보안 위험과 샌드박스 경계
에이전트의 설정이 보안에 중요한 이유와 Managed Agents 샌드박스가 할 수 있는 것과 할 수 없는 것.
이 페이지에서는 Managed Agents 배포 보안 강화하기의 설정이 중요한 이유와 샌드박스가 할 수 있는 것과 할 수 없는 것을 설명합니다.
이것이 중요한 이유
에이전트가 읽는 콘텐츠에 숨겨진 지시가 에이전트를 조종할 수 있습니다. 이를 prompt injection(프롬프트 인젝션)이라고 합니다. Claude는 본질적으로 이에 대한 내성을 갖추고 있지만, 모델의 동작은 보안 통제 수단이 아닙니다. Managed Agents 배포 보안 강화하기의 설정은 이러한 시도가 성공했을 때 그 영향을 제한합니다.
Claude는 또한 사용자가 맡긴 작업을 완료하기 위해 계속 작업하는 동안 예상하지 못한 단계를 수행할 수도 있습니다. 예를 들어, 장애물을 넘기 위해 접근할 수 있는 도구나 자격 증명을 사용할 수 있습니다. 동일한 설정이 이러한 단계가 접근할 수 있는 범위를 제한하며, 오프라인 검토자가 사후에 이를 표시할 수 있습니다.
| 발생할 수 있는 문제 | 예시 | 통제 수단 |
|---|---|---|
| 신뢰할 수 없는 입력이 에이전트를 조종함 | 티켓이 에이전트에게 모든 미결 주문을 취소하라고 지시함 | 최소한의 도구 세트, 강력한 도구로부터 신뢰할 수 없는 입력 분리, 위험한 작업에 대한 승인 |
| 샌드박스 내 코드가 자격 증명을 사용할 수 있음 | 에이전트가 속아서 실행한 스크립트가 에이전트의 키를 외부 호스트로 전송하거나, 이를 사용해 모든 고객의 주문을 읽음 | 볼트에 보관된 자격 증명, 제한된 네트워킹, 위험한 작업에 대한 승인 |
| 개방된 네트워크로 데이터가 유출됨 | bash 명령이 파일을 외부 호스트로 전송함 | 제한된 네트워킹, web_fetch 도메인 목록 |
| Claude가 예상하지 못한 단계를 수행함 | 장애물을 넘기 위해 접근할 수 있는 도구나 자격 증명을 사용함 | Managed Agents 배포 보안 강화하기의 설정. 오프라인 검토자가 사후에 해당 단계를 표시할 수 있음 |
이러한 설정은 위험을 낮추지만 제거하지는 않으므로, 절대 외부로 나가서는 안 되는 데이터는 샌드박스에 넣지 마세요. 에이전트는 여전히 읽을 수 있도록 허용된 데이터를 자신의 응답이나 도구 출력에 포함할 수 있습니다. 이러한 설정은 키의 권한을 제한하지 않으므로, 키를 발급한 서비스에서 키의 권한을 제한하세요. 이 설정은 커스텀 도구, MCP 서버 또는 자체 호스팅 인프라를 보호하지 않습니다.
샌드박스가 할 수 있는 것과 할 수 없는 것
Managed Agents는 설계상 에이전트 루프, 세션 기록, 볼트 시크릿을 샌드박스 외부에 둡니다. 설계 배경은 Scaling Managed Agents를 참조하세요.
| 구성 요소 | 실행 위치 | 제한 요소 |
|---|---|---|
| 에이전트 루프 | Anthropic의 서버 | 사용자가 설정한 도구 세트, 권한 정책, 예산 |
bash 및 파일 도구 | 샌드박스. 클라우드 환경에서는 각 세션이 자체 격리된 Linux 컨테이너를 받음 | 환경 네트워킹, 도구 세트, 권한 정책 |
web_search 및 web_fetch | Anthropic의 서버 | 도구 자체의 도메인 목록, 그리고 limited 클라우드 환경에서는 환경의 허용된 호스트. web_fetch는 또한 세션에 이미 나타난 URL만 엽니다 |
| 볼트 시크릿 | 샌드박스 외부. MCP 자격 증명은 샌드박스에 절대 들어가지 않음. 환경 변수 자격 증명의 경우 코드에는 플레이스홀더가 보임 | MCP 자격 증명의 경우 해당 자격 증명이 사용되는 MCP 서버 URL. 환경 변수 자격 증명의 경우 자격 증명이 허용하는 호스트, 주입 위치, 환경의 허용된 호스트 |
| 세션 기록 | 세션을 삭제할 때까지 Anthropic의 서버 | 워크스페이스의 API 키, Claude Console의 Developer 및 Admin 역할, 세션 삭제 |
| 커스텀 도구 | 사용자의 애플리케이션 | 사용자의 코드 |
클라우드 환경에서 세션은 파일 시스템 상태를 공유하지 않습니다. 둘 이상의 세션에 연결된 메모리 스토어는 해당 세션 간에 공유됩니다.
이러한 제한은 서로를 대체하지 않습니다. 예를 들어, 환경의 호스트를 제한한다고 해서 에이전트가 허용된 호스트에서 자격 증명을 사용하는 것을 막을 수는 없습니다.
Was this page helpful?