로컬 에이전트를 위한 안전한 샌드박스 구현: Cursor의 접근 방식

이 요약은 AI가 원문을 분석해 생성했습니다. 정확한 내용은 원문 기준으로 확인하세요.

핵심 요약

코딩 에이전트가 터미널 명령을 실행할 때 발생하는 보안 위험과 사용자의 승인 피로도 문제를 해결하기 위해 Cursor는 OS 수준의 샌드박스를 도입했다. macOS의 Seatbelt, Linux의 Landlock 및 seccomp를 활용하여 에이전트가 안전한 경계 내에서 자유롭게 명령을 실행할 수 있는 환경을 구축했다. 이를 통해 에이전트의 작업 중단 횟수를 40% 줄였으며, 사용자는 매번 명령을 승인해야 하는 번거로움에서 벗어나 더 높은 생산성을 확보하게 되었다. 향후에는 샌드박스의 제약 조건을 스스로 이해하고 최적의 코드를 작성하는 샌드박스 네이티브 에이전트로 발전시킬 계획이다.

배경

OS 커널 보안 기초 (Sandboxing, Syscalls), 터미널 명령어 실행 및 프로세스 관리 이해, LLM 에이전트의 도구 사용(Tool Calling) 개념

대상 독자

로컬 환경에서 AI 코딩 에이전트를 개발하거나 보안이 중요한 기업용 AI 도구를 설계하는 엔지니어

의미 / 영향

이 기술은 AI 에이전트가 단순한 코드 생성을 넘어 실제 시스템을 안전하게 조작할 수 있는 토대를 마련했다. 특히 NVIDIA와 같은 대기업 고객들이 안심하고 에이전트를 도입할 수 있게 함으로써, 에이전트의 실무 적용 범위를 크게 확장시키는 계기가 될 것이다.

섹션별 상세

에이전트의 모든 터미널 명령에 대해 인간의 승인을 요구하는 방식은 승인 피로도(Approval Fatigue)를 유발하여 결국 보안 검토의 실효성을 떨어뜨린다. 특히 여러 에이전트를 동시에 실행할 경우 문맥 전환 비용이 증가하며, 이는 사용자가 내용을 제대로 확인하지 않고 승인하게 만드는 원인이 된다.

샌드박스 적용 유무에 따른 터미널 명령 대기 시간 비교 차트 — Chart이 차트는 샌드박스를 적용했을 때 사용자가 터미널 명령 승인을 위해 대기하는 시간이 p50, p75, p90 모든 구간에서 획기적으로 줄어듦을 보여준다. 특히 p90 구간에서 대기 시간이 8분 이상에서 0.82분으로 급감하여 에이전트의 작업 연속성이 크게 개선되었음을 증명한다.

macOS에서는 Seatbelt(sandbox-exec) 기술을 사용하여 에이전트의 하위 프로세스 트리를 제어한다. App Sandbox나 컨테이너 방식의 한계를 극복하기 위해 선택된 이 방식은 Lisp 기반의 정책 언어를 통해 시스템 콜과 파일 읽기/쓰기 권한을 세밀하게 제한하며, 워크스페이스 설정과 .cursorignore에 따라 정책을 동적으로 생성한다.

Linux 환경에서는 Landlock과 seccomp 커널 프리미티브를 직접 조합하여 샌드박스를 구현했다. seccomp는 위험한 시스템 콜을 차단하고, Landlock은 파일 시스템 접근을 제한하며, 특히 무시된 파일들을 완전히 접근 불가능하게 만들기 위해 오버레이 파일 시스템(Overlay FS)을 활용하여 워크스페이스를 매핑한다.

scheme

(deny file-write* (regex "^.*\/\\.vscode($|\/.*)") )
(deny file-write* (require-all (regex "^.*\/\\.cursor($|\/.*)") (require-not (regex "^.*\/\\.cursor/(rules|commands|worktrees|skills|agents)($|\/.*)"))) )
(deny file-write* (regex "^.*\\.code-workspace$"))
(deny file-write* (regex "^.*\/\\.cursorignore$"))
(deny file-write* (regex "^.*\/\\.git/config$"))
(deny file-write* (regex "^.*\/\\.git/hooks($|\/.*)") )

macOS Seatbelt에서 특정 설정 파일 및 디렉토리에 대한 쓰기 권한을 제한하는 동적 정책 예시

Windows의 경우 네이티브 샌드박스 프리미티브가 브라우저에 특화되어 있어 개발 도구 적용에 한계가 있으므로, 현재는 WSL2 내에서 Linux 샌드박스를 실행하는 방식을 취하고 있다. 향후 네이티브 지원을 위해 Microsoft와 협력하여 필요한 프리미티브 확보를 추진 중이다.

에이전트가 샌드박스 환경을 인지하도록 모델의 도구 설명(Tool Description)과 프롬프트를 개선했다. 에이전트가 권한 부족으로 실패했을 때 원인을 명확히 파악하고 필요한 경우에만 사용자에게 권한 상승을 요청하도록 설계하여 오프라인 벤치마크 성능과 사용자 경험을 동시에 향상시켰다.

실무 Takeaway

에이전트의 자율성을 높이려면 무조건적인 승인 절차 대신 OS 수준의 샌드박스를 통해 안전한 실행 경계를 설정하여 승인 피로도를 줄여야 한다.
샌드박스 도입 시 에이전트가 실패 원인(권한 부족 등)을 명확히 인지하고 스스로 권한 상승을 요청할 수 있도록 피드백 루프를 설계하는 것이 성능 유지의 핵심이다.
엔터프라이즈 환경에서는 보안이 필수적이므로, 로컬 실행 에이전트 도입 시 각 OS 커널 보안 기능을 활용한 격리 기술이 제품 경쟁력의 중요한 요소가 된다.

언급된 리소스

문서Cursor Blog - Sandboxing