기술 요약: Sandlock

문제 정의

AI 에이전트와 코딩 어시스턴트가 개발자 워크스테이션에서 신뢰할 수 없는 코드를 실행하는 경우가 증가하고 있습니다. 여기에는 대규모 언어 모델 (LLM) 이 생성한 셸 명령어, 서드파티 스크립트, 도구 플러그인이 포함됩니다. 이로 인해 단일 실행이 의도치 않은 파일 삭제, SSH 키 도난, 또는 네트워크 유출로 이어질 수 있는 중대한 공급망 위험이 발생합니다.

기존 격리 메커니즘은 이러한 특정 워크로드에 적합하지 않습니다:

• 컨테이너 및 마이크로 VM: 강력한 격리를 제공하지만, 수백 밀리초의 높은 시작 지연 시간을 초래하며 이미지 관리, 루트 권한, 또는 복잡한 네임스페이스 구성이 필요합니다. 이는 수명이 짧고 빈번한 에이전트 명령어에는 금지적입니다.
• 임시 제어 도구: chroot, ulimit, firejail, 또는 bubblewrap과 같은 도구는 약한 보장을 제공하며, 세분화된 시스템 호출 (syscall) 제어가 부족하고 호스트 수준 또는 HTTP 수준의 네트워크 정책을 강제할 수 없습니다.
• gVisor: 사용자 모드 커널을 도입하여 격리를 개선하지만, 시스템 호출 오버헤드로 인해 빌드 도구의 호환성과 성능이 저하됩니다.

핵심적인 과제는 전체 컨테이너 재시작 없이 런타임 동작에 의존하는 정책 (예: 설정 단계 후 네트워크 접근 권한 박탈) 을 강제할 수 있을 정도로 권한이 없는 (unprivileged), 지연 시간이 낮은, 파일시스템을 인지하는, 그리고 프로그래밍 가능한 도구가 없다는 점입니다.

방법론 및 설계

Sandlock 은 Rust 로 작성된 경량 권한 없는 Linux 프로세스 샌드박스입니다. 이의 중심 설계 혁신은 정적이며 입력과 무관한 정책과 런타임 의존적 결정을 분리하는 분리 강제 모델입니다.

1. 분리 강제 아키텍처

Sandlock 은 정책 강제를 두 가지 명확한 계층으로 구성합니다:

• 정적 커널 강제 규칙: 실행 전 판별이 알려진 정책 (예: 읽기 가능한 경로 접두사, 쓰기 가능한 작업 공간, TCP 포트, IPC 범위, 무조건적 시스템 호출 거부) 은 커널 원시 명령어로 컴파일됩니다. Sandlock 은 파일시스템, TCP 포트, IPC 제약을 위해 Landlock을 활용하고, 무조건적 시스템 호출 필터링을 위해 seccomp-bpf를 사용합니다. 이 계층은 수퍼바이저 개입 없이 작동하여 최소한의 오버헤드를 보장합니다.
• 런타임 수퍼바이저: 시스템 호출 시점 상태에 의존하는 결정 (예: 해결된 네트워크 목적지, execve 인수, HTTP 메서드/경로, 또는 복사 시 쓰기 (copy-on-write) 효과) 은 좁은 seccomp 사용자 알림 수퍼바이저를 통해 라우팅됩니다. 이 수퍼바이저는 부모 프로세스에서 실행되어 특정 시스템 호출을 가로채고, 동적 정책에 따라 이를 검증하며, pidfd_getfd를 사용하여 안전성을 보장하는 "대리" 작업을 수행합니다.

2. 주요 기술 메커니즘

• TOCTOU-안전한 런타임 정책: 커널 재읽기 의미를 위반하지 않고 execve 인수 (예: argv) 를 안전하게 검사하기 위해 Sandlock 은 인수를 읽거나 시스템 호출을 계속하기 전에 ptrace를 통해 형제 스레드와 피어 프로세스를 고정합니다. 이는 검증 후 피어 프로세스가 메모리를 수정할 수 있는 경쟁 조건을 방지합니다.
• 권한 없는 복사 시 쓰기 (COW): Sandlock 은 마운트 네임스페이스나 루트 권한 없이 파일시스템 쓰기를 캡처하기 위해 두 가지 COW 백엔드를 구현합니다:
  • Seccomp COW: 파일시스템 시스템 호출을 가로채어 쓰기를 상위 디렉토리로 리디렉션합니다.
  • BranchFS: 파일시스템 수준에서 쓰기를 캡처하는 전용 파일시스템 계층입니다.
    두 가지 모두 샌드박스 종료 후 변경 사항을 커밋, 중단, 또는 검사하는 것을 지원합니다.
• 파이프라인 구성: Sandlock 은 커널 파이프를 통해 샌드박스 단계를 연결하는 파이프라인 연산자를 도입합니다. 각 단계는 고유한 격리 정책을 가질 수 있습니다 (예: 개인 파일 접근은 허용하지만 네트워크는 없는 "데이터" 단계, 그리고 네트워크 접근은 허용하지만 개인 데이터는 없는 "실행" 단계). 이는 프롬프트 주입에 강한 아키텍처 (예: 듀얼 LLM 패턴) 에 필요한 기능 분리를 강제합니다.
• 네트워크 정책: Sandlock 은 선택적 HTTP 수준 규칙 (메서드, 호스트, 경로) 을 포함한 엔드포인트 허용 목록을 지원합니다. TCP 의 경우 Landlock 을 사용하여 직접 커널 강제를 수행합니다. 복잡한 규칙 (HTTP, 비-TCP) 의 경우 수퍼바이저가 목적지를 검증하고 연결을 수행하는 "대리" 경로를 사용합니다.

