개발 뉴스
GitHub Copilot 샌드박스 정식 출시…GA와 자동 활성화는 다르다
로컬 명령의 파일·네트워크·자격증명 접근 제한…지원 OS와 정책 우회 범위까지 확인해야
- GitHub가 10월 7일 Copilot 로컬 샌드박싱의 GA 전환을 발표했다.
- Copilot CLI·앱과 VS Code Agent Host 세션이 발표 대상이며 로컬 기능에 추가 비용은 없다.
- 공식 문서상 기본 상태는 비활성화다. 기능 제공 여부와 실제 적용 상태를 따로 확인해야 한다.
AI 코딩 에이전트가 테스트를 실행하고 파일을 고치는 동안 개발자 계정의 권한을 그대로 사용하면, 작업 공간 밖 자원까지 닿을 수 있다. Copilot 보안에서 이번에 확인할 것은 모델의 답변 성능보다 명령이 실행되는 권한의 경계다.
모델이 아닌 도구 실행에 적용되는 경계
GitHub Copilot local sandboxing은 개발자나 조직이 정한 정책에 따라 에이전트 도구·명령의 파일시스템, 네트워크, 자격증명 접근을 제한한다. 읽거나 수정할 수 있는 디렉터리, 인터넷과 내부망 접근, Git 및 GitHub CLI 인증 사용을 통제하는 방식이다. [S1]
발표는 모델 실행과 도구 격리를 별도 문제로 구분한다. 어떤 모델을 선택했는지와 별개로 도구 실행 정책이 적용된다는 뜻이다. 로컬 MCP와 언어 서버도 지원되는 범위에서 정책 대상에 포함되지만, 원격 서비스까지 같은 로컬 격리로 보호한다고 확대해석하면 안 된다. [S1]
정식 제공됐어도 설정은 별도로 확인
공식 문서에 따르면 로컬 샌드박싱은 기본적으로 꺼져 있다. Copilot CLI와 앱의 설정도 각각 관리된다. 한쪽에서 활성화했다고 다른 쪽의 세션까지 자동 보호된다고 생각하기 쉽지만, 실제 사용 화면마다 적용 상태를 확인해야 한다. [S2]
GitHub Copilot 샌드박스 설정을 점검할 때는 작업 저장소 경로, 읽기 전용 자료 경로, 수정 금지 경로를 구분하는 편이 좋다. 빌드가 실패할 때 곧바로 전체 디스크를 허용하기보다 어떤 파일 접근이 필요한지 확인하면 제한의 의미를 유지할 수 있다. 이 점검 방식은 기능을 도입하는 팀을 위한 운영 제안이다.
| 점검 영역 | 확인할 질문 |
|---|---|
| 파일 | 명령이 프로젝트 밖 파일을 읽거나 수정할 수 있는가? |
| 네트워크 | 필요한 호스트와 내부망 접근만 허용했는가? |
| 자격증명 | Git·gh 인증이 어떤 실행에 전달되는가? |
| 우회 | 정책 밖 실행을 요청하거나 허용하는 조건은 무엇인가? |
Windows·macOS·Linux 지원에도 차이가 있다
Microsoft eXecution Container(MXC)는 공통 정책을 지원 OS의 네이티브 통제로 변환한다. GitHub 문서는 이 방식이 별도 가상머신이나 컨테이너 안에서 명령을 실행하는 강한 격리와는 구분되는 OS 수준의 제한이라고 설명한다. [S1] [S2]
macOS·Linux·최근 Windows 11 빌드에 지원이 안내돼 있지만 기능별 요구조건과 네트워크 집행 방식은 같지 않다. 지원 OS 이름만 보고 회사의 모든 장비에서 동일하게 동작한다고 단정할 수 없다. 배포 대상 장비의 업데이트와 백엔드 요구조건은 공식 문서에서 확인해야 한다. [S2]
Enterprise 도입은 ‘필수’와 ‘실패 시 동작’까지
조직은 개발자가 약화할 수 없는 관리형 정책으로 샌드박싱을 요구할 수 있다. 로컬 샌드박싱 자체는 Copilot에 추가 비용 없이 포함되지만, 공식 문서에서 별도로 설명하는 클라우드 샌드박스는 사용량 과금 대상이다. 로컬 기능의 가격 설명을 클라우드 실행까지 확장하면 안 된다. [S1] [S2]
팀의 도입 검수에는 정상 빌드뿐 아니라 금지 경로·허용하지 않은 네트워크 접근이 실제로 차단되는지 확인하는 항목이 필요하다. 지원하지 않는 환경이나 정책 우회 요청 때 어떻게 처리되는지도 함께 기록해야 한다. 샌드박스라는 이름보다 실제 세션에서 집행되는 정책이 AI 코딩 에이전트 보안의 기준이 된다.
