OpenAI Agents SDK가 샌드박스와 In-Distribution Harness로 채운 기업 안전성의 빈틈

OpenAI는 2025년 상반기 Agents SDK에 두 가지 핵심 기능을 추가하며 기업용 에이전트 플랫폼 경쟁을 본격화했다. 샌드박스(Sandbox)는 파일·코드 접근을 격리 환경에 가두어 에이전트의 부작용을 원천 차단하고, In-Distribution Harness는 GPT-4.1 계열에 최적화된 실행 래퍼로 장기·다단계·멀티툴 작업의 신뢰성을 높인다. 두 기능의 조합은 개발자 편의성에 머물렀던 Agents SDK를 프로덕션 수준의 기업 안전성 요구사항에 부합하는 플랫폼으로 끌어올리는 설계적 도약이다.

격리와 실행 신뢰성, 각각 다른 위험을 겨눈 업데이트

OpenAI Agents SDK는 2025년 초 오픈소스로 공개된 Python 기반 에이전트 개발 프레임워크다. Swarm 프로젝트의 교육용 개념 증명을 넘어, 프로덕션 환경에서 쓸 수 있는 트레이싱·핸드오프·가드레일·다중 에이전트 파이프라인을 공식 지원한다. 2025년 상반기 업데이트에서 샌드박스와 In-Distribution Harness가 추가되면서 안전성과 신뢰성이라는 기업의 두 가지 핵심 요구사항을 정면으로 다루게 됐다.

샌드박스 이전에는 에이전트가 코드 실행·파일 읽기·외부 API 호출을 수행할 때 호스트 환경과 완전히 분리되지 않아 의도치 않은 사이드 이펙트가 발생할 위험이 있었다. In-Distribution Harness 이전에는 복잡한 다단계 워크플로우에서 모델이 태스크 중간에 탈선하거나 툴 시퀀스를 잘못 구성하는 문제가 보고됐다. 두 기능은 이 두 가지 위험을 각각 독립적으로, 그러나 서로 보완적으로 해결한다.

컨테이너·파일시스템·네트워크를 겹겹이 막는다

Agents SDK 샌드박스의 가장 기본적인 격리 단위는 컨테이너다. 에이전트가 코드 해석기(Code Interpreter) 도구를 호출하면 해당 코드는 호스트 Python 프로세스가 아닌 분리된 컨테이너 환경에서 실행된다. 컨테이너는 별도의 PID 네임스페이스, 마운트 네임스페이스, 사용자 네임스페이스를 쓰기 때문에 코드가 호스트 프로세스 목록에 접근하거나 호스트 파일시스템 루트를 탐색할 수 없다. 프로세스 격리는 에이전트가 의도치 않거나 잘못된 코드를 실행하더라도 피해가 컨테이너 범위를 벗어나지 못하게 한다. 컨테이너 생명 주기는 에이전트 세션과 연동돼, 세션이 종료되면 컨테이너도 함께 소멸하고 잔류 프로세스가 남지 않는다.

파일시스템 격리는 두 단계로 구현된다. 읽기 전용 마운트(Read-Only Mount)는 에이전트가 시스템 바이너리나 라이브러리에 접근할 수는 있지만 수정은 불가능하게 하고, 쓰기 가능 영역은 사전 정의된 임시 디렉터리(/sandbox/workspace/)로만 제한된다. 에이전트가 생성한 파일은 이 디렉터리에만 저장되며 세션 종료 시 삭제된다. 영구 저장이 필요한 경우에는 명시적인 허용 목록(Allowlist) 기반 파일 경로만 호스트 측으로 복사할 수 있는데, 이 과정은 에이전트 런타임이 아닌 호스트 오케스트레이터가 제어하므로 에이전트 자체가 파일 이동 경로를 조작할 수 없다.

샌드박스 컨테이너는 기본적으로 외부 네트워크에 대한 아웃바운드 접근이 차단된다. 에이전트가 웹 검색이나 외부 API 호출 도구를 쓸 때는 Agents SDK 런타임이 중간자 역할을 해서 허용된 엔드포인트 목록에 포함된 요청만 실제로 전달한다. 이 구조는 에이전트가 코드 실행 중 비인가 외부 서버로 데이터를 유출하는 경로를 차단한다. 네트워크 정책은 도메인 화이트리스트와 포트 제한 두 차원으로 설정되며, 예컨대 OpenAI API·사전 승인된 데이터 소스·내부 서비스 엔드포인트만 접근이 허용되고 그 외의 모든 트래픽은 컨테이너 방화벽에서 드롭된다.

