AWS, 에이전트가 '이미 한 일'을 보고 막는 오픈소스 샌드박스 'Strands Box' 공개
AWS가 내놓은 Strands Box의 특징은, 에이전트가 ’이미 한 일’을 기억해서 다음 행동을 막는다는 점이다.
AWS가 AI 에이전트(사용자 대신 여러 단계의 일을 스스로 처리하는 AI)의 행동을 제한하는 오픈소스 샌드박스 Strands Box를 10월 7일 개발자 프리뷰(정식 출시 전에 개발자가 먼저 써 보도록 내놓은 공개판)로 공개했다. 라이선스는 Apache 2.0(누구나 무료로 쓰고 고칠 수 있는 오픈소스 이용 규칙)이다. 샌드박스는 에이전트를 안전 상자 안에 가둬 두고 할 수 있는 일을 제한하는 장치다. 프리뷰 단계라 아직 쓸 수 있는 환경이 좁지만, 개발자가 코딩·DevOps(소프트웨어 배포와 서버 운영을 자동화하는 일) 에이전트를 만들 때 쓸 수 있는 안전장치의 방향을 보여 준다.
무엇을 하는 도구인가
- OS 수준 격리 + 정책 엔진: 에이전트를 운영체제 수준에서 가두고, 에이전트가 실행하는 셸 명령, 파이썬 스크립트, 네트워크 요청, MCP 도구 호출을 정책 엔진(Dogwood)에 통과시킨다. 정책 엔진은 이 행동을 허용할지 막을지를 판정한다. MCP는 AI가 외부 도구를 쓰는 연결 규격이다.
- 이전 행동을 기억하는 규칙: 컨테이너나 마이크로VM(작은 가상 컴퓨터)은 에이전트를 가둘 뿐 지금까지 무엇을 했는지 모른다. Strands Box는 에이전트가 이미 한 행동을 기준으로 규칙을 적용한다.
- 규칙 예시: Slack에 글을 올릴 수는 있지만 10분에 3번까지만 허용한다. 고객 데이터 폴더의 파일을 한 번 읽었다면 이후 외부 웹 요청을 막는다.
지금 쓸 수 있나
- 지원 환경: 프리뷰는 macOS 15 이상의 Apple silicon Mac만 지원한다.
- 로드맵: Linux 지원은 계획 중이라고 하지만 일정은 없고, Windows는 언급이 없다. AWS의 에이전트 실행 서비스 Bedrock AgentCore와 컨테이너 서비스 ECS, Kubernetes(여러 컨테이너를 묶어 관리하는 오픈소스 도구) 같은 배포 대상도 목표로만 제시됐고 시점은 정해지지 않았다.
- 프레임워크: 일부 보도는 Strands Agents 생태계와 묶어 설명하지만, 특정 에이전트 프레임워크에 묶이지 않고 동작하는 것을 목표로 한다는 분석도 있다.
한계도 분명하다
AWS는 자사 글에서 빈틈을 직접 밝혔다.
- 설정 파일에서 직접 허용한 경로는 OS 수준 격리 안에 있지만, 규칙이 보는 행동 기록에는 남지 않는다. 에이전트의 내장 파일 도구가 여는 경로가 여기에 해당한다. 셸과 파이썬 인터프리터는 샌드박스 밖에서 돌아서 믿어야 하는 범위가 넓어지는데, AWS는 이를 의도한 절충이라고 밝혔다.
- AWS의 예시도 IAM(권한 관리) 역할로 자격 증명이 할 수 있는 일을 먼저 제한하고 그 위에 Box의 규칙을 더하는 구조다. 즉 IAM을 대체하지 않는다. 완전한 격리가 아니라 ’유용한 제약’으로 보는 게 맞다.
원문에서 확인되지 않은 부분
- “엔터프라이즈 환경에서 폭증하는 에이전트의 이탈 행동”이라는 표현이나 “실시간 모니터링”은 공식 설명에서 확인하지 못했다. 확인된 핵심은 격리와 이전 행동 기반 규칙이다.
- “에이전트 가드레일 프레임워크가 공식화되었다”는 표현은 과장이다. 현재는 오픈소스 개발자 프리뷰이고 지원 환경도 제한적이다.
개발자에게 달라질 수 있는 것
아래는 보도를 바탕으로 한 추정과 조언이다.
- 프롬프트로 “하지 마”라고 쓰는 것만으로는 부족하다. 에이전트가 실제로 할 수 있는 행동 자체를 시스템에서 막는 방식이 표준이 될 가능성이 있다.
- 규칙은 ’횟수’와 ’순서’로 설계할 수 있다. 횟수 제한, 민감 데이터를 읽은 뒤의 외부 통신 차단처럼 상태를 보는 규칙은 코딩·DevOps 에이전트에 특히 유용하다.
- 지금은 실험용으로 보는 게 맞다. Mac 전용 프리뷰라서 서버 배포에 바로 쓰기는 어렵다. 운영 환경에서는 IAM, 로그, 사람의 승인 같은 기존 장치를 그대로 유지해야 한다.
- 우회 경로를 점검한다. 도구가 막지 못하는 경로(내장 도구, 신뢰된 인터프리터)가 있다는 점을 전제로, 중요한 작업은 별도 승인 단계를 두는 편이 안전하다.
앞으로 볼 것
Linux 지원 일정과 Windows 지원 여부, 클라우드 배포 대상 일정, 정책 규칙 언어(Dogwood) 문서와 예제, 그리고 우회 사례가 어떻게 보고되고 고쳐지는지다.
출처
출처: aws.amazon.com