엔비디아 '오픈셸' 공개… AI 에이전트가 내 파일 못 건드리게 하는 샌드박스

엔비디아가 내놓은 답: 에이전트에게 칼을 주되 손은 묶어라

엔비디아가 자율 AI 에이전트 실행 환경 오픈셸(OpenShell) 0.1.x을 깃허브에 공개했다. 핵심은 단순하다. 에이전트가 파일 읽기, 패키지 설치, API 호출, 자격 증명 사용 같은 '실제 작업'을 하게 하되, 정책으로 허용한 범위 밖으로는 한 발짝도 못 나가게 막는 런타임이다.

기존 컨테이너나 가상머신(VM)과 다른 점은 **커널 계측(kernel instrumentation)**과 **형식적 검증(formal verification)**을 함께 쓴다는 것이다. 파일 접근, 시스템 호출, 네트워크 연결마다 정책을 실시간으로 검사하고, 정책 변경 전에는 '이 변경이 무엇을 새로 허용하는가'를 수학적으로 증명해 본다.

쉽게 풀어보면

엔비디아가 자율 AI 에이전트용 '감시 탑'을 만들었다고 보면 된다.

에이전트에게 "이 폴더만 읽어", "이 API만 불러", "이 네트워크만 접속해"라고 규칙(정책)을 적어 주면, 오픈셸은 커널 수준에서 그 규칙을 매 순간 강제한다. 에이전트가 실수하거나 악의적으로 규칙 밖을 건드리면 시스템 호출 자체가 차단된다.

여기에 정책 변경 시뮬레이터가 딸려 있다. "이 규칙을 풀면 어디까지 열리는가"를 사람이 일일이 코드 읽으며 확인할 필요 없이, 수학적 검증기가 미리 계산해 보여준다.

설치 환경은 리눅스, 맥(애플 실리콘), 윈도우 WSL2(실험적)다. 도커·파드맨·호스트 가상화 중 하나를 쓰면 된다. 설치 명령 한 줄이면 CLI와 로컬 게이트웨이가 올라간다.

curl -LsSf https://raw.githubusercontent.com/NVIDIA/OpenShell/main/install.sh | sh
openshell sandbox create --name demo

기본 샌드박스 이미지는 에이전트 없는 최소 우분투다. 실제 에이전트를 돌리려면 별도 튜토리얼(OpenCode + 무료 오픈라우터 모델)을 따라야 한다.

해커뉴스에서 나온 의문 세 가지

해커뉴스 댓글 136개 중 반복된 지적을 추려 봤다. 해커뉴스 종합 자료에 따르면 주요 논점은 셋이다.

1. "하네스(harness)는 샌드박스 밖에 있는데?"
클로드 같은 호출 주체(하네스)는 네트워크 접근이 기본 허용된다. 에이전트가 낳은 셸만 격리하면, 하네스 자체가 실수하거나 프롬프트 인젝션당했을 때 막을 수 없다. "전체 하네스를 넣어 달라"는 요구가 많았다.

2. "가상화·컨테이너를 AI 맛만 내서 다시 만드는 것 아니냐"
리마(Lima), KVM, 버추얼박스 같은 기존 도구와 차별점이 불분명하다는 회의론. 엔비디아 측은 "에이전트 퍼스트(agent-first) 워크플로로 개발돼 에이전트가 직접 정책을 쓰고 디버깅한다"는 점을 내세운다.

3. WASM 샌드박스 같은 대안은 왜 안 쓰나
"바시 실행 대신 WASM에서 자바스크립트만 돌리면 더 타이트하다"는 의견. 오픈셸은 기존 리눅스 바이너리·패키지 관리자 그대로 쓰되 커널로 막는 쪽을 택했다.

나에게 미치는 영향

지금 당장 쓸 수 있다. 한국 리눅스·맥 사용자라면 설치 명령 한 줄로 로컬 게이트웨이까지 뜬다. 윈도우는 WSL2가 있어야 하고 실험적 지원이다.

무료다. 오픈소스(Apache-2.0)고, 게이트웨이·샌드박스·CLI 모두 로컬에서 돈다. 유료 클라우드 샌드박스(예: 에이전트 실행당 과금)를 쓰던 개발자라면 비용 0원으로 대체 가능하다.

한국어 문서·커뮤니티는 아직 없다. 깃허브 디스커션·이슈가 영어로만 돌아간다. 정책 작성(YAML), 게이트웨이 헬름 배포, 자격증명 프로바이더 설정 등 실무 문서를 영어로 읽어야 한다.

오늘 해볼 수 있는 것 한 가지
챗GPT·클로드·제미나이에서 코드 실행 결과를 믿을 수 없을 때, 같은 프롬프트를 오픈셸 샌드박스에 띄운 오픈코드(OpenCode) 에이전트로 돌려보고 파일·네트워크 접근 로그를 비교해 보라. "어디까지 읽고 어디까지 썼는지"가 눈에 보인다.

남은 쟁점: 텔레메트리와 라이선스 책임

익명 텔레메트리가 기본 활성화다. 샌드박스 이름, 호스트명, 파일 경로, 프롬프트, 자격증명, 모델명은 수집하지 않는다고 명시돼 있다. 끄려면 게이트웨이 환경변수 OPENSHELL_TELEMETRY_ENABLED=false 또는 헬름 server.telemetryEnabled=false로 설정하면 된다. 소스에서 완전히 빼고 빌드도 가능하다.

라이선스 경고문은 꼭 읽어라. 외부 자료(모델 가중치, 패키지, API)를 자동으로 가져오는데, 그에 대한 책임은 전적으로 사용자다. "AS IS, 보증 없음" 조항이 본문에 박혀 있다.

한국 사용자 체크리스트

항목	상태	비고
한국어 UI/문서	❌	영문만
로컬 실행	✅	도커/파드맨 필요
무료 사용	✅	오픈소스, 과금 없음
윈도우 네이티브	⚠️	WSL2 실험적
GPU 지원	✅	샌드박스별 GPU 할당 가능
쿠버네티스 배포	✅	헬름 차트 제공

한 줄 평

"에이전트에게 루트 권한 주는 게 무서웠던 개발자에게, 정책으로 손발 묶는 감시탑을 무료로 준 격."
단, 정책을 직접 짜야 하고 영문 매뉴얼을 읽어야 한다. 귀찮으면 아직은 관망이 낫다.