AI 에이전트를 일회용 VM에 가두는 '쿱' 등장

AI 코딩 에이전트에게 터미널 권한을 통째로 넘기는 일이 일상이 됐다. 그만큼 "에이전트가 내 컴퓨터를 망가뜨리면 어쩌나"라는 불안도 커졌다. 보안 컨설팅 업체 트레일오브비츠(Trail of Bits)가 공개한 오픈소스 도구 쿱(coop)은 이 불안에 대한 정면 응답이다. 클로드 코드(Claude Code)와 코덱스(Codex)를 언제든 지우고 다시 만들 수 있는 가상머신 안에서만 돌리게 해, 에이전트가 무슨 짓을 하든 실제 PC는 무사하도록 설계했다.

무슨 일인가

쿱은 러스트(Rust)로 작성된 명령줄 도구다. 프로젝트 폴더에서 coop up으로 가상머신을 띄우고 coop claude 또는 coop codex를 치면, 에이전트가 그 안에서 도커·깃·컴파일러·패키지 관리자를 전부 자유롭게 쓴다. 가상머신은 하나하나가 격리돼 있고, 같은 템플릿에서 재현되며, 만들고 부수는 비용이 낮다는 것이 핵심 설계 원칙이다.

리눅스에서는 아마존이 서버리스 컴퓨팅용으로 만든 초경량 가상화 기술 파이어크래커(Firecracker)를 자동으로 설치해 쓰고, 맥에서는 리마(Lima)를 먼저 깔아야 한다. 공식적으로 검증된 조합은 애플 실리콘 맥과 x86_64 리눅스 두 가지이고, 리눅스 ARM 빌드는 있지만 아직 테스트되지 않았다. 라이선스는 아파치 2.0이며, 공개 시점 기준 깃허브 별 130여 개에 커밋 300건이 넘게 쌓여 있어 실험작 이상의 완성도를 보인다.

핵심 짚어보기

지금까지 에이전트 안전장치는 대개 "위험한 명령이면 사람에게 물어보기" 방식이었다. 문제는 확인 창이 하루에 수십 번 뜨면 사람이 생각 없이 승인 버튼을 누르게 된다는 점이다. 쿱의 접근은 반대다. 에이전트에게 묻지 말고 전부 허용하되, 허용의 범위를 버리면 그만인 가상머신으로 한정한다. 실수로 홈 폴더를 지우든, 이상한 패키지를 설치하든, 피해는 가상머신 안에서 끝난다.

두 번째 포인트는 재현성이다. 매번 같은 템플릿 이미지에서 시작하므로 "내 PC에서는 됐는데" 류의 환경 오염이 생기지 않는다. 문서에는 작업 폴더 동기화, 여러 인스턴스 동시 운영, 편집기 연동, 그리고 신뢰 모델(어디까지 믿고 어디서부터 막는가)까지 항목이 잡혀 있다. 보안 회사가 만든 도구답게 "무엇을 신뢰하는가"를 문서로 명시했다는 점이 여느 취미 프로젝트와 다르다.

1인기업 실전 적용 포인트

• 밤새 돌리는 자동화 잡부터 옮겨라. 크론으로 매일 새벽 에이전트가 기사 초안이나 코드 정리를 하는 구조라면, 그 잡의 실행 환경을 쿱 가상머신으로 바꾸는 것이 가장 효과가 크다. 사람이 안 보는 시간에 나는 사고가 가장 무섭기 때문이다.
• 고객 코드를 만질 때 격리 인스턴스를 하나씩 배정하라. 외주로 여러 고객 저장소를 다룬다면 고객별로 coop up을 따로 띄워, 한 고객의 의존성이나 비밀 파일이 다른 고객 작업에 섞이지 않게 한다.
• "전부 허용" 모드를 시험해 볼 기회로 써라. 확인 창을 끄고 에이전트를 완전 자율로 돌렸을 때 결과물 품질이 얼마나 달라지는지, 격리된 환경에서 부담 없이 측정할 수 있다.
• 리눅스 x86 서버가 가장 안전한 선택이다. WSL이나 ARM 리눅스는 공식 검증 밖이므로, 처음 도입은 문서가 보증하는 조합에서 시작하고 나중에 넓히는 편이 시행착오가 적다.

전망과 주의점

격리 가상머신은 공짜가 아니다. 이미지 빌드 시간, 디스크 용량, 그리고 호스트와 파일을 주고받는 동기화 과정에서 마찰이 생긴다. 특히 GPU나 로컬 모델을 쓰는 작업은 가상머신 안에서 접근이 제한될 수 있다. 이슈 트래커에 열린 항목이 30건 가까이 있다는 점도 초기 단계임을 말해 준다.

그럼에도 방향은 분명하다. 에이전트가 강해질수록 "무엇을 시킬까"보다 "어디서 돌릴까"가 안전의 핵심이 된다. 개발자 한 명이 에이전트 여러 대를 부리는 시대에, 각 에이전트에게 버려도 되는 작업실을 하나씩 주는 방식은 결국 표준이 될 가능성이 높다.

출처: Hacker News / GitHub (https://github.com/trailofbits/coop)