은 2026년 10월 기준으로 확인한 공식 문서와 공개 자료를 바탕으로 격리 방식 네 가지의 차이와 비용 구조, 고르는 순서를 정리해요. 2026년 10월 12일(미국 시간) 해커뉴스에 올라온 Agent37 출시 글처럼 샌드박스 가격 경쟁이 화제가 된 배경도 함께 살펴봐요.

AI 에이전트 샌드박스가 필요한 이유

챗봇은 글을 돌려주는 데서 끝나지만 에이전트는 셸 명령을 실행하고, 패키지를 설치하고, 파일을 고치고, 외부 API를 호출해요. 그래서 모델의 출력 하나가 곧 실제 시스템 변경으로 이어져요. OWASP의 LLM06 Excessive Agency 항목은 이런 위험의 원인을 과도한 기능, 과도한 권한, 과도한 자율성 세 가지로 나눠요. 계기는 성능이 낮은 모델의 환각일 수도 있고, 사용자나 외부 문서·다른 에이전트가 심어 둔 프롬프트 인젝션일 수도 있어요. 원인이 무엇이든 에이전트가 할 수 있는 일이 넓을수록 사고의 크기도 커져요.

핵심은 모델 자체를 보안 경계로 믿지 않는 것이에요. OWASP는 허용 여부 판단을 LLM에게 맡기지 말고 다운스트림 시스템에서 권한을 검사하라고 권고해요. 샌드박스는 이 원칙을 실행 환경에 적용한 것이에요. 에이전트가 무엇을 하려 하든 운영체제나 가상화 계층이 접근할 수 있는 파일·프로세스·네트워크를 강제로 제한하기 때문에, 모델이 속아도 넘을 수 없는 선이 생겨요.

샌드박스가 막는 것과 막지 못하는 것

샌드박스는 호스트를 보호하지만 안에 넣어 준 비밀까지 보호하지는 않아요. 해커뉴스 토론에서도 구글 계정을 연결하면 에이전트가 그 권한 전체를 쓰게 되고, 샌드박스는 호스트를 지킬 뿐 토큰을 지키지 않는다는 지적이 나왔어요. 실제로 Claude Code 공식 문서를 보면 Bash 샌드박스를 켜도 기본 설정에서는 ~/.ssh나 ~/.aws/credentials를 포함한 대부분의 파일을 읽을 수 있고, Claude Code의 환경 변수와 그 안의 비밀도 그대로 물려받아요. 쓰기는 작업 디렉터리와 임시 폴더로 제한되고 네트워크는 허용 도메인 목록(처음엔 비어 있음)을 거치는 프록시로만 나가요. 즉 경계를 어디에 긋는지는 설정에 달려 있고, 자격 증명은 읽기 금지나 마스킹 설정을 따로 해야 보호돼요.

격리 방식 4가지 비교: OS 제한·컨테이너·gVisor·마이크로VM

에이전트 격리 방식은 경계가 얼마나 두꺼운지에 따라 크게 네 단계로 나눠 볼 수 있어요. 아래로 갈수록 호스트 커널과의 거리가 멀어지고 일반적으로 보안 경계가 강해지지만, 시작 속도·호환성·서버 한 대당 밀도와 같은 다른 조건을 대가로 치러요. 같은 이름의 제품이라도 설정에 따라 실제 경계가 달라질 수 있으니 표는 방식의 일반적인 성격으로 읽어 주세요.

gVisor 공식 문서는 gVisor를 메모리 안전 언어인 Go로 작성한 애플리케이션 커널이라고 설명해요. 애플리케이션의 시스템 콜을 가로채 Sentry가 대신 처리하고, 파일 접근은 Gofer라는 별도 프로세스가 중개해요. 문서는 이 방식이 VM의 보안 이점 상당수를 가지면서도 자원 사용은 프로세스처럼 유연하다고 소개하는 한편, 애플리케이션 호환성이 줄고 시스템 콜마다 오버헤드가 커진다는 대가도 함께 적어 두었어요. 또 기계 수준 가상화는 높은 밀도를 달성하기 어렵고, seccomp 같은 규칙 기반 방식은 미리 알 수 없는 임의 프로그램에 맞는 정책을 정의하기가 매우 어렵다고 비교해요.

