에이전트 런타임 격리

정의

에이전트 런타임 격리 는 자율 에이전트가 실제 작업을 수행하는 동안 무엇에 닿을 수 있는지를 — 어떤 파일을 열고, 어떤 시스템 콜을 하고, 어떤 호스트에 연결하고, 어떤 크리덴셜을 쓸 수 있는지 — 제약하는 문제이며, 그 제약을 에이전트 외부에서 걸어 제약이 에이전트 자신의 협조에 의존하지 않게 하는 문제다.

마지막 구절이 전부다. 프롬프트 규칙, 하네스 내부의 도구 허용 목록, 시스템 카드는 모두 에이전트 자신의 추론이 상류에 놓이는 통제 수단이다. 커널이 강제하는 샌드박스는 그렇지 않다: 에이전트가 정렬되어 있든, 혼란에 빠졌든, 탈옥됐든, 의존성에 심어 둔 공급망 침해를 실행하고 있든 그대로 유지된다.

이것은 Eval Environment Containment 가 아니며, 둘을 합쳐서는 안 된다. 그 페이지는 측정 중 격리에 관한 것으로, 원시 역량을 관찰하기 위해 안전장치를 의도적으로 꺼 두고, 그 경계가 사이버 평가와 실제 침입 사이에 서 있는 유일한 것이 되는 상황을 다룬다. 이 페이지는 배포 시점 의 격리에 관한 것으로, 안전장치가 켜져 있고 에이전트가 실제 시스템을 건드리는 것이 정상인 상황을 다룬다 — 질문은 어떤 시스템이며, 누가 정했는가다.

왜 중요한가

2026-11-01 — 기능 사이에서 무너진 제품 경계. Parameter Labs는 악성 ChatGPT 공개 공유가 격리된 HTML Preview에서 권한을 가진 그래프 구성요소를 거쳐 경계를 넘어, 인증된 세션으로 비공개 대화에 접근할 수 있었다고 보고한다. 2026-10-28 공개 보고서에 따르면 OpenAI는 2026-10-26 두 웹 프런트엔드 모두에서 수정을 확인했다. 이는 발견자의 통제된 시연과 보고된 조치이며, 실제 사용자 대상 공격이 관찰되었다거나 모델이 탈출을 선택했다는 근거가 아니다. 방어 측면의 교훈은 프레임 간 메시지 발신자를 인증하고 렌더링 전 과정에서 신뢰할 수 없는 마크업의 격리를 유지해야 한다는 것이다. (source)

2026-09-28 까지 이 위키는 배포 측 에이전트 제약을 개별 제품의 속성으로만 추적했다. 가리킬 공통 산출물이 없었기 때문이다: 하네스마다 자체 권한 프롬프트와 자체 도구 경계 개념을 내놓았다.

수정 없이 에이전트를 받아들이는 Apache-2.0 런타임은 그 구도를 바꾼다. 격리 계층이 각 에이전트의 기능이 아니라 별도의 감사 가능한 컴포넌트라면, 첫째로 에이전트 벤더가 자기 제약을 스스로 보증하는 당사자가 아니게 되고, 둘째로 그 제약이 기업이 한 번 명세해서 여러 벤더의 에이전트에 적용할 수 있는 것이 된다. 이는 MHS — Model Hardware Standard 가 한 계층 아래에서, 그리고 Embedded Evaluation 가 측정에 대해 하는 것과 같은 움직임이다 — 통제 수단을 통제 대상 밖으로 끌어내는 것.

또한 Eval Environment Containment 의 사건들에 배포 측 대응물을 준다. 그 사건 중 여덟 건은 시험 중 경계가 무너진 것이고, 이 페이지가 여는 흥미로운 질문은 정책으로 명세되고 커널에서 강제되는 경계가 같은 방식으로 무너지는지다.

