우리는 에이전트가 어디서 실행되는지 가둘 뿐입니다. 무엇을 가져갈 수 있는지는 가두지 못합니다.

6개월 전만 해도 코딩 에이전트가 Vercel에서 배포된 전체의 3%도 되지 않았습니다. 이번 주 이 회사의 CEO는 하루 600만 건의 배포 중 절반 이상이 에이전트가 일으킨 것이라고 밝혔고, 같은 기간 게이트웨이를 통해 이동한 AI 토큰은 1조 개가 넘었습니다. 에이전트는 서서히 프로덕션에 스며든 것이 아닙니다. 두 분기 만에 프로덕션을 통째로 가져갔습니다.

그래서 Vercel은 그에 맞는 런타임을 만들었습니다. 새로운 Sandbox는 각 에이전트의 셸 명령과 파일 작업을 격리된 VM 안에 넣고, 이를 구동하는 하네스와 별도의 보안 컨텍스트로 분리합니다. 모든 실행은 기록되고 모든 도구 호출은 추적됩니다. 그들이 분명히 밝힌 원칙은 이렇습니다. 흔적이 없으면 신뢰도 없습니다. 이 본능은 옳고, 감사(audit) 부분은 정확히 옳습니다. 에이전트가 행동했는데 무엇을 했는지 볼 수 없다면, 아무것도 없는 셈입니다.

이제 샌드박스가 건드리지 않는 나머지 절반을 봅시다. 격리는 에이전트가 어디서 실행되는지를 통제합니다. 에이전트가 무엇에 접근할 수 있는지는 통제하지 못합니다. 이걸 배포한 이유가 실제 일을 처리하는 것이기 때문에, 여러분은 실제 자격 증명을 넘겨줬습니다. AWS 키, 데이터베이스 비밀번호, API 토큰, 배포 시크릿 같은 것들입니다. 이것들은 에이전트가 필요로 하기 때문에 그와 함께 우리 안에 들어 있습니다. 그래서 샌드박스는 에이전트의 셸이 호스트로 빠져나가는 것을 막습니다. 그리고 프롬프트를 주입받거나 장악된 에이전트가, 정당하게 받은 자격 증명을 집어 들어 그 자격 증명이 허용하는 바로 그 일을 하는 상황에서는 아무것도 하지 못합니다. 우리는 피해 범위를 가둡니다. 자격 증명이 바로 타격 수단입니다. 행동 주체는 격리해 놓고, 열쇠는 그대로 쥐여 둔 채입니다.

그리고 에이전트는 장악됩니다. 이번 달에 그걸 직접 봤습니다. 한 게임을 통해 조건화된 에이전트가, 자기 환경에 있던 SSH 키와 토큰을 그대로 내어 준 사건입니다. 익스플로잇도, 탈출도 없었습니다. 에이전트는 이미 쥐고 있던 것으로, 누군가 말로 부추긴 대로 행동했을 뿐입니다. 샌드박스였다면 그 모든 순간을 기록했겠지만, 그중 아무것도 바꾸지 못했을 겁니다.

해결책은 더 단단한 우리가 아닙니다. 애초에 열쇠를 우리 안에 넣지 않는 것입니다. 에이전트는 여러분의 자격 증명을 들고 있을 필요가 없습니다. 행동하는 그 순간, 한 가지 작업에 대해 한 번 쓸 수 있으면 됩니다. 그때 브로커로 중개하세요. 작업에 필요한 단일 리소스로 범위를 한정하고, 발급된 기계에 묶고, 분 단위로 잰 시계 위에서 만료시킨 뒤, 이후에는 사라지게 하세요. 장악된 에이전트가 집어갈 수 있도록 샌드박스에 저장 상태로 남아 있는 것은 아무것도 없습니다. 시크릿은 애초에 그곳에 보관되지 않았으니까요. 에이전트가 여러분을 향해 돌아서는 순간—지금은 프로덕션의 절반이 에이전트니까, 돌아선다고 가정해야 합니다—그것이 접근할 수 있는 것은 하나의 작업을 위한 하나의 만료 예정 키일 뿐, 여러분의 키링이 아닙니다.

그렇다고 해서 장악된 에이전트가 무해해지는 것은 아닙니다. 살아 있는 자격 증명을 쥐고 있는 동안에는, 그 자격 증명이 허용하는 어떤 일이든 오용할 수 있고, 어떤 설계도 이 사실을 바꾸지 못합니다. 달라지는 것은 손실의 크기입니다. Vercel의 샌드박스는 나쁜 에이전트가 실행될 수 있는 공간을 줄입니다. 범위가 한정되고, 브로커를 거치며, 일시적인 자격 증명은 그것이 가져갈 수 있는 것을 줄입니다. 둘 다 필요하고, 둘은 서로 다른 절반을 해결합니다. 업계는 런타임을 만드는 데 경주하고 있습니다. 나머지 절반은 에이전트가 키링을 결코 쥐지 못하게 하는 것이고, 지금 그 절반은 여전히 정적 시크릿을 상자 안으로 그대로 밀어 넣고 있습니다.

Vercel의 주장에 따르면, 이기는 계층은 최고의 모델을 가진 측이 아니라 에이전트 런타임입니다. 이 말은 절반만 맞습니다. 나머지 절반은 그 안에 있는 자격 증명 계층입니다.

우리는 자격 증명 시스템이 결코 해서는 안 되는 것들의 짧은 목록을 유지합니다. 맨 위 근처에 있는 항목은 이렇습니다. 시크릿은 그것을 사용하는 코드가 실행되는 자리에 결코 있으면 안 됩니다. 목록은 여기 있습니다.

Clavitor (@clavitorai)는 AI 에이전트를 위해, 그리고 그에 맞서기 위해 만들어진 자격 증명 볼트입니다. clavitor.ai

출처

Vercel (@vercel), CEO Guillermo Rauch (@rauchg) 경유: eve 에이전트 프레임워크와 Vercel Sandbox 출시, 그리고 공개된 규모—에이전트가 지금은 Vercel 배포와 커밋의 절반 이상을 차지하며, 6개월 전 3% 미만에서 상승; 하루 600만 건 배포; AI Gateway를 통해 하루 1조 개 이상의 토큰. [1]

TechCrunch (@TechCrunch): "Vercel CEO Guillermo Rauch on the fight to split off models from agents," 모델과 에이전트를 분리하려는 논지와 기업 관점의 리스크 프레이밍. [2]