AI 애플리케이션이 질문에 답하는 언어 모델에서 명령 실행, 패키지 설치, 파일 읽기와 같은 실제 작업을 수행할 수 있는 '에이전트(Agents)'로 진화함에 따라 새로운 보안 과제가 대두되었습니다. 인터넷에서 가져온 데이터를 기반으로 작동하는 경우가 많은 이러한 에이전트는 민감한 데이터에 접근할 수 있는 권한을 가진 '신뢰할 수 없는 코드(Untrusted Code)'로 간주되므로, 엄격하게 격리되지 않으면 프로덕션 환경에서 실행하는 것이 큰 위험이 됩니다.
OpenShell 프로젝트란 무엇인가?
NVIDIA가 시작하고 CNCF 산하의 샌드박스 프로젝트인 OpenShell은 이러한 에이전트를 위한 격리된 실행 환경(Runtime)을 제공하는 솔루션입니다. 이 프로젝트는 격리 환경 외부에서 작동하는 신뢰할 수 있는 '관리자(Supervisor)' 개념을 기반으로 하며, YAML 파일을 통해 미리 정의된 정책에 따라 에이전트가 무엇에 접근할 수 있는지 결정합니다. OpenShell은 네 가지 핵심 제어 수준을 제공합니다.
- 파일 시스템(Filesystem): Landlock 기술을 사용하여 에이전트가 읽거나 쓸 수 있는 경로를 지정함으로써 민감한 시스템 파일에 대한 접근을 차단합니다.
- 프로세스(Process): 에이전트는 seccomp 프로토콜을 적용하여 시스템 호출을 제한하는 비루트(Non-root) 사용자로 실행됩니다.
- 네트워크(Network): 외부 트래픽은 기본적으로 차단되지만, 실행 파일 이름, 호스트, 포트, 심지어 HTTP 요청 방식까지 포함하는 세밀한 규칙에 따라 허용할 수 있습니다.
- 민감한 데이터(Credentials): 에이전트는 실제 API 키를 볼 수 없으며 '자리 표시자(Placeholders)'만 확인합니다. 관리자는 필요할 때만 승인된 대상에 대해 실제 키로 교체합니다.
Kubernetes 통합 및 고급 기능
Kubernetes 구조를 우회하려는 솔루션과 달리 OpenShell은 SIG Apps의 Agent Sandbox 프로젝트를 기반으로 합니다. 에이전트는 시스템에서 Pod, Service, Secret과 같은 익숙한 Kubernetes 객체로 나타납니다. 여기서 핵심적인 장점은 7계층(L7) 수준의 가시성을 제공한다는 점입니다. 기존 네트워크 정책(NetworkPolicy)은 Pod가 특정 사이트에 접근하는 것을 허용할 수 있지만, OpenShell은 curl 명령이 GitHub에서 데이터를 읽는 것은 허용하되 새로운 이슈(Issues)를 생성(POST)하는 것은 차단하도록 설정할 수 있습니다.
기술 비교: OpenShell 대 Agent Substrate
CNCF의 또 다른 프로젝트인 Agent Substrate가 있으며, 두 프로젝트의 근본적인 차이는 설계 철학에 있습니다.
- OpenShell: 보안 및 세밀한 제어에 중점을 둡니다. 프로덕션 시스템에 접근해야 하고 요청별 정책(Per-request policy)이 필요한 에이전트에 최적의 선택입니다.
- Agent Substrate: 확장성 및 비용 절감에 중점을 둡니다. 에이전트마다 전체 Pod를 할당하는 대신 유휴 에이전트를 일시 중단(Suspending)하는 방식을 사용하여 고밀도 및 저비용이 필요한 모델에 적합합니다.
기술적 전망에 따르면 향후 두 프로젝트가 통합되어 OpenShell은 제어 정책을 제공하고, Substrate는 격리 및 확장 효율성을 제공할 것으로 예상됩니다.
이러한 발전이 플랫폼 엔지니어에게 중요한 이유
OpenShell은 AI의 유연성과 클라우드 컴퓨팅 보안의 엄격함 사이를 잇는 필수적인 가교 역할을 합니다. Kubernetes 관리자에게는 기존 컨테이너를 격리하는 것만으로는 충분하지 않으며, 컨테이너 내부의 '지능형 에이전트' 동작을 제어하는 것이 필수적이 되었습니다. Kyverno와 같은 도구와의 통합을 통해 엔지니어는 에이전트가 특정되고 신뢰할 수 있는 이미지로만 실행되도록 보장하는 승인 제어(Admission Control) 정책을 시행할 수 있으며, 처리 및 메모리 리소스 제한을 설정하여 AI 에이전트가 보안 위협의 원인이 되거나 클러스터 리소스를 과도하게 소비하는 것을 방지할 수 있습니다.