YOLO Mode, Safely: MicroVM Sandboxes for Any Agent — Rowan Christmas, Docker

한 줄 핵심

에이전트가 실제 업무를 하면서도 민감정보 유출과 오남용을 막으려면, 하네스 수준의 제한이 아니라 MicroVM 샌드박스와 정책 기반 거버넌스로 기본 보안을 설계해야 한다.

시간별 요약

1. 0:00
   소개 이 발표는 에이전트가 안전하게 동작하는 방법을 다루며, 실무에서 바로 쓸 수 있는 Docker의 샌드박스 접근을 중심으로 설명한다.
2. 0:12
   Docker에서 인사 행사 후반 세션인 만큼 가볍고 참여형으로 진행하며, 청중의 반응을 유도하는 분위기로 시작한다.
3. 0:27
   Docker Sandboxes (sbx) Docker의 새 바이너리 SBX는 MicroVM 기반 샌드박스로, 에이전트의 거버넌스와 안전성을 높이기 위한 실행 환경이다.
4. 0:52
   코딩 하네스는 정말 당신을 보호하는가? 기존 코딩 하네스가 어느 정도 막아준다고 믿기 쉽지만, 실제로는 위험한 행동을 충분히 차단하지 못할 수 있다.
5. 1:22
   스스로 해킹해 보기: 브라우저 기록에서 은행 데이터까지 Claude Code로 브라우저 기록을 찾게 한 뒤 은행 계정과 개인 식별 정보를 추적해 보니, 안전하다고 믿던 환경에서도 민감한 정보가 쉽게 노출될 수 있음이 드러난다.
6. 2:32
   보안 팀의 경고 보안 팀은 이를 실제 침해 시도로 탐지했고, 이 사례는 에이전트가 의도치 않게 자격 증명과 민감정보를 수집할 수 있음을 보여준다.
7. 3:22
   다섯 개의 프롬프트면 충분했다 직접적인 악성 요청은 막히더라도, 보안 연구처럼 보이는 문맥을 주면 에이전트가 경고를 우회해 민감정보에 접근할 수 있다.
8. 3:47
   MicroVM: 설계상 안전 MicroVM은 자체 커널과 파일시스템 격리를 제공하고, 비밀정보 접근과 네트워크 요청을 제어해 ‘요청해서 지키는’ 보안이 아니라 ‘기본값으로 안전한’ 보안을 가능하게 한다.
9. 5:07
   데모: claude와 sbx run claude 비교 일반 실행과 달리 sbx run claude는 새 VM을 자동으로 띄워 에이전트를 격리된 환경에서 실행하므로, 같은 작업도 훨씬 제한된 권한으로 시작된다.
10. 5:47
    같은 공격, 샌드박스 적용 샌드박스 안에서는 브라우저가 존재하지 않는 것처럼 보일 정도로 시야가 차단되어, 동일한 공격이 사실상 실패한다.
11. 6:12
    기본값으로 차단되는 네트워크 송수신 외부 네트워크 접근은 기본적으로 막혀 있으며, 텔레메트리나 원치 않는 데이터 전송도 샌드박스에서 제어할 수 있다.
12. 6:47
    모든 Docker 개발자는 샌드박스에서 코딩한다 Docker 내부에서도 샌드박스가 일상적인 개발 기본값으로 자리 잡았고, 설정 가능하면서도 사용이 쉬운 점이 장점으로 강조된다.
13. 7:07
    하네스 수준만으로는 부족한 이유 에이전트는 하네스의 제약을 우회할 수 있으므로, 호스트까지 도달하기 전에 MicroVM 경계에서 차단하는 것이 더 효과적이다.
14. 7:52
    에이전트 신원과 위임 체인 누가 어떤 에이전트를 승인했고 어떤 행동이 그 위임에서 나왔는지 추적할 수 있어야 하며, 정책에 따라 권한을 단계적으로 낮추는 구조가 필요하다.
15. 8:46
    거버넌스 제어 네트워크 허용·차단, 파일시스템 마운트, MCP 카탈로그를 정책으로 관리할 수 있고, MCP 서버 자체도 샌드박스 안에서 통제된다.
16. 9:11
    다음 단계: L7과 리포지토리별 제어 앞으로는 L7 네트워크 제어와 GitHub 리포지토리 단위 읽기·쓰기 권한처럼 더 세밀한 격리 기능이 추가될 예정이다.
17. 9:46
    아무 에이전트나 설치하고 실행하기 Mac, Windows, Linux에서 sbx run으로 shell, CodeX, Python 작업, 웹 서버 등 어떤 에이전트나 도구도 같은 방식으로 실행할 수 있다.
18. 10:31
    관련 리포지토리를 읽기 전용으로 마운트 연관된 코드 저장소는 읽기 전용으로 연결해 에이전트가 참고는 하되, 다른 저장소에 원치 않는 변경을 남기지 못하게 한다.
19. 10:56
    마무리 핵심 메시지는 에이전트의 유용성을 유지하면서도 기본 보안과 거버넌스를 샌드박스에서 함께 제공해야 한다는 점이다.

실무 인사이트

• 에이전트 보안은 프롬프트로 막는 방식보다 실행 환경에서 기본적으로 차단하는 방식이 더 현실적이다.
• 민감정보 유출을 줄이려면 네트워크, 파일시스템, MCP 권한을 분리된 정책으로 관리해야 한다.
• 실무 도입에서는 모든 에이전트를 같은 런타임에 두기보다, 읽기 전용 마운트와 위임 추적으로 권한 경계를 명확히 두는 것이 중요하다.