AI 코딩 에이전트 샌드박싱: 안전한 코드 실행 격리와 보안 운영 가이드

(version 1)
(deny default)

;; 기본 시스템 라이브러리 읽기 허용
(allow file-read*
  (subpath "/usr/lib")
  (subpath "/usr/share")
  (subpath "/System/Library")
  (subpath "/Library/Frameworks")
  (subpath "/private/var/db/dyld"))

;; 프로젝트 디렉터리만 읽기/쓰기 허용
(allow file-read* file-write*
  (subpath "/Users/dev/projects/my-app"))

;; 실행 가능한 바이너리 제한
(allow process-exec
  (literal "/usr/bin/git")
  (literal "/usr/bin/python3")
  (literal "/usr/local/bin/node"))

;; 네트워크 완전 차단
(deny network*)

;; 민감 디렉터리 명시적 차단
(deny file-read* file-write*
  (subpath "/Users/dev/.ssh")
  (subpath "/Users/dev/.aws")
  (subpath "/Users/dev/.gnupg")
  (subpath "/Users/dev/.config/gcloud"))

;; 프로세스 포크 허용 (빌드/테스트에 필요)
(allow process-fork)
(allow signal (target self))

# sandbox-exec로 에이전트 실행
sandbox-exec -f /path/to/agent-sandbox.sb -- claude --dangerously-skip-permissions

# 프로파일 적용 확인 (차단 로그)
log stream --predicate 'subsystem == "com.apple.sandbox"' --level debug

# Agent Safehouse 설치
git clone https://github.com/eugene1g/agent-safehouse.git
cd agent-safehouse
chmod +x safehouse

# 프로젝트 디렉터리에서 에이전트 실행
cd ~/projects/my-app
safehouse claude --dangerously-skip-permissions

# 커스텀 정책으로 실행
safehouse --policy custom-policy.sb -- claude

;; machine-local-policy.sb - 머신 고유 설정
(allow file-read*
  (home-literal "/.gitignore_global")
  (home-subpath "/Library/Application Support/Claude"))

;; 특정 공유 볼륨 접근 허용
(allow file-read*
  (subpath "/Volumes/Shared/Engineering"))

# docker-compose.yml - AI 에이전트 격리 환경
version: '3.8'

services:
  ai-agent:
    build:
      context: .
      dockerfile: Dockerfile.agent
    security_opt:
      - no-new-privileges:true
      - seccomp:seccomp-profile.json
      - apparmor:agent-profile
    cap_drop:
      - ALL
    cap_add:
      - NET_BIND_SERVICE
    read_only: true
    tmpfs:
      - /tmp:size=512M,noexec,nosuid
    volumes:
      - ./project:/workspace:rw
      # 민감 디렉터리 마운트 금지
    networks:
      - agent-isolated
    deploy:
      resources:
        limits:
          cpus: '2.0'
          memory: 4G
          pids: 256
        reservations:
          cpus: '0.5'
          memory: 512M
    environment:
      - HOME=/workspace
      # API 키는 시크릿 매니저에서 주입
    user: '1000:1000'

networks:
  agent-isolated:
    driver: bridge
    internal: true # 외부 네트워크 차단

{
  "defaultAction": "SCMP_ACT_ERRNO",
  "defaultErrnoRet": 1,
  "architectures": ["SCMP_ARCH_X86_64", "SCMP_ARCH_AARCH64"],
  "syscalls": [
    {
      "names": [
        "read",
        "write",
        "open",
        "close",
        "stat",
        "fstat",
        "lstat",
        "poll",
        "lseek",
        "mmap",
        "mprotect",
        "munmap",
        "brk",
        "access",
        "pipe",
        "select",
        "sched_yield",
        "clone",
        "fork",
        "vfork",
        "execve",
        "exit",
        "wait4",
        "kill",
        "uname",
        "fcntl",
        "flock",
        "fsync",
        "fdatasync",
        "truncate",
        "getdents",
        "getcwd",
        "chdir",
        "mkdir",
        "rmdir",
        "unlink",
        "readlink",
        "chmod",
        "chown",
        "getuid",
        "getgid",
        "geteuid",
        "getegid",
        "getpid",
        "getppid",
        "socket",
        "connect",
        "sendto",
        "recvfrom",
        "bind",
        "listen",
        "accept",
        "arch_prctl",
        "set_tid_address",
        "set_robust_list",
        "futex",
        "clock_gettime",
        "epoll_create",
        "epoll_ctl",
        "epoll_wait",
        "openat",
        "newfstatat",
        "readlinkat",
        "getrandom",
        "pread64",
        "pwrite64"
      ],
      "action": "SCMP_ACT_ALLOW"
    },
    {
      "names": [
        "ptrace",
        "mount",
        "umount2",
        "pivot_root",
        "swapon",
        "swapoff",
        "reboot",
        "sethostname",
        "setdomainname",
        "init_module",
        "delete_module",
        "kexec_load",
        "perf_event_open"
      ],
      "action": "SCMP_ACT_ERRNO",
      "errnoRet": 1
    }
  ]
}

