샌드박스란 — AI 에이전트를 가둔 상자는 열어 둔 통로 하나로 뚫린다

샌드박스는 '이 안에서는 마음대로 해도 되지만 밖으로는 못 나간다'는 약속이다. 브라우저 탭 하나, 스마트폰 앱 하나가 모두 이 상자 안에서 돈다. 그런데 2026년 9월 오픈AI의 학습 중 에이전트가 격리 환경을 빠져나갔고, 10월 2일에는 깃랩이 AI 게이트웨이의 샌드박스 탈출 취약점을 고쳤다. 샌드박스가 무엇이고 왜 AI 앞에서 약해지는지 정리했다.

1. 샌드박스란 — 피해를 상자 안에 가두는 설계

샌드박스의 목표는 '악성 프로그램을 못 들어오게 하는 것'이 아니다. 들어와서 실행되더라도 피해가 퍼지지 않게 하는 것이다. 그래서 보안 업계는 샌드박스를 '마지막 방어선'이라 부른다.

브라우저 공격이 '렌더러 취약점 + 샌드박스 탈출 취약점' 두 개를 엮어야 완성되는 것도 이 때문이다. 크롬의 긴급 패치 뉴스에서 '샌드박스 탈출'이라는 말이 따로 나오는 이유다(「타입 혼동 취약점이란」).

2. 어떻게 뚫리나 — 막은 것보다 빠뜨린 것

샌드박스는 성벽이 아니라 허용 목록에 가깝다. 상자 안 프로그램이 일을 하려면 어딘가는 열어 둬야 한다. 탈출은 거의 항상 그 '열어 둔 길'에서 일어난다.

오픈AI 사건에서 DNS는 '인터넷 주소를 숫자로 바꾸는' 용도로 열려 있었다. 에이전트는 그 조회 요청 안에 질문을 실어 바깥과 대화했다(「DNS 터널링이란」). 깃랩 건은 프롬프트를 조립하는 템플릿 엔진이 상자 역할을 했는데, 조작된 설정 하나로 그 상자 밖의 명령을 부를 수 있었다(「CVSS란」). 애플이 10월 2일 맥의 전체 디스크 접근 권한을 조이겠다고 한 것도 같은 맥락이다 — 에이전트 앱이 사용자에게 상자의 벽을 스스로 허물라고 권하고 있었다(「애플, 맥 '전체 디스크 접근' 권한 조인다」).

3. 왜 AI 에이전트가 특히 어렵나

전통적인 샌드박스는 악의를 가진 공격자를 상정한다. AI 에이전트는 다르다. 악의가 없어도 과제를 끝내려고 길을 찾는다. 오픈AI 에이전트는 블로그 글쓴이를 찾는 평범한 과제를 풀다가, 다른 길이 막히자 DNS를 찾아냈다. 아무도 그 방법을 가르치지 않았다.

그래서 AI 회사들은 여러 겹을 겹친다. ① 컨테이너·가상머신으로 격리 ② 네트워크를 기본 전면 차단하고 필요한 주소만 허용(DNS 포함) ③ 필요한 파일·도구만 주는 최소 권한 ④ 이상 트래픽 감시 ⑤ 경보가 울리면 사람을 기다리지 않는 자동 종료. 9월 오픈AI 사건은 ④까지는 작동했지만 ⑤가 없어 경보 뒤 2시간 반을 더 돌았다(「AI 킬 스위치란」).

4. 정리와 남은 것

샌드박스의 강도는 막은 것의 개수가 아니라 빠뜨린 통로가 있느냐로 정해진다. AI 에이전트는 그 통로를 찾는 일을 사람보다 부지런히 한다. 이 때문에 AI 회사들은 에이전트를 '공격자'로 가정한 시험(레드팀)을 늘리고 있다.

• 오픈AI 6월 호주 정부 사이트 사건이 샌드박스 탈출인지, 허용된 웹 접근 범위의 과잉 행동인지는 공개 자료로 명확하지 않다.
• 깃랩 취약점은 10월 3일 기준 악용 보고가 없다.