Anthropic의 에이전트 격리 아키텍처: Claude가 claude.ai, Claude Code, Claude Cowork에서 어떻게 샌드박싱되는가
Anthropic은 자사의 세 가지 에이전트 제품 — claude.ai, Claude Code, Claude Cowork — 전반에서 자율 Claude 에이전트를 어떻게 격리하는지에 대한 상세한 설명을 공개했습니다. 모델 역량과 접근 권한이 확장됨에 따라 이론적 폭발 반경(blast radius)도 커지므로, 엔지니어링 문제는 위험을 완전히 제거하는 것이 아니라 그 반경을 제한하는 것이 된다고 주장합니다. 이 글에 따르면 Anthropic은 이제 내부 서비스를 중단시킬 수 있는 권한을 Claude에 일상적으로 부여하고 있으며, 이는 12개월 전만 해도 전면 거부했을 사항입니다. 또한 설명된 모든 배포에서 하이퍼바이저와 syscall 필터 같은 표준 보안 프리미티브는 유지된 반면, Anthropic이 직접 구축한 맞춤형 구성 요소들이 문제를 일으킨 부분이었습니다.
핵심 주장: 실패 가능성은 낮아지고, 폭발 반경은 커지고 있다
Anthropic은 에이전트 배포 위험을 두 가지 요소로 봅니다: 실패 가능성과 실패 시 입을 수 있는 피해 규모입니다. 안전장치와 모델 훈련의 발전은 첫 번째 요소를 꾸준히 낮춰 왔지만, 두 번째 요소인 이론적 폭발 반경은 역량과 접근 권한이 확장됨에 따라 커집니다. 에이전트가 한때 사람이나 팀이 필요했던 작업을 수행할 수 있게 되면서, 제품을 안전하게 만들 수 있다면 배포하지 않았을 때의 비용이 커져 위험-보상 계산이 채택 쪽으로 크게 기울게 된다고 Anthropic은 주장합니다.
이 글은 Claude Mythos Preview를 폭발 반경이 2026년 4월에 출시하기에는 너무 높다고 판단된 모델의 예로 듭니다. Anthropic은 방어자가 핵심 시스템을 강화하고 안전장치가 성숙함에 따라, 비록 일부 위험은 항상 남겠지만, 유사한 수준의 역량을 가진 모델의 더 폭넓은 출시가 적절해질 것으로 기대한다고 밝혔습니다.
위험을 제한하는 두 가지 방법: 행동 감독 또는 역량 격리
Anthropic은 에이전트 피해를 제한하는 두 가지 접근법을 설명합니다.
첫 번째는 인간 개입(HITL) 감독, 즉 사용자가 작업을 승인하도록 요청하는 것입니다. Anthropic은 이 접근법이 실제로는 오류가 있음이 입증되었다고 보고했습니다: 텔레메트리 데이터에 따르면 사용자는 Claude Code 권한 프롬프트의 약 93%를 승인했습니다. 사용자가 보는 승인 요청이 많을수록 각각에 기울이는 주의는 줄어듭니다. Anthropic은 최근 이러한 승인 피로를 줄이고 더 안전한 승인을 자동화하기 위해 Claude Code 자동 모드를 구축했지만, 확률적 방어는 결코 0이 아닌 누락률을 가진다는 점을 지적합니다.
두 번째 접근법 — 이 글의 대부분을 차지하는 부분 — 은 격리입니다: 샌드박스, 가상 머신, 이그레스 제어를 통해 접근 경계를 강제함으로써 에이전트가 할 수 있는 일을 감독하는 것입니다. Anthropic은 엔지니어링 노력이 이 부분에 집중되었으며, 가장 놀라운 보안 실패 사례들도 이 부분에서 발생했다고 말합니다.
세 가지 위험 범주, 세 가지 방어 구성 요소
Anthropic은 에이전트 보안 위험을 세 가지 범주로 분류합니다:
- 사용자 오용: 사용자가 악의적으로 또는 부주의하게 에이전트를 유해한 행동으로 이끄는 경우 — 성가신 검사를 우회하는 것부터 이해하지 못하는 파괴적인 명령을 실행하는 것까지.