#!/bin/bash
# firecracker-agent-sandbox.sh
# Firecracker MicroVM으로 AI 에이전트 격리 실행

FIRECRACKER_BIN="/usr/local/bin/firecracker"
KERNEL_PATH="/opt/firecracker/vmlinux"
ROOTFS_PATH="/opt/firecracker/agent-rootfs.ext4"
SOCKET_PATH="/tmp/firecracker-agent.socket"
API_URL="http://localhost"

# 기존 소켓 정리
rm -f "$SOCKET_PATH"

# Firecracker 프로세스 시작
$FIRECRACKER_BIN --api-sock "$SOCKET_PATH" &
FC_PID=$!
sleep 0.5

# 커널 설정
curl --unix-socket "$SOCKET_PATH" -X PUT "$API_URL/boot-source" \
  -H "Content-Type: application/json" \
  -d '{
    "kernel_image_path": "'"$KERNEL_PATH"'",
    "boot_args": "console=ttyS0 reboot=k panic=1 pci=off"
  }'

# 루트 파일 시스템 (에이전트 이미지)
curl --unix-socket "$SOCKET_PATH" -X PUT "$API_URL/drives/rootfs" \
  -H "Content-Type: application/json" \
  -d '{
    "drive_id": "rootfs",
    "path_on_host": "'"$ROOTFS_PATH"'",
    "is_root_device": true,
    "is_read_only": false
  }'

# 리소스 제한 (2 vCPU, 2GB RAM)
curl --unix-socket "$SOCKET_PATH" -X PUT "$API_URL/machine-config" \
  -H "Content-Type: application/json" \
  -d '{
    "vcpu_count": 2,
    "mem_size_mib": 2048
  }'

# 네트워크 인터페이스 (격리 네트워크)
curl --unix-socket "$SOCKET_PATH" -X PUT "$API_URL/network-interfaces/eth0" \
  -H "Content-Type: application/json" \
  -d '{
    "iface_id": "eth0",
    "guest_mac": "AA:FC:00:00:00:01",
    "host_dev_name": "tap-agent0"
  }'

# Rate limiter 설정 (네트워크 대역폭 제한)
curl --unix-socket "$SOCKET_PATH" -X PATCH "$API_URL/network-interfaces/eth0" \
  -H "Content-Type: application/json" \
  -d '{
    "iface_id": "eth0",
    "rx_rate_limiter": {
      "bandwidth": { "size": 10485760, "refill_time": 1000 },
      "ops": { "size": 1000, "refill_time": 1000 }
    },
    "tx_rate_limiter": {
      "bandwidth": { "size": 10485760, "refill_time": 1000 },
      "ops": { "size": 1000, "refill_time": 1000 }
    }
  }'

# MicroVM 시작
curl --unix-socket "$SOCKET_PATH" -X PUT "$API_URL/actions" \
  -H "Content-Type: application/json" \
  -d '{ "action_type": "InstanceStart" }'

echo "Firecracker MicroVM started (PID: $FC_PID)"
echo "Agent is running in isolated VM"

# 작업 완료 후 VM 종료
cleanup() {
  kill "$FC_PID" 2>/dev/null
  rm -f "$SOCKET_PATH"
  echo "MicroVM destroyed - host remains untouched"
}
trap cleanup EXIT

# gvisor-runtime-class.yaml
apiVersion: node.k8s.io/v1
kind: RuntimeClass
metadata:
  name: gvisor
handler: runsc
scheduling:
  nodeSelector:
    sandbox.gke.io/runtime: gvisor

