LangChain, AI 에이전트 샌드박스 선택 가이드 발표 — 치명적 삼중 위협과 microVM 격리

AI 에이전트가 점점 더 강력해지고 프로덕션 시스템에 깊이 통합됨에 따라, 안전한 격리 문제가 중요해지고 있습니다. LangChain은 2026년 6월 12일 에이전트 시스템에 적합한 샌드박스 선택의 핵심 원칙을 정의하는 상세한 가이드를 발표했습니다 — 이론적 프레임워크부터 구체적인 아키텍처 결정까지.

취약성을 만드는 치명적 삼중 위협

보안 전문가 Simon Willison이 이른바 치명적 삼중 위협(lethal trifecta)을 정의했습니다: 민감한 데이터 접근, 신뢰할 수 없는 콘텐츠 노출, 외부 통신 가능성의 세 가지 조건이 동시에 존재하는 상태. 세 요소 모두 존재할 때, 공격자는 프롬프트 인젝션 공격을 이용해 데이터를 탈취할 수 있습니다.

문제는 대부분의 프로덕션 에이전트 시스템이 정확히 이러한 조합을 사용한다는 점입니다. 이메일을 읽고(민감한 데이터), 해당 이메일의 링크를 처리하며(신뢰할 수 없는 콘텐츠), 응답을 보낼 수 있는(외부 통신) 에이전트는 실제 삼중 위협의 완벽한 예시입니다.

Meta는 완화 조치로 「2의 규칙」(Rule of Two)을 제안했습니다 — 세 요소 모두 존재할 때 에이전트는 자율적으로 행동해서는 안 된다는 것입니다. 그러나 실제로는 시행하기 어렵습니다: 시스템 아키텍트들이 프로덕션에서 어떤 조합이 발생할지 항상 예측할 수는 없습니다. 따라서 정책만이 아닌 구조적 격리가 필수적입니다.

에이전트 격리가 필수화된 이유

프롬프트 인젝션은 가상의 위협이 아닙니다. 에이전트가 처리하는 데이터 내의 악성 콘텐츠 — 웹 페이지, 문서, 이메일 — 가 에이전트가 합법적인 명령으로 해석하는 지시를 포함하는 시나리오입니다. 샌드박스 없이는 성공적인 공격이 데이터 유출, 무단 API 호출, 시스템의 영구적인 변경으로 이어질 수 있습니다.

샌드박스는 삼중 위협을 제거하지 않지만, 모든 침해를 격리된 환경으로 제한합니다. 공격자가 샌드박스 내에서 에이전트를 「장악」할 수 있지만, 나머지 인프라에는 접근할 수 없습니다. 피해 반경이 구조적으로 제한됩니다 — 이것이 안전한 설계와 안전하지 않은 설계의 근본적인 차이입니다.

효과적인 격리의 다섯 가지 차원

LangChain은 모든 샌드박스가 충족해야 하는 다섯 가지 핵심 특성을 정의합니다:

파일 시스템 격리 — 샌드박스는 현재 작업에 필요한 데이터만 포함합니다. 에이전트가 어떤 지시를 받든 자신의 범위 밖의 파일에 접근할 수 없습니다.

제한된 네트워크 접근 — 특정 대상 주소(허용 목록)만 허용됩니다. 성공적인 프롬프트 인젝션 공격의 경우에도 에이전트는 승인되지 않은 주소로 데이터를 전송할 수 없습니다.

리소스 제한 — CPU 사이클, 메모리 사용량, 실행 시간에 대한 제어는 서비스 거부 공격 및 무제한 API 크레딧 소비를 방지합니다.

제어된 재사용성 — 세션 간에 상태가 유지되는지 또는 각 작업마다 샌드박스가 초기화되는지에 대한 의식적인 결정.

커널 수준 격리 — microVM 가상화는 에이전트가 운영 체제 취약점을 이용해 샌드박스를 탈출하는 것을 방지합니다.

LangSmith Sandboxes 솔루션의 아키텍처

LangSmith Sandboxes는 전용 microVM 기반 아키텍처를 통해 위에서 언급한 모든 원칙을 구현합니다: 각 샌드박스는 독립적인 파일 시스템과 격리된 커널을 갖춘 자체 가상 머신을 받으며, 나머지 인프라 및 병렬로 실행 중인 다른 샌드박스와 물리적으로 분리됩니다.

가장 중요한 아키텍처 혁신은 인증 프록시입니다: 비밀 키 — API 키, 토큰, 자격 증명 — 는 샌드박스 내부에 절대 저장되지 않습니다. 대신, 프록시가 아웃바운드 트래픽을 가로채 샌드박스를 떠난 후에야 요청에 자격 증명을 삽입합니다. 에이전트가 침해되더라도 공격자는 비밀 키에 접근할 수 없습니다. 해당 키들이 침해된 환경 내에 문자 그대로 존재하지 않기 때문입니다.

이 설계는 프롬프트 인젝션 공격이 성공하더라도 에이전트를 조작해 샌드박스 내에서 사용 가능한 제한된 데이터로 허용된 엔드포인트에 요청을 보내도록 할 수 있을 뿐임을 의미합니다.

더 넓은 생태계와의 통합

LangChain은 샌드박스가 에이전트 엔지니어링을 위한 더 넓은 플랫폼에 통합되어야 한다고 강조합니다 — 격리된 보안 부가 기능이 아닙니다. 테스트, 모니터링, 배포 도구 없이는 안전한 격리가 팀들이 우회하는 행정적 부담이 되어 그 가치를 무력화합니다.

올바른 샌드박스 선택은 세 가지 요소의 특정 조합에 따라 달라집니다: 에이전트가 접근하는 데이터의 민감도, 처리하는 콘텐츠의 신뢰할 수 없는 정도, 통신하는 외부 시스템의 중요성. 이 세 가지 모두가 높은 수준으로 결합된 시스템의 경우 — 인증 프록시를 갖춘 microVM 격리는 선택이 아닌 전제 조건입니다.