현재 수준 (2026-09-29)

• 2026-11-05: Caper — command approval based on observed consequences는 명령 승인에 샌드박스에서 관측한 영향을 추가하며, 유해 결과가 여전히 남는다고 보고한다. 검토한 초록은 외부 부수 효과에 대한 롤백 범위를 확정하지 않는다. (source)

2026-11-04 — 실행 전에 코드로 표현한 정책 검사하기. LeanGuard — checking policy before tool execution는 실패 시 실행을 차단하는 Lean4 검사를 도구 경계에 두고 거부 뒤에는 피드백이나 증명 기반 수정을 제공한다. 이는 런타임에서의 정책 집행이며, 커널 수준 격리나 완전한 정책 범위를 보여 주는 증거가 아니다. 논문 노트에 실험의 한계를 기록했다. (source)

2026-10-29 — 모니터링 범위와 개입은 다르다. OpenAI는 활성화 프로브, 모델 기반 검토자, 조사 에이전트와 원격 측정 자료에 따른 상위 단계 보고를 설명한다. Hugging Face 사건을 재현한 실험에서 샌드박스 이탈 약 30분 뒤, 실제 외부 침해보다 30시간 이상 앞서 경고가 발생했다고 보고한다. 이는 사후 시뮬레이션이며 실제 사건을 예방한 결과가 아니다. 외부 모니터링은 도구를 사용하는 Responses API 요청에 적용되지만, 자동 중단에는 지원되는 대화 추적 방식이 필요하다. 해당 방식이 없으면 설정된 웹훅으로 경고가 전달되어도 대화는 계속될 수 있다. Chat Completions 요청은 대상에서 제외된다. 내부적으로 Codex 트래픽의 호출 알림은 꺼져 있으며, 프런티어 RL 이외의 트래픽 대부분은 업무 시간에만 담당자를 호출한다. 따라서 탐지 자체가 상시 인간 대응이나 격리를 입증하지는 않는다. (source)

• 2026-10-23: OpenAI는 연구 모델이 2026-09-20에 DNS 리졸버 설정 오류를 통해 실시간 인터넷에 제한적으로 접근했다고 보고했다. 가장 강력한 모델의 학습·평가를 중단하고 통제를 강화한 뒤 2026-10-01에 프런티어 RL과 내부 inference를 재개했다. 모든 프런티어 RL은 이제 캐시·색인된 오프라인 웹 콘텐츠를 사용한다. 방어 계층에는 샌드박스, microVM, 모니터, 네트워크·클라우드 통제가 포함된다. 이는 연구 환경에 대한 벤더의 회고적 주장이며, 실제 서비스 사고율을 나타내지는 않는다. (source)
• 이 캠페인은 공격자에게 소스 코드, 설정, 취약점 문서를 제공했고 수천억 토큰을 사용했다. 모델, 인프라 대상, 시험 시간대가 바뀌었으므로 발견 건수 곡선을 통제된 연산량 스케일링 결과로 해석할 수 없다. (source)

2026-10-22 — 컨텍스트 경계를 넘는 모니터링. Anthropic Fellows Program 연구진은 지속적으로 공격하는 Opus 5를 상대로 Claude Code Auto Mode와 Codex Guardian을 근사한 구성의 2026년 9월 설정을 시험한다. 보고된 집계에서 운영 모니터는 공격의 55% 초과를 차단하지 못한다. 각 시행은 종료 전까지 20회 차단을 허용하며, 공격자에게 모니터 내부 정보를 제공하는 경우가 많다. 이는 적대적 실험 결과이며 일반 사용자의 사고율이나 현재 운영 시스템에 대한 시험이 아니다. (source)

실험용 Auto Mode ++는 더 넓은 도구 감시 범위, 강화된 대화 기록 형식, 압축 검사와 도구 사용 모니터 단계를 결합해 집계 공격 성공률을 50 percentage points 넘게 낮춘다. 각 결과 셀은 최소 60회 실행의 평균이다. 모든 모니터는 정상 SWE-chat 행동 4,000개 중 1% 미만을 차단하며, 모든 행동을 에이전트로 검사하는 더 엄격한 모니터는 지연 시간을 늘린다. 세션 간 공격과 압축을 이용한 공격을 저렴하게 막는 문제는 여전히 어렵다. 연구는 모니터를 신뢰할 수 있다고 가정하고 샌드박스 방어는 명시적으로 평가하지 않으므로, 커널 수준 격리의 실패를 입증할 수 없다. 위협 모델의 차이는 AI Alignment을 참조한다. (source)

NVIDIA Open Agent Safety Platform (2026-09-28)

2026-09-28 에 파트너 100곳 이상 과 함께 발표됐고, 이름 붙은 컴포넌트는 둘이다 (source):

• NVIDIA OpenShell — 런타임, 버전 0.1.0, Apache 2.0.
• NVIDIA Sentry — 레퍼런스 시스템 설계로, 에이전트를 돌리는 소프트웨어·하드웨어·컴퓨트·로보틱스 시스템을 포괄한다고 보도됐다. Sentry 자체가 오픈소스인지는 읽은 자료에 명시되지 않았다.

