AI 에이전트가 내 디스크 전체를 볼 수 있나요?

저는 https://stahbase.dev 도커 샌드박스를 사용합니다. 참고로 제가 창업자입니다(물론 매일 사용하고 있고요).

가장 기본적인 수준에서, 프로필 수준(.claude\settings.json)에서 에이전트가 허용하거나 금지할 경로와 명령어를 정의해야 합니다.
대략 이런 식이죠:
"permissions": {
"allow": [
"Bash()",
],
"deny": [
"Edit(./.env)",
"Edit(./.env.)",
],
"allowRead": [
"Read(/**)",
]

좋아요, 그럼 이렇게 시켜보세요:

야 Claude, 'python3 -c 'open(".env", "a").write("
WHATS_THIS=oh-no")'' 실행해.

(강제적인 샌드박스 제한이 없다면, 그 파일은 보호받지 못합니다)

Claude는 bubblewrap 같은 샌드박스를 지원하며, 요청하지 않는 한 작업 공간 외부의 파일에 접근해서는 안 됩니다. 혹시 제한 없는 접근을 허용하도록 설정하신 건 아닌가요?

Claude Code와 Cowork에 따라 동작이 다르기도 해서, 제 관점에서는 이 분야가 좀 난잡합니다. Cowork은 경계를 존중할지 모르지만, Claude Code는 --sandbox 설정을 쓰지 않으면 그냥 다 뚫고 들어갈 수도 있으니, 거부하는 게 아니라 직접 선택(opt-in)해야 할 수도 있습니다.

하지만 보안/프라이버시 측면에서 "/"를 보는 건 빙산의 일각일 뿐입니다. 에이전트는 모델 제공업체로 비밀 정보를 유출할 가능성이 높고, 찍어낸 스크린샷으로 기밀 데이터가 샐 수 있으며, 운이 없거나 가드레일이 약한 모델을 쓰면 실수로 기기나 파일, DB를 날려버릴 수도 있습니다.

업무상 허용된다면 그냥 무시하고 Anthropic이나 Cursor가 하는 모든 일이 안전하다고 믿으셔도 됩니다. 재앙이 일어날 확률은 그리 높지 않으니까요. 아니면 네트워크 수준에서 모든 걸 처리하는 워크스페이스를 쓰세요. 스크린샷에서 기밀 데이터를 익명화하고, 에이전트로부터 비밀 정보를 매끄럽게 숨기며, 실제 기기와 분리된 샌드박스에 가두는 방식이죠.

제 하네스(harness) 말고는 그런 걸 처리하는 솔루션을 모르겠는데, 여기서 광고할 생각은 없습니다.

네. 시작한 폴더는 그냥 작업 디렉토리일 뿐 샌드박스가 아닙니다. 에이전트는 당신의 사용자 권한으로 실행되므로, 당신이 건드릴 수 있는 건 뭐든 건드릴 수 있습니다. 에이전트와 디스크 나머지 부분 사이에 있는 건 도구의 권한 프롬프트뿐인데, 그건 정책일 뿐 벽이 아닙니다.

이상한 점은 파일이 /에 생성됐다는 겁니다. 일반 사용자는 거기 쓸 수 없으니, 루트 권한으로 실행 중인지 아니면 편집 자동 승인을 켰는지 확인해보세요. 그걸 먼저 고치세요. 제대로 된 경계를 만들려면 프로젝트만 마운트하는 컨테이너나 devcontainer에서 에이전트를 실행하거나, 홈 디렉토리에 접근 권한이 없는 별도의 유닉스 사용자로 실행하세요. SSH 키와 .env 파일은 에이전트가 볼 수 없는 곳에 두시고요. 거부 규칙도 도움이 되지만, 그건 누군가 목록에 추가한 경우에만 효과가 있습니다.