GitHub Copilot 로컬 샌드박싱 GA: 파일·네트워크·자격증명 접근 제어

에이전트가 로컬 명령을 실행하는 환경에서 달라지는 권한 경계와 운영 점검
AI 생성 연출 이미지 · 실제 현장 사진 아님

GitHub가 2026년 10월 7일 GitHub Copilot 로컬 샌드박싱을 정식 제공(GA)한다고 발표했다. AI 코딩 에이전트가 사용자의 PC에서 파일을 읽고 명령을 실행하는 흐름이 늘어나는 가운데, ‘무엇을 실행할 수 있느냐’만큼 ‘어디까지 접근할 수 있느냐’를 관리할 수 있게 한다는 점이 중요하다.

어떤 제품과 세션이 대상인가

공식 변경 기록은 GitHub Copilot CLI, GitHub Copilot 앱, VS Code의 Agent Host를 사용하는 세션에서 로컬 샌드박싱이 GA라고 명시한다. 모든 에디터 확장·모든 사용 흐름에 동일하게 적용된다고 단정할 수 없으므로 실제 사용 환경을 먼저 확인해야 한다. 특히 에이전트와 일반 코드 완성 기능은 실행 경로가 다를 수 있어 접근 제어 검토도 구분해야 한다.

샌드박싱이 제한하는 것

샌드박스는 Copilot이 시작하는 도구나 명령의 실행 경계를 설정한다. GitHub는 파일 시스템, 네트워크, 인증 정보 및 기타 시스템 기능에 대한 접근을 정책으로 제어한다고 설명했다. 이는 모델의 답변을 단순히 필터링하는 것과 다르다. 텍스트로 제안한 명령이 실제 실행되는 순간에 어떤 파일을 보고 네트워크에 연결할 수 있는지를 다루는 방식이다.

파일 접근 정책은 특정 디렉터리의 읽기·수정 가능 범위를 제한하는 데 사용한다. 네트워크 정책은 인터넷과 로컬 네트워크에 대한 명령 접근을 제한할 수 있다. Git 및 GitHub CLI 자격증명도 통제 대상으로 안내된다. 공식 문서는 지원되는 범위에서 로컬 MCP 및 언어 서버와 같은 도구에도 샌드박싱을 적용할 수 있다고 소개한다.

시니어 개발자가 로컬 개발 도구와 코드 창을 확인하는 연출 사진 — AI 생성 연출 이미지 · 실제 현장 사진 아님

Windows, macOS, Linux에서 동일한가

GitHub에 따르면 로컬 샌드박싱은 Microsoft eXecution Container(MXC)를 기반으로 동작한다. MXC는 공통 정책을 Windows, macOS, Linux의 네이티브 운영체제 통제로 변환한다. 그렇다고 운영체제별 내부 구현이나 제한 효과까지 완전히 같다고 전제해서는 안 된다. 팀에서 사용하는 셸, 빌드 도구, 터미널, 비밀정보 저장 방식이 허용 정책 아래에서 정상 작동하는지 실제 머신에서 검증할 필요가 있다.

조직 관리자는 어떤 통제를 할 수 있나

공식 공지는 엔터프라이즈 관리자가 샌드박싱 사용을 의무화하고 개발자가 약화할 수 없는 정책을 강제할 수 있다고 설명한다. 보안팀은 정책 설정 권한과 변경 감사 절차를 확인하고, 개발팀은 필요한 빌드·테스트·패키지 내려받기 흐름이 통제 환경에서 작동하도록 예외 요구사항을 정리해야 한다.

정책이 있다고 해서 모든 위험이 제거되는 것은 아니다. 신뢰할 수 없는 코드, 승인되지 않은 패키지, 권한이 과도한 외부 도구, 잘못된 비밀정보 관리 등은 별도의 관리가 필요하다. 모델 실행과 도구 격리가 서로 다른 문제라는 GitHub의 설명도 이 구분과 맞닿아 있다.

추가 비용이 발생하나

GitHub는 로컬 샌드박싱을 Copilot에 추가 비용 없이 포함한다고 명시했다. 다만 이 표현은 기존 Copilot 구독 자체가 무료라는 뜻이 아니다. 조직별 구독 및 기능 접근 권한은 별도의 계약·관리 설정에서 확인해야 한다.

개발팀이 적용 전에 점검할 네 가지

작업 범위

에이전트가 수정할 수 있는 저장소와 디렉터리를 구분한다. 소스코드 외부의 SSH 키, 토큰, 브라우저 프로필, 개인 파일 등에 불필요한 접근이 없는지 확인한다.

네트워크

테스트·패키지 관리 도구가 접근해야 할 도메인과 로컬 서비스 목록을 만든다. 작업 편의를 이유로 무조건적인 외부 접속을 허용하지 말고, 필요한 범위를 정책으로 기록한다.

자격증명

Git·GitHub CLI 인증 정보와 자동화용 토큰에 최소 권한을 적용한다. 샌드박싱을 유일한 보호 수단으로 간주하지 않고 토큰 회전·범위 제한을 유지한다.

배포 검증

동일한 테스트 작업을 정책 적용 전후로 실행한다. 정상 동작이 막히는 부분과 의도대로 차단되는 부분을 따로 기록해 배포 판단 근거로 남긴다.

정리

이번 GA는 AI 코딩 에이전트의 로컬 실행에 구체적인 권한 경계를 부여하려는 변화다. 중요한 것은 샌드박스라는 이름보다 실제 사용 중인 제품·세션·OS와 조직 정책이 맞물리는 방식이다. 개발팀은 업무를 막지 않으면서도 파일·네트워크·비밀정보 접근을 최소화하는 정책을 단계적으로 검증하는 것이 좋다.