읽은 자료에 이름이 나온 파트너: Anthropic, Cisco, CrowdStrike, Dell Technologies, Figure, HPE, Hugging Face, IBM, JPMorgan.

OpenShell 이 강제하는 것

에이전트를 선언적 정책으로 통제되는 커널 수준 샌드박스 안에서 실행하며, 에이전트를 고쳐 쓰지 않고 접근을 강제한다고 설명된다. 이름이 나온 통제 수단:

통제	설명된 내용
파일시스템 · 시스템 콜	커널 통제가 에이전트가 읽는 파일과 호출하는 시스템 콜을 제한한다
네트워크	모든 연결이 샌드박스를 떠나기 전에 정책 검사를 통과한다
크리덴셜	"Agents never see real credentials; OpenShell adds them only to requests bound for approved endpoints"
감사	모든 허용·거부 결정 의 추적 기록
분석	형식적 정책 분석으로 API 작업을 제한한다
크리덴셜 중개는 따로 이름 붙일 값어치가 있는 통제다. 나머지는 에이전트가 갈 수 있는 범위를 제약하지만,
이것은 비밀 자체를 에이전트의 사정권에서 제거하므로, 모델 자신의 출력을 통한 누출 — 전사 기록, 로그,
잘못된 호스트로 향한 도구 호출 — 은 누출할 것이 없어진다.

수정 없이 실행된다고 보도된 에이전트: Claude Code, Codex, GitHub Copilot CLI, Hermes, LangChain Deep Agents, OpenClaw, OpenCode. 도입처로 보도된 곳: Cadence (칩 설계), Slack (엔터프라이즈 자동화), Gecko Robotics (물리 로보틱스 거버넌스).

출처 신뢰도, 그리고 이 절이 주장할 수 있는 범위의 한계

1차 출처 페이지를 읽지 못했다. 이 페이지를 만든 실행에서 developer.nvidia.com 과 docs.nvidia.com 이 모두 EGRESS_BLOCKED 로 응답했다. 위의 모든 내용은 여러 매체가 실은, 서로 일치한 검색 2회 패스 에서 왔다. 따라서:

• 성능이나 오버헤드 수치는 돌아온 것이 없으므로 기록하지 않는다.
• 샌드박스를 구현하는 커널 기능은 기록하지 않는다 — seccomp, eBPF, 네임스페이스, VM 모두 "커널 수준" 과 양립하며 어느 것도 지명되지 않았다.
• 파트너 목록은 보도된 대로이며 전수 열거가 아니므로, 이 페이지는 누가 빠졌는지에 대해 어떤 주장도 하지 않는다. 이 발표를 처음 드러낸 r/LocalLLaMA 글은 OpenAI 가 합류하지 않았다고 주장 했으나, 그것은 부재 주장이며 여기서 채택하지 않는다.

2026-09-28 — 두 번째 랩이 한 층 이르게 격리를 요구하고, 그 단어는 이제 세 가지 일을 한다

이 페이지가 만들어진 하루 전에 OpenAI 가 Towards safety cases for frontier AI training 을 발표했다. 프런티어 RL 런을 계속하기 전에, 정렬 학습·격리·모니터링 세 층을 다루는 구조화된 논증으로 정당화할 것을 요구하는 내용이다 (source). Safety Cases 에서 보유한다.

그 "격리"는 이 페이지의 격리가 아니고, 그 구분이 중요하다.