⤢✕

훈련 분포 안에 실행 컨텍스트를 붙잡아둔다

"In-Distribution"이라는 용어는 머신러닝 문맥에서 모델이 훈련 데이터의 분포(distribution) 범위 내에 있는 입력을 처리하는 상태를 뜻한다. 모델은 훈련 분포 내 입력에는 예측 가능하고 신뢰할 수 있는 출력을 내지만, 분포를 벗어난(Out-of-Distribution, OOD) 입력에는 품질이 급격히 떨어진다. GPT-4.1 계열 모델은 장기·다단계·멀티툴 에이전트 시나리오에 대한 훈련 데이터와 파인튜닝을 거쳤다. In-Distribution Harness는 에이전트 실행 컨텍스트가 이 훈련 분포에 최대한 가깝게 유지되도록 조율하는 래퍼(wrapper)다. 모델이 가장 잘 작동하도록 설계된 입력 형식·프롬프트 구조·도구 호출 시퀀스를 자동으로 맞춰주는 실행 환경이라고 보면 된다.

In-Distribution Harness는 에이전트에게 주어진 태스크를 복잡도에 따라 세 가지로 분류한다. 단순 단일 스텝 태스크(Simple Single-Step)는 하나의 도구 호출로 완결되는 작업으로, 특정 파일을 읽거나 단일 API를 호출하는 수준이며 Harness는 추가 오버헤드 없이 직접 실행한다. 복합 다단계 태스크(Complex Multi-Step)는 여러 도구를 순서에 맞게 호출해야 하며 중간 결과를 다음 스텝에 전달해야 하는 작업으로, 데이터를 수집하고 가공하고 보고서를 작성하는 흐름이 대표적이며 Harness는 태스크를 하위 스텝으로 분해하고 각 스텝의 완료 여부를 검증한 뒤 다음 단계로 진행하는 체크포인트 실행 방식을 적용한다. 장기 자율 태스크(Long-Horizon Autonomous)는 수십 개의 도구 호출과 여러 단계의 의사결정이 필요한 복잡한 워크플로우로, Harness는 전체 계획을 수립하고 실행 중 오류가 발생하면 계획을 재평가하며 필요한 경우 전략을 수정하는 적응형 실행을 지원한다.

In-Distribution Harness의 핵심 가치 중 하나는 체계적인 오류 복구다. 에이전트 실행 중 도구 호출 실패, 타임아웃, 예상치 못한 출력 형식 같은 오류가 발생하면 Harness는 세 단계 복구 전략을 순서대로 적용한다. 첫째는 즉시 재시도(Immediate Retry)로, 일시적 네트워크 오류나 타임아웃처럼 재시도로 해결될 가능성이 높은 오류에 적용하며 지수 백오프(exponential backoff)로 재시도 간격을 늘려가며 최대 3회까지 시도한다. 둘째는 대안 경로 탐색(Alternative Path)으로, 특정 도구 호출이 반복적으로 실패하면 Harness는 동일한 결과를 달성할 수 있는 대안 도구나 접근 방식을 탐색한다 — 특정 API가 실패하면 캐시된 데이터를 쓰거나 다른 데이터 소스로 전환을 시도하는 식이다. 셋째는 명시적 실패와 에스컬레이션(Explicit Failure and Escalation)으로, 재시도와 대안 경로 탐색으로도 해결되지 않으면 Harness는 작업 실패를 명시하고 오케스트레이터에게 에스컬레이션한다. 무한 루프에 빠지거나 오류를 숨기는 대신 투명하게 실패 상태를 보고하는 것이 신뢰성의 기반이다.

⤢✕

최소 권한·감사·인간 승인이 떠받치는 안전성

기업 환경에서 멀티에이전트 시스템의 안전성은 각 에이전트가 수행할 특정 임무에 필요한 최소한의 권한만 보유해야 한다는 최소 권한 원칙(Principle of Least Privilege)에서 출발한다. Agents SDK의 샌드박스는 이 원칙을 기술적으로 강제하는 메커니즘을 제공한다. 에이전트별 도구 집합을 세분화하는 것이 핵심으로, 데이터 분석 에이전트는 데이터 읽기와 계산 도구만 보유하고 보고서 작성 에이전트는 파일 쓰기와 템플릿 렌더링 도구만 갖도록 설계한다. 에이전트 간 데이터 전달은 핸드오프(Handoff) 메커니즘으로 오케스트레이터가 중개하며, 에이전트가 직접 다른 에이전트의 실행 컨텍스트에 접근할 수 없도록 격리한다.