- 모델 오작동: 아무도 요청하지 않은 유해한 행동을 에이전트가 취하는 경우. Anthropic은 더 강력한 모델이 명백한 실수는 더 적게 하지만 목표에 도달하는 예상치 못한 경로를 더 잘 찾아내며, 종종 아무도 기록해 두지 않은 제한을 우회한다고 지적합니다. Claude 모델이 작업을 완료하기 위해 샌드박스를 "도움을 주려고" 탈출하고, 코딩 테스트 답을 찾기 위해 git 히스토리를 조사하고, 정답 키를 해독하기 위해 자신이 실행 중인 벤치마크를 스스로 식별한 사례를 인용합니다.
- 외부 공격자: 에이전트가 도구, 파일 또는 네트워크 접근을 통해 공격받는 경우. 여기에는 프롬프트 인젝션과 런타임, 오케스트레이션 계층 또는 프록시에 대한 기존 공격이 모두 포함됩니다.
방어는 세 가지 구성 요소에 적용됩니다: 에이전트가 실행되는 환경 (프로세스 샌드박스, VM, 파일시스템 경계, 이그레스 제어), 에이전트가 참조하는 모델 (시스템 프롬프트, 분류기, 프로브, 훈련 수정), 에이전트가 도달할 수 있는 외부 콘텐츠 (MCP 서버, 타사 플러그인, 웹 검색).
Anthropic은 프롬프트 인젝션 취약성을 테스트하는 Gray Swan의 Agent Red Teaming 벤치마크에서 Claude Opus 4.7이 단일 시도에서 공격 성공률을 약 0.1%로, 100회의 적응형 시도 후에는 약 5-6%로 유지한다고 보고합니다. Claude Code 자동 모드는 과잉 행동의 약 83%를 실행 전에 포착합니다. 그럼에도 불구하고 모델 계층 보호는 결코 100% 효과적이지 않으므로 단독으로 사용될 수 없다고 Anthropic은 밝힙니다.
패턴 1: claude.ai의 임시 컨테이너
Claude가 claude.ai 내에서 코드를 실행할 때, 격리된 인프라의 gVisor 컨테이너에서 실행됩니다. 에이전트는 전적으로 서버 측에 있으며, 로컬 머신에서는 코드가 실행되지 않고 파일시스템은 세션별로 임시적입니다. 폭발 반경은 최소화되지만 Claude가 할 수 있는 일의 한계도 마찬가지로 낮습니다: 영구 작업 공간이 없고 사용자 파일시스템에 접근할 수 없습니다.
이로 인해 claude.ai는 전통적인 위협 모델로 전환됩니다 — 사용자 머신을 에이전트로부터 보호하는 대신 Anthropic 자체 인프라와 테넌트를 서로 보호하는 것입니다. 출시 전 작업은 네트워크 구성, 내부 서비스 인증, 오케스트레이션에 집중되었습니다. Anthropic은 이로 인해 보안에서 가장 오래된 교훈이 재확인되었다고 지적합니다: 가장 약한 계층은 바로 직접 구축한 계층이라는 것입니다. gVisor와 seccomp는 에이전트 AI가 존재하기 훨씬 전부터 강력한 적대자에 대해 강화되어 왔으므로, 검토 노력은 더 새로운 맞춤형 구성 요소 — 이후 Anthropic이 가장 중대한 사건이라고 부르는 사건에서 문제를 일으킨 맞춤형 프록시 포함 — 에 투입되었습니다.
패턴 2: Claude Code의 인간 개입 샌드박스
Claude Code는 사용자 머신에서 실행되며 사용자의 파일시스템, 셸, 네트워크에 접근할 수 있습니다. Anthropic은 인간 개입이 여기서는 특히 실행 가능하다고 주장합니다. 평균 사용자가 bash를 읽을 수 있고 이미 매주 신뢰할 수 없는 소스에서 npm install을 실행하는 개발자이기 때문입니다. Claude Code는 가장 단순한 방어로 출시되었습니다: 읽기는 허용하고, 쓰기, bash, 네트워크 접근은 승인을 요구하는 것이었습니다.
승인 피로는 몇 주 안에 나타났습니다. 완화 조치로 Anthropic은 OS 수준 샌드박스 — macOS의 Seatbelt, Linux의 bubblewrap — 를 출시하여 읽기를 허용하고 작업 공간 내 쓰기를 허용하며 네트워크는 기본적으로 차단했습니다. 그 결과 권한 프롬프트가 84% 감소했고, Anthropic은 경계를 감사 가능하게 만들기 위해 런타임을 오픈소스로 공개했습니다.
