GitHub Copilot 로컬 샌드박스 정식 출시: AI 코딩 에이전트 보안과 권한 관리 핵심

AI 코딩 에이전트가 실행하는 도구의 접근 범위와 조직 관리 정책을 공식 공지 중심으로 정리했습니다.

핵심 요약

로컬 샌드박싱이 2026년 10월 7일 GA로 발표됐습니다.
파일·네트워크·자격증명에 대한 에이전트 실행 권한을 제한할 수 있습니다.
모델 추론과 도구 실행의 보안 경계는 구분해야 합니다.

GitHub Copilot 로컬 샌드박스, 무엇이 정식 제공됐나

2026년 10월 7일 GitHub는 GitHub Copilot 로컬 샌드박스가 일반 제공(GA) 단계에 들어갔다고 알렸다. 중요한 변화는 AI 코딩 에이전트가 내 컴퓨터에서 명령을 실행하더라도, 실행 작업에 주어진 접근 범위를 개발자나 조직이 정책으로 제한할 수 있다는 점이다.

AI에게 코드 수정이나 테스트를 맡길 때 주의할 대상은 답변 문장뿐 아니라 명령 실행이 파일, 네트워크, 자격증명에 실제로 닿는 경로다. 샌드박스는 이 도구 실행 단계에 경계를 둔다. 다만 모든 보안 위험이 사라졌다는 뜻은 아니다.

노트북에서 AI 코딩 도구 실행을 보호하는 샌드박스 개념을 표현한 AI 생성 이미지 — AI 생성 설명 이미지 · GitHub의 실제 제품 화면이나 공식 촬영 자료가 아닙니다.

Copilot CLI 샌드박싱과 지원 환경

공식 발표에 명시된 지원 대상은 GitHub Copilot CLI, GitHub Copilot app, 그리고 Agent Host를 사용하는 VS Code 세션이다. Copilot CLI 샌드박싱을 검토한다면 먼저 실제 사용하는 Copilot 제품과 실행 경로가 이 목록에 해당하는지 구분해야 한다.

특히 Copilot VS Code Agent Host 지원을 다른 모든 VS Code 확장 동작에 자동으로 확대해서 이해해서는 안 된다. 조직 배포 여부와 환경별 설정이 실제 운영 상태에 영향을 줄 수 있으므로 관리 문서 및 적용 설정을 별도로 확인해야 한다.

GitHub Copilot 보안: 파일·네트워크·자격증명 권한 제한

GitHub가 제시한 AI 코딩 에이전트 권한 제한 범위에는 파일과 디렉터리의 읽기·수정, 인터넷과 로컬 네트워크, Git 자격증명 및 GitHub CLI 자격증명 접근이 포함된다. 즉 명령을 승인할지뿐 아니라 실행할 때 어디에 접근할 수 있는지를 제어하는 방식이다.

실무에서는 저장소 작업 디렉터리만 쓰기 허용하고 비밀키 폴더는 차단하는 등의 최소 권한 설계를 고려할 수 있다. 이는 구현을 점검할 때의 설계 예시이며 모든 사용자에게 같은 기본 정책이 적용된다고 뜻하지 않는다. 지역 MCP 서버와 언어 서버에도 지원되는 범위에서 샌드박싱을 적용할 수 있다고 GitHub는 설명한다.

파일 및 네트워크 접근 경계를 분리한 개념적 샌드박스 구조 AI 생성 이미지 — AI 생성 설명 이미지 · GitHub의 실제 제품 화면이나 공식 촬영 자료가 아닙니다.

샌드박싱 권한 검토 항목
대상	관리 포인트
파일 시스템	읽기·수정 가능한 디렉터리
네트워크	인터넷·내부망 접근 범위
자격증명	Git·GitHub CLI 인증 정보 접근

Microsoft eXecution Container MXC와 운영체제별 경계

Microsoft eXecution Container MXC는 공통 샌드박스 정책을 Windows, macOS, Linux의 운영체제 고유 제어로 변환하는 기반 기술이다. 이를 통해 관리자는 하나의 정책 의도를 각 플랫폼의 실행 보호 체계와 연결할 수 있다.

그러나 공통 정책을 쓴다는 것이 모든 운영체제에 완전히 같은 기능이나 동일한 결과를 보장한다는 의미는 아니다. 도입 전에는 해당 OS와 에이전트 경로, 도구별 지원 여부를 문서로 확인하고 대표 작업을 시험해야 한다.

여러 운영체제의 보안 제어 상태를 검토하는 운영자 AI 생성 개념 이미지 — AI 생성 설명 이미지 · GitHub의 실제 제품 화면이나 공식 촬영 자료가 아닙니다.

Copilot 조직 보안 정책, 관리자가 확인할 점

GitHub는 기업 관리 설정을 통해 샌드박스를 필수로 요구하고 개발자가 임의로 완화할 수 없는 정책을 강제할 수 있다고 밝혔다. Copilot 조직 보안 정책을 구성할 때는 개인 설정과 조직 정책 중 무엇이 실제 우선 적용되는지 관리자 화면에서 검토하는 것이 좋다.

권장 점검 항목은 허용 작업 디렉터리, 외부 통신 목적지, Git·GitHub CLI 자격증명 경로, 로컬 MCP 및 언어 서버 연동, 정책 변경 책임자다. 이를 확인했다고 해서 GitHub가 자동으로 구체적인 기본 차단 목록을 설정한다고 단정하면 안 된다.

Copilot 샌드박스 모델 실행 차이와 남는 위험

Copilot 샌드박스 모델 실행 차이를 이해할 때 핵심은 모델의 추론과 명령·도구 실행을 나누는 것이다. 공식 발표에 따르면 샌드박스 정책은 Copilot이 어떤 모델을 사용하는지와 무관하게 도구 실행에 적용된다. 따라서 이는 모델의 모든 출력 내용이나 답변 정확성을 심사하는 보안 장치가 아니다.

GitHub는 로컬 샌드박싱을 Copilot에 추가 비용 없이 포함한다고 안내한다. 다만 이 문구는 Copilot 자체 구독 가격이 무료라는 의미가 아니며, 각 계정의 사용 가능 조건과 조직별 적용 여부를 자동으로 보장하지도 않는다.