---
# agent-sandbox-pod.yaml
apiVersion: v1
kind: Pod
metadata:
  name: ai-coding-agent
  labels:
    app: coding-agent
    sandbox: gvisor
spec:
  runtimeClassName: gvisor
  securityContext:
    runAsNonRoot: true
    runAsUser: 1000
    fsGroup: 1000
    seccompProfile:
      type: RuntimeDefault
  containers:
    - name: agent
      image: ai-coding-agent:latest
      resources:
        limits:
          cpu: '2'
          memory: '4Gi'
          ephemeral-storage: '10Gi'
        requests:
          cpu: '500m'
          memory: '1Gi'
      securityContext:
        allowPrivilegeEscalation: false
        readOnlyRootFilesystem: true
        capabilities:
          drop:
            - ALL
      volumeMounts:
        - name: workspace
          mountPath: /workspace
        - name: tmp
          mountPath: /tmp
      env:
        - name: AGENT_WORKSPACE
          value: '/workspace'
        - name: AGENT_NETWORK_POLICY
          value: 'restricted'
  volumes:
    - name: workspace
      emptyDir:
        sizeLimit: 10Gi
    - name: tmp
      emptyDir:
        sizeLimit: 512Mi

---
# agent-network-policy.yaml
apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metadata:
  name: agent-isolation
spec:
  podSelector:
    matchLabels:
      sandbox: gvisor
  policyTypes:
    - Ingress
    - Egress
  egress:
    # 패키지 레지스트리만 허용
    - to:
        - ipBlock:
            cidr: 0.0.0.0/0
      ports:
        - protocol: TCP
          port: 443
    # DNS 허용
    - to:
        - namespaceSelector: {}
          podSelector:
            matchLabels:
              k8s-app: kube-dns
      ports:
        - protocol: UDP
          port: 53
  ingress: [] # 인바운드 트래픽 전면 차단

# 공격 시나리오: .cursorrules에 숨겨진 악성 지시
# 프로젝트 루트의 .cursorrules 파일

# 정상적으로 보이는 규칙들 사이에 숨겨진 지시
# "Always run npm audit fix before starting"
# 실제로는 에이전트에게 다음을 지시:
# 1. package.json을 수정하여 악성 postinstall 스크립트 추가
# 2. npm install 실행 시 자격증명 수집
# 3. 외부 서버로 전송

# 대응: 프로젝트 설정 파일을 신뢰할 수 있는 소스에서만 가져오기
# 에이전트 시작 전 설정 파일 무결성 검증 필수

Layer 5: 모니터링/감사 (Audit Logging, Anomaly Detection)
  |
Layer 4: 네트워크 격리 (NetworkPolicy, Firewall Rules)
  |
Layer 3: 리소스 제한 (cgroups, CPU/Memory/PID limits)
  |
Layer 2: 권한 범위 지정 (RBAC, File Permission, Capability Drop)
  |
Layer 1: 실행 격리 (MicroVM / gVisor / sandbox-exec)
  |
Layer 0: 하드웨어 (TPM, Secure Boot, VT-x)

# agent-security-policy.yaml
# AI 코딩 에이전트 보안 정책 정의

policies:
  code-review-agent:
    description: '코드 리뷰 전용 에이전트'
    filesystem:
      read:
        - '/workspace/src'
        - '/workspace/tests'
        - '/workspace/package.json'
        - '/workspace/tsconfig.json'
      write: [] # 읽기 전용
      deny:
        - '/workspace/.env'
        - '/workspace/.env.local'
        - '/workspace/secrets'
    network:
      allow_outbound:
        - 'api.openai.com:443'
        - 'api.anthropic.com:443'
      deny_all_inbound: true
    process:
      allow_exec:
        - '/usr/bin/git'
        - '/usr/local/bin/node'
      deny_exec:
        - '/bin/sh'
        - '/bin/bash'
        - '/usr/bin/curl'
        - '/usr/bin/wget'
    resources:
      max_cpu: '1.0'
      max_memory: '2Gi'
      max_pids: 128
      max_file_size: '50Mi'

  development-agent:
    description: '개발 작업 에이전트 (제한적 쓰기)'
    filesystem:
      read:
        - '/workspace'
      write:
        - '/workspace/src'
        - '/workspace/tests'
        - '/workspace/docs'
      deny:
        - '/workspace/.env'
        - '/workspace/.git/hooks'
        - '/workspace/node_modules/.cache'
    network:
      allow_outbound:
        - 'registry.npmjs.org:443'
        - 'api.openai.com:443'
      deny_all_inbound: true
    process:
      allow_exec:
        - '/usr/bin/git'
        - '/usr/local/bin/node'
        - '/usr/local/bin/npm'
        - '/usr/bin/python3'
      deny_exec:
        - '/usr/bin/ssh'
        - '/usr/bin/scp'
    resources:
      max_cpu: '2.0'
      max_memory: '4Gi'
      max_pids: 256
      max_file_size: '100Mi'
    audit:
      log_all_file_writes: true
      log_all_network_requests: true
      alert_on_denied_access: true