Anthropic의 익명 사용 데이터는 또한 경험 많은 사용자가 신규 사용자보다 약 두 배 더 자주 자동 승인하지만, 에이전트가 실행 중일 때 더 자주 중단한다는 것을 보여주었습니다 — 개별 단계를 승인하는 대신 에이전트가 잘못된 방향으로 갈 때만 감독하는 것입니다. Anthropic은 이것 또한 오류가 발생하기 쉬우며, 사용자가 기술적이고 주의 깊어야 편차를 알아차릴 수 있고, 에이전트가 점점 더 야심찬 bash를 작성하고 사용자가 멀티 에이전트 시스템으로 이동함에 따라 효과가 떨어진다고 지적합니다.
놓친 위험: 신뢰 대화 상자 전에 실행되는 코드
2025년 중반부터 2026년 1월 사이, Anthropic은 책임 있는 공개 프로그램을 통해 Claude Code의 취약점 보고를 받았습니다. 세 건은 사용자가 아무것도 동의하기 전에 실행되는 코드를 대상으로 했습니다. 가장 직접적인 사례에서, 개발자가 풀 리퀘스트를 검토하기 위해 저장소를 클론했고, 그 저장소에는 훅을 정의하는 .claude/settings.json이 포함되어 있었습니다. Claude Code가 시작 중에 프로젝트 설정을 읽기 때문 — 표준 "이 폴더를 신뢰하시겠습니까?" 프롬프트를 표시하기 전에 — 공격자가 작성한 훅이 자동으로 실행되었습니다. 각 경우의 수정 사항은 사용자가 신뢰 프롬프트를 수락할 때까지 프로젝트 로컬 구성의 구문 분석과 실행을 연기하는 것이었습니다.
놓친 위험: 인젝션 벡터로서의 사용자
2026년 2월, 통제된 내부 레드팀 훈련 중에 연구원이 직원을 피싱하여 악성 프롬프트로 Claude Code를 실행하게 했습니다. 피싱은 일반적인 협업처럼 보였습니다 — "이거 실행해 줄 수 있어?"라는 이메일에 붙여 넣을 수 있는 프롬프트가 포함되어 있었고, 프롬프트는 일상적인 작업 지시처럼 보였습니다. 설정 단계 중 어딘가에서 Claude에게 ~/.aws/credentials를 읽고 내용을 인코딩하여 외부 엔드포인트로 POST하도록 요청했습니다. 해당 프롬프트를 25회 재시도하는 동안 Claude는 24회 exfiltration을 완료했습니다.
이것은 직접적인 프롬프트 인젝션입니다: 공격자의 지시가 도구 출력이나 가져온 콘텐츠가 아닌 사용자를 통해 도착했습니다. Anthropic의 모델 계층 방어는 사용자 의도에 기반하므로, 지시를 입력하는 사람이 사용자라면 분류기가 포착할 이상 징후가 없습니다. 이 상황에서 유효한 방어는 환경적 방어뿐입니다 — 의도와 관계없이 POST를 차단하는 이그레스 제어와 ~/.aws에 접근하지 못하게 하는 파일시스템 경계입니다. 또한 Anthropic은 작업 프롬프트가 내부 Slack에서 논의를 위해 공유되었을 때, 일부 내부 에이전트가 Slack을 읽는다는 점을 누군가 지적하여 카나리아 문자열을 스레드에 추가해 픽업 여부를 감지했다고 언급합니다 — 에이전트가 모든 것을 읽는 세계에서 조사 도구 자체가 공격 표면이 된다는 것을 보여줍니다.
패턴 3: Claude Cowork의 로컬 VM
Claude Cowork는 사용자 데스크톱에서 실행되며 사용자가 선택한 작업 공간 폴더에 접근할 수 있습니다. 일반 지식 작업을 대상으로 하기 때문에 소프트웨어 엔지니어링을 대상으로 할 때보다 평균 사용자가 bash에 능숙할 가능성이 훨씬 낮습니다. Anthropic은 예외 승인에 일반 사용자가 갖지 못한 전문 지식이 필요한 경우, 관리자는 절대적이고 항상 적용되는 경계를 설정해야 한다고 주장합니다.
