AI 코딩 에이전트에 파일과 터미널 사용 권한을 주면 반복 작업을 줄일 수 있지만, 잘못된 명령이나 신뢰할 수 없는 문서 속 지시가 실제 작업으로 이어질 가능성도 생깁니다. 중요한 것은 에이전트를 무조건 신뢰하거나 모든 행동을 무조건 막는 것이 아니라, 작업에 필요한 범위만 열고 결과를 확인할 수 있게 만드는 것입니다.
이 글은 로컬 에이전트의 파일·네트워크 권한, 샌드박스와 사람의 검토를 구분해 설명합니다. 특정 도구를 켰다는 것만으로 보안이 완성되지는 않습니다.
에이전트는 무엇을 할 수 있나요?
설정과 사용자의 승인에 따라 코딩 에이전트는 파일을 읽거나 수정하고, 터미널 명령을 실행하거나 외부 서비스에 접근할 수 있습니다. 도구 권한이 넓으면 유용한 작업도 많아지지만, 잘못된 변경이나 민감한 데이터 노출의 영향 범위도 커질 수 있습니다.
또한 에이전트가 읽는 웹페이지, 이메일, 저장소 파일에는 작업을 방해하는 지시가 섞여 있을 수 있습니다. Anthropic은 이를 간접 프롬프트 인젝션의 위험으로 설명합니다. 외부 문서의 내용은 검토 대상 데이터이며, 그 안의 지시가 사용자의 승인된 요청을 자동으로 바꾸어서는 안 됩니다.
지침, 권한, 샌드박스는 역할이 다릅니다
| 수단 | 하는 일 | 한계 |
|---|---|---|
| 작업 지침 | 목적과 작업 규칙을 전달 | 모델이 항상 따를 것이라고 보장할 수 없음 |
| 도구 권한 | 특정 파일·명령·작업을 허용하거나 제한 | 범위와 설정을 잘못 지정하면 빈틈이 생길 수 있음 |
| 샌드박스 | 실행 환경의 파일·네트워크 접근을 제한 | 도구와 설정에 따라 적용 범위가 다름 |
| 사람의 검토 | 중요한 변경의 맥락과 결과를 판단 | 확인 없이 습관적으로 승인하면 효과가 줄어듦 |
| 백업과 복구 | 문제가 생겼을 때 되돌릴 수 있게 함 | 실제 복원 절차를 확인하지 않으면 도움이 제한됨 |
예를 들어 테스트용 프로젝트 폴더만 수정하는 작업이라면 해당 범위를 좁혀 주고, 운영 데이터 삭제나 외부 서비스 변경처럼 영향이 큰 행동은 실제 대상과 결과를 확인하는 절차가 필요합니다. 구체적인 정책은 조직과 작업의 위험에 맞춰 정해야 합니다.
Claude Code의 샌드박스에서 확인할 점
Claude Code의 샌드박스 공식 문서는 셸 명령에 대한 파일 시스템·네트워크 격리와 설정 방법을 설명합니다. 동시에 샌드박스 밖에서 실행되는 항목, 제외 명령, 승인 후 격리 밖 재시도 등도 별도로 다룹니다. 따라서 “샌드박스를 켰으니 모든 도구와 모든 동작이 완전히 격리된다”고 생각해서는 안 됩니다.
사용 중인 버전의 문서와 실제 설정을 확인하면서 다음을 살펴보세요.
1. 어떤 폴더를 읽고 쓸 수 있는지, 민감한 파일이 그 안에 있는지 확인합니다. 2. 어떤 외부 주소로 통신할 수 있는지와 연결할 도구의 제공자를 확인합니다. 3. 샌드박스 밖에서 실행될 수 있는 도구·예외와 승인 조건을 살핍니다. 4. 중요한 파일의 백업을 만들고, 실제로 복원할 수 있는지 확인합니다. 5. 변경된 파일과 실행 결과를 검토합니다. 실행하지 못한 검사는 완료로 간주하지 않습니다.
구체적인 프로젝트 지침의 작성 방법은 CLAUDE.md 작성과 훅의 경계에서 이어서 볼 수 있습니다.
명령어 몇 개를 차단하면 안전할까요?
일부 위험한 명령을 탐지하는 규칙은 보조 수단이 될 수 있습니다. 하지만 문자열 목록만으로 모든 위험한 동작을 식별할 수는 없습니다. 같은 작업을 다양한 프로그램이나 경로로 수행할 수 있고, 정상 명령이 잘못 차단될 수도 있기 때문입니다. 파일·네트워크 권한, 실행 환경 격리, 자격증명 관리, 검토와 복구를 함께 설계해야 합니다.
원문에서 소개한 컴퓨터 원격 제어 사례는 사용자의 제보를 바탕으로 하지만, 이 글을 작성하며 그 사건의 실제 원인을 독립적으로 확인하지 못했습니다. 따라서 특정 공격이나 도구의 결함이 원인이었다고 단정하지 않습니다.
신뢰할 수 없는 자료를 다룰 때
외부 웹페이지나 첨부 문서를 읽는 작업이라면 에이전트에게 그 자료가 분석할 내용임을 알려 주고, 작업에 필요 없는 비밀 정보와 도구 접근을 줄이세요. 민감한 데이터가 포함된 결과를 다른 곳으로 보내거나 파일을 대량 수정하려 할 때는 원래 요청과 일치하는지 확인하는 과정이 중요합니다. 제공자의 에이전트 보안 안내도 모델의 행동만을 보안 통제로 삼지 말고 접근 범위를 제한할 것을 설명합니다.
자주 묻는 질문
지침 파일에 ‘비밀을 보내지 말라’고 쓰면 충분한가요?
지침은 도움이 되지만 강제적인 접근 제한을 대신하지 못합니다. 에이전트가 필요한 비밀만 볼 수 있도록 권한과 실행 환경을 설정해야 합니다.
샌드박스만 켜면 모든 사고가 막히나요?
아닙니다. 적용 대상과 예외, 네트워크 및 파일 권한, 도구별 실행 범위를 확인해야 합니다.
모든 행동을 사람이 승인해야 하나요?
작업의 영향과 복구 가능성을 기준으로 검토 지점을 정할 수 있습니다. 반복 승인으로 내용을 확인하지 않게 되는 상황도 고려해야 합니다.
참고 자료: Claude Code 샌드박스, 에이전트 보안 경계, 프롬프트 인젝션 완화. 확인일: 2026년 11월 6일.
다음 한 걸음
내 환경에서 막힌 부분은 실행 단계와 함께 질문해 주세요. 바꿔 만든 결과도 함께 나눌 수 있습니다.