macOS에서 Claude Code 격리 환경 구축: Anthropic 레퍼런스 컨테이너, OrbStack, SSH, Zed 활용

• 가장 큰 장점: 매번 명령어 승인할 필요 없이 Claude를 오토 모드로 돌려도 마음이 편함. Anthropic의 dev container 문서에 따르면 이런 식으로 컨테이너에 가두고 아웃바운드 트래픽까지 막아두면 권한 확인 절차를 아예 생략해도 됨.

• 실수해도 레포지토리랑 허용 목록 안에서만 끝나고 맥까지는 안 튀니까 안전함. 레포지토리는 깃이랑 백업으로 복구하면 그만이고.

• 맥의 자격 증명, SSH 키, 다른 프로젝트들은 컨테이너에 마운트조차 안 됨. 물론 Claude 로그인 토큰이랑 레포지토리 안에 있는 시크릿 값들은 여전히 컨테이너 안에 있긴 함.

• 악성 파일이나 웹 페이지에서 프롬프트 인젝션 공격을 시도해도 할 수 있는 게 거의 없음. 호스트 파일도 없고, 허용 목록 외에는 인터넷도 안 되니까.

주의사항

• 내 맥에서는 Claude Desktop이 .orb.local 호스트네임에 접속하려면 '로컬 네트워크' 권한(macOS 개인정보 보호 및 보안)이 필요했음. 이거 없으면 SSH 접속할 때 "no route to host" 뜸.

• 방화벽이랑 SSH는 devcontainer up으로 켤 때만 제대로 시작됨. OrbStack의 재생 버튼이나 docker start로 컨테이너를 켜면 방화벽 없이 돌아감. 재부팅하고 나면 레포지토리당 명령어 한 번씩 쳐줘야 함.

• 슬랙이나 노션 같은 플러그인 커넥터는 방화벽 때문에 컨테이너 안에서 작동 안 함. 이건 의도한 거임.

• 컨테이너마다 Claude 로그인을 한 번씩 해줘야 함.

시도했다가 버린 것

• VS Code "Reopen in Container": 컨테이너 관리는 편한데 맥이랑 계속 연결 고리가 살아있음(자격 증명 공유, 포트 포워딩, 컨트롤 소켓 등). 설정에서 일부 끌 수는 있지만 찝찝함.

• Zed 내장 dev container: 1.23.3 버전에서 버그 두 개 발견함. 인자가 포함된 시작 명령어는 먹통이고(#62964), 마운트 설정의 readonly 옵션은 그냥 무시됨(업스트림에 보고됨). 읽기 전용 마운트 써야 하는 상황이면 일단 거르는 게 나음.

• SSH 대신 Claude 원격 제어: SSH 설정은 안 해도 되지만 Anthropic을 거치는 제어 채널이 추가됨. 즉, Claude 계정이 컨테이너로 들어가는 통로가 된다는 소리임. 방화벽이랑 잘 돌아가는지 테스트 안 해봐서 걍 직접 SSH 쓰는 걸 택함.

• Claude Code 내장 샌드박스 단독 사용: Anthropic 문서 보니까 셸 명령어만 커버함. Claude 파일 도구, MCP 서버, 훅 같은 건 샌드박스 밖에서 돌아감. 난 Claude 프로세스 전체를 감싸는 경계가 필요했음.

한계점

• Claude는 여전히 마운트된 레포지토리의 모든 걸 읽고 수정할 수 있음. 자기 로그인 토큰도 읽을 수 있으니까, 믿을만한 레포지토리에만 쓰셈.

• 프롬프트 인젝션으로 누군가의 자격 증명(GitHub, npm, 심지어 Anthropic API까지)이 털리면 허용된 모든 서비스가 탈출구가 될 수 있음. 방화벽은 IP 주소로 필터링하는데, CDN 호스팅 도메인은 같은 주소의 다른 사이트도 열 수 있고, DNS를 통한 소량의 데이터 유출도 여전히 가능함.

• 이 컨테이너는 Claude의 실행 환경만 격리하는 거지, 레포지토리 내용물까지 격리하는 게 아님. 네이티브 앱들이 같은 파일을 쓰기 때문에, 맥에서 레포지토리 코드를 실행하는 모든 것(빌드, npm 스크립트, 에디터 프로젝트 설정 등)이 경계를 넘나드는 통로가 됨.

• 이런 식의 설정은 완벽한 보안이 아님. 방화벽이 컨테이너 안에서 돌아가니까 루트 권한 털리면 바로 꺼버릴 수 있고, Anthropic이 제공하는 레퍼런스는 그냥 예시일 뿐이지 유지보수되는 이미지가 아님.

이거 Claude/Codex CLI에서도 작동함?