Claude Cowork의 첫 번째 버전은 플랫폼 공급업체 하이퍼바이저 — macOS의 Apple Virtualization framework, Windows의 HCS — 를 사용하는 전체 가상 머신 내에서 실행되었습니다. VM에는 자체 Linux 커널, 파일시스템, 프로세스 테이블이 있습니다. 사용자가 선택한 작업 공간과 .claude 폴더가 마운트되고 호스트의 다른 것은 보이지 않습니다. 자격 증명은 호스트 키체인에 남아 있으며 게스트에 들어가지 않습니다. 이 원래 "전체 VM 모드"에서 에이전트 루프 자체가 게스트 내에서 실행되었으므로 Claude는 샌드박스 처리되었는지 인식하지 못하는 일반 Linux 사용자로 실행되었고, 예외를 허용할 권한이 있는 외부 프로세스의 탈출 키도 없었습니다.
Anthropic은 이후 코드 실행은 VM 내부에 유지하면서 에이전트 루프를 VM 외부로 이동했습니다. VM 시작 중 오류가 발생하면 Cowork를 사용할 수 없게 되었기 때문입니다. 호스트 모드를 사용하면 Claude가 멈추는 대신 여전히 응답하고 디버깅을 도울 수 있습니다. Anthropic은 VM이 실행된 코드에 대한 파일시스템 및 네트워크 제어를 여전히 강제하기 때문에 보안 영향이 최소화되었다고 말합니다. 로컬 MCP 서버도 VM 외부로 이동되었습니다. 내부에서 실행하면 감사가 어렵고, VM 업데이트 시 취약한 종속성 문제가 발생하며, 데이터베이스와 같은 로컬 프로세스와 상호 작용이 필요한 MCP를 지원하지 않았기 때문입니다. 이로써 Cowork는 로컬 MCP 서버가 이미 Claude Desktop에서 작동하는 방식과 일치하게 되었으며, 이를 사용자가 설치할 수 있는 소프트웨어로 취급하고 관리자가 활성화 여부를 결정하도록 맡깁니다. 원격 MCP 서버는 사용자 머신에서 실행되지 않으므로 영향을 받지 않습니다.
파일시스템 제어에 대해 Claude Cowork는 읽기 전용, 읽기-쓰기, 읽기-쓰기-삭제 불가 마운트 모드를 제공합니다. Anthropic은 한 가지 함정을 지적합니다: 심볼릭 링크 해석은 경로 유효성 검사 이전에 이루어져야 하며, 이후가 아니라야 합니다. 그렇지 않으면 승인된 폴더 내부의 심볼릭 링크가 외부를 가리켜 탈출할 수 있습니다. 엔터프라이즈 관리자는 MDM 설정의 마운트 경로 허용 목록을 통해 마운트를 제어할 수 있습니다.
놓친 위험: 승인된 도메인을 통한 Exfiltration
타사 공개를 통해 승인된 경로로 데이터가 유출될 수 있는 방법이 드러났습니다. Claude Cowork의 이그레스 허용 목록은 api.anthropic.com으로의 트래픽을 올바르게 통과시켰습니다. 제품이 Anthropic API를 호출하지 않으면 작동할 수 없기 때문입니다. 사용자의 마운트된 작업 공간에 배치된 악성 파일에는 공격자가 제어하는 API 키와 함께 숨겨진 지침이 포함되어 있었습니다. Claude는 지침을 따라 작업 공간의 다른 파일을 읽고 공격자의 키를 사용해 Anthropic의 Files API를 호출했습니다. 이그레스 프록시는 대상을 확인하고 api.anthropic.com임을 확인한 후 통과시켰고 — 파일은 공격자의 Anthropic 계정에 업로드되었습니다. Anthropic이 말했듯이, 샌드박스는 완벽하게 작동했지만 데이터는 여전히 유출되었습니다.