주요 기여

이 논문은 다음과 같은 기여를 주장합니다:

1. 권한 없는 에이전트를 위한 정책 모델: 정적 커널 강제 정책과 런타임 의존적 수퍼바이저 결정을 분리하면서도 일관된 구성 표면을 유지하는 설계.
2. TOCTOU-안전한 런타임 메커니즘 (policy_fn): 커널 재읽기 의미를 위반하지 않고 라이브 정책 강화를 위해 호스트 코드에 시스템 호출 이벤트 (여기에는 execve 인수 포함) 를 노출하는 메커니즘.
3. 권한 없는 COW 및 포크 원시 명령:
   • 루트 권한 없이 파일시스템 효과의 커밋/중단/드러런 (dry-run) 을 허용하는 seccomp 기반 COW 작업 공간.
   • 맵-리듀스 워크로드를 위해 초당 약 1,900 개의 샌드박스 포크를 유지하는 COW-포크 원시 명령.
4. 예비 평가: 낮은 오버헤드와 높은 처리량을 보여주는 경험적 데이터.

결과

실험은 표준 Linux 워크스테이션 (AMD Ryzen 5, 8GB RAM, Linux 6.18) 에서 수행되었습니다.

• 시작 오버헤드: Sandlock 은 약 5ms의 시작 지연 시간 (월 시간 약 6ms) 을 추가하며, 이는 동일한 환경에서 Docker 보다 약 44 배 빠릅니다.
• 처리량: Sandlock 은 베어메탈 처리량 내에서 (측정 노이즈 범위 내) Redis 를 실행합니다. SET 및 GET 작업의 경우 Sandlock 은 각각 초당 약 75.2k 및 74.2k 요청을 달성한 반면, 베어메탈에서는 약 75.5k 및 73.9k 를 기록했습니다. Docker 는 베어메탈 처리량의 약 76% 만 달성했습니다.
• 지연 시간: Sandlock 의 p99 지연 시간 (0.51ms) 은 베어메탈 (0.49ms) 과 가깝지만, Docker 의 p99 지연 시간은 약 3 배 높았습니다 (1.44ms).
• 효과성: 결정론적 검사를 통해 Sandlock 이 범위 밖의 읽기/쓰기를 정확히 거부하고, 허용되지 않은 네트워크 연결을 차단하며, 파이프라인에서 단계별 기능 분리를 강제함을 확인했습니다.

중요성 및 주장

이 논문은 Sandlock 을 AI 에이전트 워크스테이션을 위한 맞춤형 솔루션으로 위치시키며, 권한 없는, 지연 시간이 낮은, 그리고 프로그래밍 가능한 격리에 대한 구체적인 필요성을 해결합니다.

• 적당한 범위: 저자들은 Sandlock 이 다중 테넌트 적대적 환경에서 마이크로 VM 을 대체하는 것이 아니라고 명시적으로 밝힙니다. 이러한 시나리오에서는 강력한 커널 격리 (마이크로 VM) 가 여전히 필요합니다. Sandlock 은 루트가 사용할 수 없고 지연 시간이 중요한 "개발자 머신" 컨텍스트를 위해 설계되었습니다.
• 강제 기반: Sandlock 은 기존 이론적 프레임워크 (듀얼 LLM 또는 CaMeL 패턴 등) 가 신뢰할 수 없는 콘텐츠를 민감한 기능으로부터 분리하기 위해 필요한 커널 강제 기반을 제공합니다. 이는 분해 자체의 정확성을 증명하는 것이 아니라 저자가 지정하는 경계를 강제합니다.
• 상호 보완성: Sandlock 은 에이전트 스택의 로컬 실행 측면을 보호함으로써 외부 통신을 위한 게이트웨이와 같은 다른 에이전트 보안 도구와 상호 보완적으로 제시됩니다.

이 논문은 현대 Linux 원시 명령 (Landlock, seccomp 알림, pidfd_getfd) 을 분리 아키텍처에서 활용함으로써 전통적인 컨테이너화의 무거운 비용 없이 AI 에이전트에 대한 강력한 격리를 달성할 수 있다고 결론지었습니다.