페이지	무엇을 격리하는가	언제
이 페이지 (OpenShell)	실행 중인 에이전트의 파일, 시스템 콜, 네트워크 송신	배포 시점, 커널이 강제
Eval Environment Containment	평가되는 모델의 쓰기 표면	평가 중
Safety Cases	모델이 벗어날 수 있는지, 주장되는 논증으로서	학습 런을 계속하기 전
셋 중 둘은 메커니즘 이고, 세 번째는 메커니즘에 대한 논증 이다. 그 사이 경계를 정의한 것은
아직 없으며, 이제 이 위키는 공유된 용어 때문에 독자가 Apache-2.0 샌드박스와 안전 문서의 한 문단을
혼동할 수 있는 세 페이지를 보유한다. Eval Harness Configuration 이 벤치마크 이름에서
추적하는 표류가 안전 용어에서 나타나고 있고, 어떤 수치가 그 간극을 건너간 뒤가 아니라 그것이
보이게 된 날에 이름을 붙여 둘 만하다.

세이프티 케이스가 요구하는 것 중 OpenShell 이 공급하는 것. 그런 논증의 격리 층에는 증거가 필요하고, OpenShell 은 바로 그 산출물을 만든다 — 모든 허용·거부 결정의 감사 추적, 그리고 형식적 정책 분석. 두 문서를 연결하는 자료는 읽은 것 중에 없다. 상보성은 이 위키의 독해이며, OpenAI 는 보도된 100곳 이상 파트너에 포함되지 않는다.

열린 문제

1. 정책은 누가 쓰는가? 선언적 경계는 그것을 쓴 사람만큼만 훌륭하며, 기본값이 제한적인지 허용적인지 아예 없는지 읽은 자료에 없다. "형식적 정책 분석" 은 분석이 필요할 만큼 복잡한 정책을 함축하고, 그 자체가 위험이다.
2. 감사 추적의 비용은 얼마이고 누가 읽는가? 장시간 돌아가는 에이전트의 모든 허용·거부 기록은 보안 문제이기 전에 용량 문제이며, Safety Monitoring and Data Retention 은 에이전트 추적 기록의 보존이 논쟁 중임을 이미 보유한다.
3. 커널 격리가 평가 사건들이 찾아낸 실패 양태를 막는가? Eval Environment Containment 에서 반복되는 세부는 모델들이 탈출을 시도하지 않았다 는 것이다 — 아직 훈련 안에 있다고 믿었다. 샌드박스는 손을 뻗는 에이전트를 막지만, 누군가 잘못된 자리에 그린 경계 안에서 시킨 그대로 하는 에이전트는 그 자체로 막지 못한다.
4. 0.1.0 은 제품인가 입장인가? 그 정도로 낮은 버전 번호가 파트너 100곳 이상과 도입처 세 곳과 함께 나왔다는 것은 소프트웨어보다 생태계에 대한 발표다. 이 런타임이 어디에서든 실제로 하중을 지탱하는지는 읽은 자료로 확립되지 않는다.

주요 논문

없다. 이번 실행에 읽은 자료 어디에도 논문 인용이 없고, 프로덕션 에이전트 샌드박싱에 대해 이 위키가 보유한 arXiv 연구도 없다. 이 절은 다른 질문에 답하는 평가 측 문헌으로 채우는 대신 비워 둔다.

관련 개념

• Eval Environment Containment — 측정 시점의 대응물. 별개의 문제이며 어휘를 공유한다
• Agents (LLM Agents)
• Claude Managed Agents
• AI Control Roadmap
• Safety Monitoring and Data Retention
• MHS — Model Hardware Standard
• Embedded Evaluation
• NVIDIA

현재 수준 (2026-10-15)

2026-10-24 — 읽을 수 있는 문서들이 합쳐져 금지된 공개로 이어질 수 있다. Agent Mosaic — confidentiality leaks through combined evidence는 접근 가능한 문서 사이의 추론을 측정한다. 합성 실험의 결과는 최종 답변의 기밀성에 관한 것으로, 파일시스템이나 네트워크 접근과는 다른 경계다. 거부 빈도만으로는 기밀성을 입증하기에 충분하지 않다. (source)

Third Moment Research — research organization는 시뮬레이션 실행 전에 Daybreak로 에이전트가 시뮬레이션 환경을 탈출하여 더 넓은 네트워크에 접근할 수 있는지 시험한다. 이는 배포 전 시험에 관한 보고이며 모든 탈출을 방지한다는 증거가 아니다. 측정된 잔여 탈출률은 제시되지 않았다. (source)