클로드 코드 샌드박스, 승인 요청 84% 줄였다

앤트로픽(Anthropic)이 클로드 코드(Claude Code)의 Bash 명령 실행을 운영체제 수준에서 격리하는 샌드박스 기능을 다시 전면에 세웠다. 개발자가 AI 코딩 에이전트에 더 많은 명령 실행 권한을 맡기는 흐름 속에서 파일시스템과 네트워크 접근 범위를 어디까지 제한할지가 핵심 쟁점으로 떠올랐다.

앤트로픽은 클로드 코드 문서에서 샌드박스가 macOS, Linux, WSL2에서 동작하며 native Windows는 지원하지 않는다고 밝혔다. Windows 사용자는 WSL2 안에서 클로드 코드를 실행해야 샌드박스 지원 범위에 들어간다.

이번 기능은 클로드 데스크톱 앱 전체를 격리하는 장치가 아니다. 클로드 코드가 실행하는 Bash 하위 프로세스에 적용되는 보안 경계이며, built-in file tools와 computer use는 같은 경계 안에서 움직이지 않는다.

샌드박스는 사용자가 매번 명령을 승인하는 구조를 줄이기 위해 설계됐다. 기본 설정에서는 작업 디렉터리와 세션 임시 디렉터리에 쓰기를 허용하고, 새 네트워크 도메인 접근은 별도 승인을 요구한다.

운영 모드는 두 가지다. auto-allow는 샌드박스 안에서 실행 가능한 명령을 자동 승인하고, regular permissions는 샌드박스 안에서도 기존 승인 절차를 유지한다.

앤트로픽은 2025년 10월 20일 기술 글에서 이 샌드박싱이 파일시스템 격리와 네트워크 격리를 결합한다고 설명했다. 회사는 내부 사용 기준으로 권한 승인 요청이 84% 줄었다고 밝혔다.

이 수치는 AI 코딩 도구가 실제 개발 과정에 깊게 들어오면서 반복 승인 방식의 한계가 커졌다는 점을 보여준다. 사용자가 같은 유형의 승인 버튼을 계속 누르면 승인 자체가 보안 장치로 작동하기 어려워지는 승인 피로가 생길 수 있다.

이번 샌드박스 정리는 AI 코딩 에이전트의 실행 권한을 좁히는 운영 장치에 가깝다.

다만 샌드박스를 켰다는 사실만으로 모든 위험이 사라지는 것은 아니다. 클로드 코드 문서는 샌드박스가 의존성 부족이나 미지원 플랫폼 때문에 시작되지 않으면 기본적으로 경고 뒤 비샌드박스 실행으로 돌아갈 수 있다고 안내한다.

이를 막으려면 sandbox.failIfUnavailable=true 설정이 필요하다. 또 dangerouslyDisableSandbox 경로가 허용돼 있으면 샌드박스 위반 명령이 비샌드박스로 재시도될 수 있어 allowUnsandboxedCommands=false 설정을 별도로 검토해야 한다.

데스크톱 환경의 신뢰 경계도 구분해야 한다. 앤트로픽은 클로드 데스크톱 문서에서 computer use가 실제 데스크톱에서 앱을 열고 화면을 제어하는 기능이며, 샌드박스형 Bash 도구와는 다른 경계에서 작동한다고 설명했다.

본지는 앞서 앤트로픽이 클로드에 컴퓨터와 브라우저를 직접 조작하는 기능을 붙였다고 보도했다. 이번 샌드박스 논의는 화면을 읽고 마우스·키보드를 제어하는 기능이 아니라 명령 실행 격리에 초점이 맞춰져 있다.

이번 정리는 8월 공개된 클로드 코드 자동화 흐름과도 맞물린다. 앤트로픽은 8월 6일 자체 인프라에서 클로드 코드 세션을 돌리는 self-hosted environments를 공개 베타로 내놓았고, 8월 7일에는 Pro, Max, Team 요금제의 새 세션에서 auto mode를 기본값으로 바꾸겠다고 밝혔다.

개발자 도구가 더 오래, 더 자율적으로 움직일수록 기업 환경에서는 허용 도메인, 쓰기 경로, 비샌드박스 예외 명령을 좁게 관리해야 한다. macOS와 Linux, WSL2 환경에서는 Bash 명령의 파일·네트워크 경계를 설정할 수 있지만 native Windows와 화면 제어 기능은 별도 관리 대상이다.