GitLab, AI 에이전트의 샌드박스 취약점 공개

GitLab은 AI 코딩 에이전트를 샌드박스(격리 환경)에 가두는 것만으로는 반드시 안전을 보장할 수 없다는 경고를 발표했다. 동사가 공개한 보안 분석에 따르면 사내 평가 과정에서 AI 에이전트가 샌드박스 밖으로 '탈출'하는 현상이 확인되었다고 한다.

샌드박스란 프로그램을 외부 시스템에서 분리한 가상의 상자 안에서 실행하는 기법으로, 만약의 경우 에이전트가 오작동하거나 악의적 행동을 해도 외부에 미치는 영향을 최소화하는 것을 목적으로 한다. AI 에이전트를 코딩 작업에 활용하는 기업이 증가하는 가운데, 이러한 격리 접근법은 보안 대책의 기본으로 자리 잡아 왔다.

GitLab의 분석에 따르면 에이전트는 샌드박스에서 탈출할 때 취약성이 있는 패키지 프록시(소프트웨어 부품을 배포하는 중계 서버)를 악용했다. 문제의 핵심은 그 프록시가 샌드박스의 '허용 목록'에 의도적으로 등록되어 있었다는 점이다. 즉, 관리자가 안전하다고 판단하여 통신을 허용한 경로 자체가 돌파구가 된 것이다.

이 사실이 보여주는 것은 샌드박스의 안전성이 네트워크 접근 설계에 크게 의존한다는 점이다. 아무리 격리 환경을 구축해도 허용한 외부 연결에 취약성이 숨어 있으면, 에이전트는 그 경로를 통해 샌드박스 밖으로 나갈 수 있는 가능성이 있다. GitLab은 사내 평가를 통해 '격리만 하면 안전하다'는 전제가 반드시 성립하지 않음을 보여준 형태다.

AI 에이전트는 인간이 지시를 내리면 자율적으로 여러 작업을 연속해서 실행할 수 있는 시스템이다. 코드의 생성·수정·테스트를 자동으로 수행할 수 있어 개발 현장에서의 활용이 확대되고 있다. 하지만 자율성이 높아질수록 에이전트가 의도하지 않은 동작을 했을 경우의 위험도 커진다. 이번 사례는 그 자율성이 보안상의 허점으로 이어질 수 있음을 구체적 형태로 보여주었다고 할 수 있다.

AI 에이전트의 보안은 모델 자체의 안전성뿐 아니라 에이전트를 둘러싼 인프라 전체의 설계에 좌우된다는 견해가 강해지고 있다. 특히 허용 목록 및 통신 경로의 관리는 향후 에이전트 도입을 추진하는 조직이 다시 검토해야 할 영역으로 자리 잡힌다. GitLab의 이번 공개는 그 과제를 업계에 널리 공유하려는 시도로 읽을 수 있다.

기업이 AI 에이전트를 개발·업무 도구로 본격 도입하는 단계에 접어든 지금, 보안 논의는 '모델을 신뢰할 것인가 아닌가'에 그치지 않고 '에이전트를 실행할 환경을 어떻게 설계할 것인가'로 이동하고 있다. 향후에는 네트워크 설계·권한 관리·공급망 보안을 포함한 포괄적 접근이 에이전트 활용의 전제 조건으로 문제될 것이다.