Modal의 샌드박스: 에이전트에게 부숴도 되는 한 대를 주다

AI 에이전트에 코드를 돌릴 힘을 주는 것은 쉽다. 안전한 곳에서 돌리게 하는 것은 쉽지 않다. 2026년 10월 1일, Modal Labs는 에이전트용 완전 VM 샌드박스를 공개했다. 각 에이전트에게 건드려선 안 될 것을 건드리지 않고 코드와 도구를 돌릴 완전한 컴퓨터를 준다. 모델 공개가 아니라 인프라 공개이며, 에이전트 서사에서 가장 고집스러운 문제 하나를 다룬다.

문제는 간단히 말할 수 있다. 말만 하는 에이전트는 무해하다. 행동할 수 있는 에이전트는 행동할 곳을 필요로 하고, 그것이 행동할 수 있는 곳, 운영 데이터베이스부터 개발자 자신의 기계까지, 바로 망가지면 안 되는 곳들이다. 샌드박스는 그것을 해결하려 에이전트에게 일회용 세계를 준다. 거기서 실수는 재시작 외에 아무 비용도 치르지 않는다.

왜 컨테이너로 충분치 않은가

대부분의 에이전트 런타임은 이미 어떤 형태로 코드를 격리한다. 보통 컨테이너다. 컨테이너는 에이전트가 상자 밖으로 새는 것을 잘 막지만, 호스트와 커널을 공유하며 안이 예측 불가능할 때 중요한 방식으로 샐 수 있다. 완전 VM은 더 무겁지만 더 엄격하다. 에이전트는 자기 OS, 자기 파일 시스템, 자기 네트워크 뷰를 얻고, 격리는 더 낮은 층에서 성립한다.

일상 작업 에이전트에는 차이가 드러나지 않을 수 있다. 임의의 생성 코드를 돌리고, 인터넷에서 가져오고, 의존성을 설치하는 에이전트에는 차이가 전부다. 샌드박스는 에이전트를 빠르게 하려는 것이 아니다. 에이전트가 예상 밖의 일을 할 때 폭발 반경을 일회용 한 대로 묶으려는 것이다.

{{INLINE1}}

이 공개 뒤의 흐름

Modal의 시점은 더 넓은 전환을 반영한다. 에이전트는 데모에서 파이프라인으로 옮겨갔고, 파이프라인에 들어가면 실제 권한을 갖는다. 에이전트가 자격 증명을 쥔 순간, 어디서 도는지는 편의가 아니라 보안의 질문이 된다. 지난 몇 달 샌드박스, 권한, 거버넌스 도구가 쏟아진 이유다. 업계는 에이전트를 배포 가능하게 하는 지루한 부분을 짓고 있다.

이름 붙일 만한 아이러니가 있다. 헤드라인은 모델이 가져가지만, 에이전트가 신뢰받는지를 정하는 계층은 평범한 엔지니어링으로 되어 있다. 세션을 넘어 맥락을 지키는 메모리, 실수를 담는 샌드박스, 사용자가 무엇에 동의했는지 기록하는 동의 프로토콜. 모두 데모에서는 눈에 띄지 않고, 모두 장난감과 기업이 실제로 돌리는 것의 차이다.

도입 전에 물어볼 것

모든 샌드박스가 같지 않고, 질문은 실무적이다. 시작이 얼마나 빠른가, 느린 콜드 스타트는 모든 호출을 대기로 바꾼다. 무엇에 닿을 수 있고, 작업별로 닫을 수 있는가. 끝날 때 상태는 어떻게 되고 얼마나 기록되는가. 신뢰할 수 없는 코드를 확실히 견디는가, 아니면 얌전한 스크립트용으로 조정됐는가. 답이 그것이 진짜 경계인지 형식인지를 정한다.

가장 강한 샌드박스는 내부가 적대적이거나 고장 났다고 가정하고, 둘 다 밖으로 못 나가게 설계된다. 이는 사람이 만지는 개발 환경과 다른 설계 목표다. 에이전트 작업에서는 적대성 가정이 맞다. 생성 코드는 본질적으로 예측 불가능하고, 에이전트는 완전히 통제할 수 없는 출처에서 지시를 받기 때문이다.

에이전트 스택의 나머지와 어떻게 맞물리나

샌드박스는 에이전트 인프라라는 큰 논의의 한 조각이다. 에이전트는 이어서 하기 위한 메모리, 닿아야 할 것만 닿는 권한, 실수를 가두는 실행 장소를 필요로 한다. 각각 독립된 관심사이고, 각각 지난 1년 자기 도구 물결을 낳았다. 샌드박스는 격리 조각이고, 에이전트가 자율성을 키울수록 더 중요해진다.

그것이 추세선이다. 초기 에이전트는 한 걸음씩 움직였고 사람이 매 걸음을 승인했다. 방향은 더 오래 움직이고, 더 많이 행동하고, 더 적은 감독을 요구하는 에이전트다. 자율성이 클수록 사람이 잡는 데 의존하지 않는 경계가 필요하다. 완전 VM은 컨테이너보다 무거운 도구이고, 그 무게를 치를 이유는 바로 감독 의존을 끝내기 위해서다.

거의 논의되지 않는 비용 차원도 있다. 샌드박스는 안전하게 만들 뿐 아니라 시도하기를 싸게 만든다. 새 기계를 띄우고, 부수고, 버릴 수 있는 에이전트는 실패를 무료로 여긴다. 이는 에이전트가 일하는 방식을 바꾼다. 더 실험적이 될 수 있고, 더 많은 방법을 시험하고, 사람이 치우지 않고 막다른 길에서 회복한다. 격리와 실험은 같은 특징을 두 각도에서 본 것이다.

어떤 샌드박스에도 통하는 한 가지 시험

도입 전에 간단한 실험을 하라. 낯선 패키지를 설치하고, 인터넷에서 가져오고, 디스크에 쓰는 작업을 에이전트에게 준다. 그리고 샌드박스가 무엇을 보는지 관찰하라. 실수로 사내망에 닿는가. 망가진 작업이 무언가를 남기는가. 새 인스턴스가 뜨는 데 얼마나 걸리는가. 답은 빠르고, 격리가 진짜인지 겉치레인지를 드러낸다.

그다음 일부러 부순다. 탈출하려는 코드, 백그라운드 프로세스를 낳는 코드, 루프에 빠지는 코드를 먹인다. 좋은 샌드박스는 모두 예상으로 여기고 가둔다. 약한 것은 멈추거나, 새거나, 쓰러진다. 이렇게 시험하려는 태도 자체가 에이전트 보안을 진지하게 다루는 팀의 표시이며, 운영에서 한계를 아는 것보다 훨씬 싸다.

왜 보기보다 중요한가

유용한 에이전트의 병목은 지능에서 신뢰로 옮겨갔다. 모델은 많은 실무를 할 만큼 유능하고, 더 하지 않는 것은 사람이 열쇠를 넘길 마음이 안 들어서다. 샌드박스는 그 편안함을 바꾸는 도구 중 하나로, 신중한 운영자가 최악의 경우를 가둔 모드로 돌릴 수 있게 한다.

이런 공개는 뉴스에서 화제가 되지 않는다. 지난 1년 야심찬 에이전트 데모가 아무도 안 보는 화요일에 도는 것이 되는지를 정하는 배관이다. 에이전트로 만든다면 여기에 주의를 쏟을 가치가 있다. 가둘 수 없는 에이전트는 신뢰받지 못하고, 신뢰받지 못하는 에이전트는 배포되지 않는다.