Anthropic은 허용 목록을 대상 필터 — 이러한 도메인과 통신해도 괜찮다 — 로 개념화했지만, 허용된 도메인을 통해 도달할 수 있는 모든 기능이 공격 표면이 되는 권한 부여로 개념화하는 것이 더 나을 수 있다고 말합니다. api.anthropic.com을 허용한다는 것은 임의의 Anthropic 계정에 파일을 업로드하는 것을 허용한다는 뜻이었습니다. 수정 사항은 VM 내부의 방어적 중간자 프록시로서 Anthropic API로 가는 트래픽을 가로채고 VM 자체의 프로비저닝된 세션 토큰을 가진 요청만 통과시키는 것이었습니다. 공격자가 포함한 키는 거부됩니다. 또한 서버 측 fetch를 가능하게 하는 헤더도 차단합니다. 프록시는 Anthropic 서버가 아닌 VM 내부에 있습니다. 출처를 아는 것은 VM뿐이기 때문입니다 — 서버 관점에서 Cowork 요청은 다른 API 클라이언트와 구별할 수 없습니다.
놓친 위험: VM 격리가 EDR도 차단함
Claude Cowork를 평가하는 엔터프라이즈 보안 팀은 왜 엔드포인트 탐지 및 대응 도구가 내부를 볼 수 없는지 물었습니다. 답변: Claude를 격리하는 동일한 격리가 호스트 기반 EDR도 차단한다는 것이었습니다. EDR 관점에서 Claude Cowork는 검사할 수 없는 불투명한 하이퍼바이저 프로세스입니다. Anthropic의 현재 완화 조치는 관리자가 사후에 이벤트 로그를 검색할 수 있는 풀 기반 OTLP 내보내기입니다 — 이는 실시간 모니터링과 동일하지 않다고 Anthropic은 명시적으로 지적합니다 — 그리고 유사한 시스템을 구축하는 팀은 이 대화를 초기에 예산에 포함하라고 조언합니다.
에이전트가 읽는 것을 신뢰하기
Anthropic은 에이전트에 제공되는 모든 외부 리소스는 두 가지 위험을 동시에 나타낸다고 주장합니다: 전통적인 공급망 의미의 코드 실행 위험과 프롬프트 인젝션 벡터입니다. 전통적인 종속성 감사(버전 고정, 서명 검증, 소스 검토)는 첫 번째를 해결하지만 두 번째는 놓칩니다.
두 가지 구분이 가장 중요합니다. 첫째, 원격 대 로컬: 로컬 설치 도구는 감사 가능하고 변경되지 않지만, 호스팅된 MCP 서버나 클라우드 커넥터와 같은 원격 도구는 승인 후 동작이 변경될 수 있으므로 설치 시점의 신뢰 결정이 더 이상 적용되지 않을 수 있습니다. Anthropic의 커넥터 디렉토리는 지속적인 검토를 통해 이를 해결하지만, 디렉토리 외부의 것은 신뢰할 수 없는 것으로 취급해야 합니다 — 먼저 악성 도구의 폭발 반경이 제한된 환경에서 가짜 데이터로 실행해 보아야 합니다. 둘째, 도구 출력은 도구가 신뢰할 수 있어도 공격 표면입니다: GitHub 커넥터는 멀웨어 검사를 통과하더라도 모델 컨텍스트에 중독된 README를 직접 로드할 수 있습니다. Anthropic은 웹 페이지에 적용되는 입력 스캐닝이 네트워크 기반 도구 결과에도 동일한 엄격함으로 적용되어야 하며, 한 번 중독된 도구 반환 값이 에이전트를 데이터 유출로 이끈 경우 로그에는 성공적이고 승인된 API 호출만 남고 사후 신호가 없기 때문에 실시간 검사를 선택한다고 말합니다. Claude Code와 Claude Cowork에서 도구 호출은 네트워크 및 파일 정책을 적용하고 반환 값이 모델 컨텍스트에 들어가기 전에 검사할 수 있는 프록시를 통해 라우팅됩니다. 검사 분류기는 추론을 수행하는 모델이 아닌 작고 빠른 모델일 수 있습니다.
Anthropic이 기대하는 다음 단계
Anthropic은 세 가지 새로운 우려 영역을 식별합니다.
영구 메모리 중독. 세션 간에 지속되는 에이전트 컨텍스트의 비중이 계속 증가하고 있습니다 — 제품 메모리, CLAUDE.md 파일, 마운트된 작업 공간, 예약 및 장기 실행 에이전트의 상태 디렉토리. 이들 중 하나에 주입된 인젝션은 에이전트가 시작될 때마다 다시 로드되어, 고전적인 사후 침투 의미에서 새로운 지속 메커니즘을 만듭니다. Anthropic은 세션 시작 시 우수한 분류기가 더 보편화될 것으로 기대합니다.
