여러분, Claude Code 같은 AI 코딩 에이전트 쓰면서 매번 뜨는 권한 확인 창 때문에 답답했던 적 있으시죠? 그래서 많은 분들이 자동 승인 모드, 이른바 'YOLO 모드'를 켜고 쓰는데요. 이게 뭐냐면, 에이전트가 파일을 지우든 패키지를 설치하든 명령어를 실행하든 일일이 물어보지 않고 알아서 하게 두는 모드예요. 편하긴 한데, 내 컴퓨터에서 직접 돌리면 진짜 위험하거든요. 실제로 에이전트가 홈 디렉터리를 통째로 날렸다는 사례가 심심찮게 나오고 있고요. Docker가 이 문제를 정면으로 겨냥한 제품, Docker Sandboxes를 내놨어요.
핵심 아이디어: '부숴도 되는 방'을 만들어주자
Docker Sandboxes의 컨셉은 간단해요. 에이전트 세션 하나하나를 격리된 일회용 환경으로 감싸는 거예요. 각 샌드박스는 자기만의 파일시스템, 네트워크 정책, 프로세스 공간을 가진 독립된 리눅스 환경이고, 몇 초 만에 만들어지고 흔적 없이 사라져요. 에이전트가 그 안에서 뭘 하든 내 컴퓨터 본체는 건드릴 수 없는 거죠.
재미있는 건 작업 방식인데요. 프로젝트 디렉터리에서 샌드박스를 시작하면 에이전트는 카피 온 라이트(copy-on-write) 동기화로 내 코드를 봐요. 이게 뭐냐면, 원본을 통째로 복사해서 주는 게 아니라 수정이 일어나는 순간에만 사본을 만드는 효율적인 방식이에요. 에이전트는 샌드박스 안에서 마음껏 코드를 고치고, 나는 그 변경사항을 diff로 검토한 다음 원하는 것만 실제 작업 트리에 반영하면 돼요. 에이전트가 미쳐 날뛰어도 내 원본 코드는 무사한 구조인 거죠.
보안 설계에서 특히 눈에 띄는 게 두 가지예요. 첫째, Git 자격증명과 SSH 키는 호스트에만 남아요. 자격증명 프록시라는 게 중간에서 서명 작업만 대신해주기 때문에, 샌드박스 안에는 비밀 키가 아예 들어가지 않거든요. 둘째, 네트워크가 기본 차단(default-deny)이에요. 패키지 저장소나 모델 API처럼 허용 목록에 있는 곳만 나갈 수 있고, 프로젝트별로 도메인을 추가할 수 있어요. 이게 왜 중요하냐면, 프롬프트 인젝션 공격을 당한 에이전트가 내 데이터를 외부로 빼돌리려 해도, 애초에 연결할 수 있는 곳이 없으면 훔쳐갈 방법도 없기 때문이에요.
그리고 macOS와 Windows에서는 단순 컨테이너 격리가 아니라 경량 VM 경계 안에서 돌아가요. 컨테이너는 커널을 호스트와 공유해서 탈출 취약점 우려가 늘 따라다니는데, VM은 그보다 한 겹 더 두꺼운 벽이거든요.
어떻게 쓰나요
Claude Code를 일급으로 지원하고, Codex CLI, Gemini CLI, Cursor CLI, Amp 등 컨테이너 이미지에 설치할 수 있는 에이전트라면 뭐든 돌릴 수 있어요. 사용법은 docker sandbox run claude 한 줄이면 끝이고요. Docker Desktop 4.50 이상이면 무료인 Personal 티어를 포함한 모든 요금제에서 쓸 수 있어요.
업계 흐름에서 보면
에이전트용 샌드박스 자체는 새로운 아이디어는 아니에요. E2B나 Daytona, Modal 같은 서비스가 클라우드에서 격리된 실행 환경을 제공해왔고, 개발 환경 격리라면 데브컨테이너(devcontainer)라는 선택지도 있었죠. Docker의 차별점은 '로컬에서, 내가 이미 쓰는 도구로' 해결한다는 거예요. 코드가 외부 서버로 올라가지 않으니 보안 심사가 까다로운 회사에서도 도입 문턱이 낮고요. 에이전트 시대의 인프라 표준 자리를 놓고 벌어지는 경쟁에서, Docker가 자기 홈그라운드인 '개발자의 로컬 머신'을 지키러 나온 셈이에요.
우리에게 주는 시사점
Claude Code를 위험 감수 모드로 돌려본 적 있다면 이건 남 얘기가 아니에요. 지금까지는 편의와 안전을 맞바꿔야 했는데, 이제 그 트레이드오프를 상당 부분 없앨 수 있거든요. 회사에서 에이전트 도입을 검토 중이라면 보안팀을 설득할 좋은 카드가 하나 생긴 거고, 개인 프로젝트라면 오늘 저녁에 바로 설치해서 써볼 수 있는 수준으로 진입장벽이 낮아요.
한 줄 정리: AI 에이전트에게 전권을 주되, 그 권력이 미치는 범위를 일회용 격리 공간으로 좁히는 도구가 Docker 공식 기능으로 나왔어요. 여러분은 에이전트를 어디까지 믿고 자동 승인으로 돌리시나요? 샌드박스가 있다면 지금보다 더 과감하게 맡겨보실 건가요?
🔗 출처: Hacker News