Sandboxes Aren't Optional: 4 Ways to Isolate Coding Agents — Robert Brennan, OpenHands

한 줄 핵심

코딩 에이전트를 안전하게 확장하려면 로컬 실행보다 샌드박스와 최소 권한을 갖춘 클라우드 실행 환경으로 옮겨야 하며, 그 구현 방식은 Docker, GitHub Actions, 전용 VM, Kubernetes처럼 점점 더 분리된 형태로 진화한다.

시간별 요약

1. 0:00
   소개와 OpenHands OpenHands는 코딩 에이전트를 커뮤니티에 제공하려는 MIT 라이선스 프로젝트에서 출발해, 이제는 하네스부터 인프라와 관제까지 포함한 코딩 에이전트 실행 플랫폼으로 확장되었다.
2. 0:57
   AI 기반 개발의 진화 챗봇이 코드 조각을 생성하던 단계에서 AI IDE의 자동완성으로, 다시 코드를 실행하고 오류를 처리하는 에이전트 단계로 발전했으며, 현재는 많은 개발자가 여전히 로컬에서 pair programmer처럼 쓰고 있다.
3. 2:27
   에이전트를 클라우드로 옮기기 클라우드 에이전트는 실행 공간이 필요하고 인간의 상시 감시가 없기 때문에 샌드박스가 필수이며, 이후에는 GitHub·DataDog·Slack 이벤트에 반응하는 자동화와 멀티 에이전트 협업, 더 나아가 SDLC 자동화로 이어진다.
4. 3:32
   에이전트를 로컬에서 실행할 때의 위험 로컬에서 에이전트를 돌리면 승인 요청을 계속 허용하며 감시하든지, dangerously skip permissions처럼 거의 모든 권한을 주고 맡기든지 둘 중 하나가 되기 쉽고, 후자는 파일·환경변수·DB·Kubernetes까지 광범위하게 노출시킨다.
5. 4:52
   최소 권한 원칙 에이전트와 사람 모두 작업에 꼭 필요한 범위만 접근해야 하며, 이를 통해 유출 가능한 비밀과 파일을 줄이고 prompt injection이나 오작동이 일어났을 때의 피해 반경을 크게 제한할 수 있다.
6. 5:42
   로컬 Docker 컨테이너 새 대화마다 Docker 컨테이너를 띄우는 방식은 일회성이라 안전하게 실험하기 좋고, Git repo·포트·비밀값·MCP 서버를 선택적으로 붙일 수 있지만, 노트북 자원과 이벤트 처리 한계 때문에 대규모 자동화에는 적합하지 않다.
7. 7:02
   GitHub Actions와 Claude Code GitHub Actions는 클라우드의 일회성 환경에서 에이전트를 대량으로 돌리고 일정 실행이나 PR 코드리뷰 같은 자동화를 만들 수 있지만, GitHub 이벤트에 종속되고 폐쇄적인 표준이라 Slack이나 DataDog 같은 다른 이벤트로 확장하기 어렵다.
8. 8:22
   전용 VM 또는 Mac Mini 전용 VM이나 Mac mini는 상태가 남는 장기 실행 환경이라 웹훅과 스케줄 기반 자동화를 쉽게 만들 수 있지만, 여러 에이전트가 한 환경을 공유하면서 서로의 권한과 상태를 침범해 문제를 일으키기 쉬워진다.
9. 9:47
   세션별 Kubernetes Pod 세션마다 별도 Pod를 띄우는 Kubernetes 방식은 매번 새 환경에서 시작하고 종료되므로 상태 오염이 적고, 대규모로 확장할 수 있으며, cron job이나 HTTP 이벤트로 완전 자동 실행을 구성하기에 가장 강력하다.
10. 11:02
    네 가지 전략 비교 로컬은 가까운 작업과 수동 제어에 유리하고, Docker는 격리된 실험에 좋으며, VM은 지속성과 이벤트 수신이 강점이고, Kubernetes는 격리·확장성·트리거 다양성에서 가장 우수하다는 비교가 제시된다.
11. 12:22
    샌드박스는 만능이 아니다 샌드박스 탈출과 컨테이너 탈출 공격 사례가 존재하므로 절대 안전하다고 볼 수는 없지만, 에이전트의 접근 범위를 제한하는 첫 번째 방어선으로는 여전히 매우 유효하다.
12. 13:07
    OpenHands Agent Canvas OpenHands Agent Canvas는 Claude code, CodeX, OpenHands harness를 같은 방식으로 다루면서 로컬의 위험한 기본값에서 시작해 Docker, 원격 VM, Kubernetes로 손쉽게 전환할 수 있게 해, 작업에 맞는 실행 환경을 고르게 한다.
13. 13:57
    마무리 발표는 질문을 받는 형태로 끝나며, 핵심 메시지는 코딩 에이전트를 안전하고 유연하게 쓰려면 적절한 샌드박스 선택이 필수라는 점으로 정리된다.

실무 인사이트

• 에이전트를 로컬에서 쓰는 습관을 클라우드 샌드박스로 옮기면, 단순한 편의성보다 권한 분리와 자동화 트리거 확보라는 운영상의 이점이 더 커진다.
• 실무에서는 Docker, VM, Kubernetes를 기술 스택이 아니라 권한 범위와 상태 지속성의 선택지로 봐야 하며, 작업 종류에 따라 환경을 분리하는 것이 안전하다.
• 샌드박스 도입만으로 충분하지 않으므로, 최소 권한·비밀 관리·이상 동작 모니터링을 함께 설계해야 실제 위험을 줄일 수 있다.