Firecracker 공식 사이트에 따르면 Firecracker는 AWS가 Lambda를 위해 만든 Rust 기반 가상 머신 모니터로, Linux KVM으로 마이크로VM을 만들어요. 에뮬레이션 장치를 5개로 줄여 공격 면을 좁혔고, 공식 수치로 125ms 미만 부팅, VM당 5MiB 미만 메모리 오버헤드, 호스트당 초당 최대 150개 생성을 제시해요. 가상화 경계가 뚫리는 경우를 대비해 jailer라는 프로그램이 두 번째 방어선을 둔다는 점도 특징이에요. 다만 이 수치는 공식 테스트 조건 기준이며 내 환경의 실제 콜드 스타트 시간은 이미지 크기와 스냅샷 사용 여부에 따라 달라져요.

보안 강도와 밀도는 맞바꾸는 관계예요

Agent37 창업자는 출시 글에서 gVisor를 고른 이유로 VM마다 메모리를 통째로 예약하지 않고 호스트 메모리를 여러 샌드박스가 나눠 쓸 수 있다는 점을 들었어요. 대신 Docker-in-Docker나 안드로이드 에뮬레이터 같은 작업은 지원하지 않고, 이런 작업용으로 더 비싼 전체 VM 샌드박스를 따로 둔다고 밝혔어요. 댓글에서는 gVisor가 VM보다 경계가 약한데 VM과 가격을 비교하는 것은 공정하지 않다는 반론도 나왔고, 창업자는 네트워킹 등 일부 기능을 제한해 보완한다고 답했어요. 어느 쪽이 맞는지는 위협 모델에 따라 달라요. 내 코드만 돌리는 개인 비서와 모르는 사람이 올린 코드를 실행하는 서비스는 필요한 경계 두께가 달라요.

샌드박스 비용은 어떻게 매겨지나

관리형 샌드박스는 대부분 vCPU·메모리·디스크를 시간 단위로 나눠 과금하고, 잠들거나 멈춘 동안에는 컴퓨트 요금을 멈추고 디스크 요금만 받는 구조예요. Agent37 요금 페이지는 2026년 10월 확인 시점에 730시간 한 달 기준 vCPU당 0.80달러, RAM GB당 0.70달러, 디스크 GB당 0.09달러를 분 단위로 매긴다고 공개했어요. 이 공개 단가로 2 vCPU·4GB RAM·4GB 디스크 샌드박스를 계산하면 다음과 같아요.

출시 글에서 말한 고객당 평균 월 0.37달러는 이처럼 대부분의 시간 동안 잠들어 있는 사용 패턴을 전제로 한 숫자예요. 창업자는 무료 샌드박스의 인프라 비용이 사용자당 월 0.05~0.10달러 수준인데, 이는 밀도 때문이라기보다 무료 사용자의 가동 시간을 주당 약 10시간으로 제한했기 때문이라고 설명했어요. 비용을 낮춘 요인으로는 하이퍼스케일러 대신 Hetzner·OVH 같은 업체에서 서버를 빌린 점, 에이전트가 CPU는 순간적으로만 쓰고 RAM이 병목이라는 점에 맞춰 메모리가 많은 서버를 고른 점을 꼽았어요. 성능(Performance) 등급은 컴퓨트 단가가 4배이고, 모델 토큰·검색·연동 비용은 별도로 과금돼요.

요금 페이지에 실린 31개 업체 비교는 업체가 직접 2026년 10월 1일 기준 공개 단가로 만든 표이며, 페이지 스스로 처리량이 아닌 가격 비교이고 무료 허용량·실제 CPU 사용량·할인에 따라 결과가 달라질 수 있다고 적어 두었어요. 독립 검증된 순위로 받아들이기보다 내 작업량으로 다시 계산하는 출발점으로 쓰는 편이 안전해요.