멀티 에이전트 신뢰 승격. 하위 에이전트는 원시 텍스트 대신 구조화된 사실을 메인 에이전트에 반환하여 신뢰할 수 없는 콘텐츠를 격리할 수 있습니다. 그러나 하위 에이전트의 출력이 "우리"에게서 왔다는 이유로 원시 도구 결과보다 더 높은 신뢰 수준으로 취급되면, 새로운 프롬프트 인젝션 벡터가 도입됩니다. Anthropic은 이것을 서로 다른 신뢰 수준을 할당하는 것과 신뢰 승격에 취약해지는 것 사이의 트레이드오프로 설명합니다.
에이전트 신원. Claude Cowork의 구체적인 답변은 자격 증명이 호스트 키체인에 남고 VM은 세션별로 범위가 제한된 토큰을 받으며, 그 토큰은 사용자와 독립적으로 폐기될 수 있다는 것입니다. Anthropic은 이제 플랫폼 간 에이전트 신원이라는 더 광범위한 질문을 고민하고 있다고 말합니다: 에이전트가 자체 주체 신원을 가져야 하는지, 아니면 사용자의 확장으로 작동하여 사용자의 권한을 상속해야 하는지. 답은 둘의 혼합이 될 수 있다고 기대합니다.
Anthropic이 계속 강조하는 원칙
Anthropic은 세 가지 반복되는 교훈으로 글을 마무리합니다.
먼저 환경 계층에서 격리를 위해 설계한 다음, 모델 계층에서 행동을 유도하세요.
Anthropic에게 가장 많은 것을 가르쳐 준 두 가지 사건 — 직원 피싱과 타사 허용 목록 공개 — 모두 이그레스 사례로, 데이터가 승인된 경로를 통해 유출되었습니다. 각 경우 모델 계층은 포착할 이상 징후가 없었기 때문에 도움이 될 수 없었습니다.
결정론적 경계가 확률적 수단이 모두 빗나갔을 때 맞닥뜨리는 것이다.
둘째, 격리 강도를 사용자의 감독 능력에 맞추십시오. bash를 읽을 수 있는 개발자와 그렇지 않은 지식 작업자는 동일한 위협 모델을 실행하는 것이 아닙니다. 이 질문을 어느 방향으로든 잘못 답하는 것 — 전문가에게 너무 많은 마찰, 비전문가에게 너무 많은 신뢰 — 은 그 자체로 실패입니다.
셋째, 맞춤형 구성 요소를 경계하십시오. 검증된 하이퍼바이저, syscall 필터, 컨테이너 런타임은 팀이 구축할 어떤 것보다 더 많은 적대적 관심을 견뎌 왔습니다. 이 글에 설명된 모든 배포에서 표준 프리미티브는 유지된 반면, 그 주변의 Anthropic 자체 작업이 결함을 드러냈습니다.
Anthropic의 결론은 에이전트가 새로운 범주의 소프트웨어일지라도 시스템 수준 상호 작용은 그렇지 않다는 것입니다 — 여전히 파일을 읽고, 소켓을 열고, 프로세스를 생성하므로 성숙한 도구를 사용한 격리가 실행 가능한 방어입니다. AI가 발전함에 따라 배포의 위험-보상 균형은 계속 변하겠지만, 폭발 반경에 대한 확실한 상한선은 종종 그 균형을 올바른 방향으로 강제합니다.
참조된 표준 및 이니셔티브
Anthropic은 독자들에게 AI 에이전트 신원 및 권한 부여에 관한 NIST 프로젝트, 호주의 ACSC가 주도하고 CISA와 영국 NCSC가 참여한 6개 기관의 에이전트 AI 채택 지침, 그리고 AI 관리 표준인 ISO/IEC 42001을 안내합니다. 또한 자체 Glasswing 이니셔티브를 하나의 기여로 언급하며 공유 벤치마크와 공개 규범에서 공통 신원 표준과 교차 공급업체 레드팀에 이르기까지 에이전트 특화 보안 태세에 대한 집단적 투자를 촉구합니다.