가격표에 없는 지연과 운영 비용

싼 샌드박스는 대체로 자주 재우고 깨우는 방식으로 비용을 줄이기 때문에 콜드 스타트가 길어질 수 있어요. Agent37 창업자는 자주 깨어나는 샌드박스는 NVMe 디스크에서 1초 미만으로 깨어나지만, 드물게 쓰면 콜드 오브젝트 스토리지에서 불러와 더 느리다고 답했어요. 잠든 샌드박스 안의 크론 작업은 실행되지 않아서 외부에서 깨우는 별도 스케줄 API를 만들어야 했다는 경험도 공유했어요. 실제로 외부 프로젝트를 매일 샌드박스에서 돌린다는 한 사용자는 CPU·RAM보다 네트워크 허용 목록 관리, 비밀이 섞이지 않은 깨끗한 환경 변수, 실행당 시간 제한이 더 큰 시간을 잡아먹었다고 적었어요. 세션 길이 제한과 디스크 보존 정책도 업체마다 다르니 함께 확인해요.

에이전트 격리 환경을 고르는 순서

1. 1

   에이전트가 할 일을 목록으로 적어요

   파일 읽기·쓰기, 셸 실행, 패키지 설치, 브라우저 사용, 외부 API 호출 중 무엇이 필요한지 나열해요. OWASP 권고처럼 필요 없는 도구와 기능은 처음부터 주지 않는 것이 가장 싼 격리예요.

2. 2

   누구의 코드를 돌리는지로 위협 수준을 정해요

   내 저장소에서 내가 요청한 작업만 하는지, 인터넷에서 받은 코드나 고객이 올린 코드를 실행하는지, 여러 고객 작업이 한 서버에 섞이는지에 따라 OS 수준 규칙·컨테이너·gVisor·마이크로VM 중 필요한 경계를 골라요.

3. 3

   네트워크와 자격 증명 경계를 따로 설계해요

   나가는 연결은 허용 도메인 목록으로 제한하고 API 키는 샌드박스 안에 두지 않는 방법을 먼저 검토해요. 프록시가 요청 시점에 실제 키를 주입하거나, 읽기 전용·짧은 수명의 권한을 쓰면 에이전트가 속아도 키 자체가 새지 않아요.

4. 4

   샌드박스가 실패했을 때의 동작을 확인해요

   Claude Code는 샌드박스를 시작하지 못하면 기본적으로 샌드박스 없이 실행하고, 막힌 명령을 샌드박스 밖에서 다시 실행하자고 요청할 수 있어요. 보안 조건으로 쓴다면 failIfUnavailable과 allowUnsandboxedCommands 같은 설정으로 이 우회로를 닫아요.

5. 5

   실제 가동 시간과 메모리로 비용을 계산해요

   한 달 동안 깨어 있는 시간, 최대 메모리, 보존할 디스크 크기를 기록한 뒤 업체 단가로 계산해요. 콜드 스타트 지연과 세션 길이 제한이 내 작업 흐름에 맞는지도 짧은 시험 실행으로 확인해요.

에이전트 샌드박스와 코딩 에이전트 도구는 출시 소식이 빠르게 나오는 분야예요. 더따리의 AI 텔레그램 트렌드와 블로그 트렌드에서 새로 언급되는 에이전트 도구와 보안 이슈 흐름을 모아 볼 수 있어요. 다만 트렌드에 오른 서비스라도 격리 방식과 요금 조건은 공식 문서에서 직접 확인해요.

페이지 참고

트렌드theddari.com›트렌드텔레그램 · AIAI 채널 실시간 포스팅 피드

페이지 참고

트렌드theddari.com›트렌드블로그 포스팅요약된 네이버 블로그 글 피드

정리: 경계의 두께는 위협에, 비용은 가동 시간에 맞춰요

AI 에이전트 샌드박스는 모델이 틀리거나 속는 상황을 전제로 피해 범위를 미리 정해 두는 장치예요. 내 코드만 다루는 개인 작업이라면 OS 수준 샌드박스나 컨테이너로 시작하고, 외부 코드나 여러 고객의 작업을 다룬다면 gVisor나 마이크로VM처럼 더 두꺼운 경계를 검토해요. 어떤 방식이든 자격 증명과 네트워크 경계를 따로 설계하지 않으면 안에 넣어 준 키는 보호되지 않아요. 비용은 단가보다 깨어 있는 시간과 메모리 크기가 좌우하므로, 업체 비교표를 그대로 믿기보다 내 사용 패턴으로 다시 계산하고 콜드 스타트와 호환성 제약까지 확인한 뒤 고르는 것이 좋아요.