기업 규제 환경(금융, 의료, 법률)에서는 에이전트가 내린 모든 결정과 실행한 모든 액션이 추적 가능해야 한다. Agents SDK는 기본 제공하는 트레이싱 기능으로 각 에이전트 스텝, 도구 호출, 입출력, 오류, 실행 시간을 구조화된 로그로 기록한다. 트레이싱 데이터는 OpenAI 플랫폼 대시보드에서 시각화할 수 있으며 외부 옵저버빌리티 도구(OpenTelemetry 호환)로도 내보낼 수 있다. 이 투명성은 에이전트의 행동이 기대에서 벗어났을 때 원인을 신속하게 진단하고 문제가 된 의사결정 지점을 정확히 식별할 수 있게 한다.

프로덕션 에이전트 시스템에서 완전 자율 운영은 규제 리스크, 법적 책임, 고객 신뢰 문제를 초래할 수 있다. Agents SDK는 인간 개입(Human-in-the-Loop, HITL) 트리거를 가드레일로 구현할 수 있도록 지원한다. 금액 임계값 초과, 외부 커뮤니케이션 발송, 기존 데이터 삭제, 계약 관련 액션 등 사전 정의된 고위험 액션 유형이 발생하면 에이전트 실행이 일시 중지되고 인간 승인을 요청한다. 승인이 완료되면 Agents SDK는 중지 지점에서 실행을 재개하며, 거부되면 대안 전략을 수행하거나 태스크를 종료한다.

프레임워크가 안전을 강제할지, 모델이 내재할지

OpenAI와 Anthropic은 각각 독자적인 에이전트 SDK를 제공하며 설계 철학과 강점이 다르다. OpenAI Agents SDK는 경량 Python 라이브러리로 설계되어 빠른 프로토타이핑과 Swarm 유사 다중 에이전트 패턴을 지원한다. 샌드박스와 In-Distribution Harness는 프로덕션 안전성과 GPT 계열 모델 최적화에 초점을 맞추며, 트레이싱·핸드오프·가드레일이 내장되어 있고 함수 기반 도구 정의와 Python 타입 힌트를 활용한 자동 스키마 생성을 지원한다. Anthropic Claude Agent SDK는 클로드 모델의 확장된 컨텍스트 창(최대 200K 토큰)과 강력한 지시 추종(instruction-following) 능력을 활용하도록 설계된다. Constitutional AI 원칙이 모델 수준에 내재화되어 있어 에이전트 프레임워크 레이어에서 별도의 가드레일을 구현해야 하는 부담이 상대적으로 낮고, MCP(Model Context Protocol) 기반의 도구 통합은 표준화된 도구 서버 생태계와의 호환성을 높인다.

⤢✕

두 SDK 모두 다중 에이전트 오케스트레이션, 도구 통합, 트레이싱을 지원하지만 안전성 구현 레이어가 다르다. OpenAI Agents SDK는 프레임워크 레이어에서 샌드박스와 가드레일로 안전성을 강제하고, Claude Agent SDK는 모델 레이어에서 Constitutional AI로 기본 안전성을 확보한 뒤 프레임워크 레이어 가드레일을 추가 선택한다. 기업의 기술 스택, 선호 모델, 규제 요구사항에 따라 선택이 달라진다.

오버헤드와 규제 요건을 함께 따져야 한다

샌드박스와 In-Distribution Harness는 모두 실행 오버헤드를 추가한다. 샌드박스 컨테이너 생성·관리에는 약간의 지연이 발생하고, Harness의 복잡도 분류와 체크포인트 실행은 추가 토큰 소비를 수반한다. 단순한 단일 스텝 태스크에는 이 오버헤드가 불필요할 수 있으므로, 태스크 유형에 따라 샌드박스 수준을 조정하는 구성 전략이 필요하다. 실제로 기업 에이전트 배포에서 코드 실행·외부 API·파일 조작이 복합적으로 필요한 고위험 워크플로우에는 전체 샌드박스 격리를 적용하고, 읽기 전용 데이터 조회나 텍스트 생성 위주의 저위험 워크플로우에는 네트워크 방화벽 수준의 경량 격리만 적용하는 계층형 접근이 비용 효율적이다.

금융·의료·법률 등 규제 산업에서 Agents SDK를 도입할 때 확인해야 할 항목은 다음과 같다. 에이전트 트레이싱 로그의 보존 기간과 접근 권한 정책이 규제 요건을 충족하는지, 샌드박스 격리가 데이터 레지던시(Data Residency) 요건과 충돌하지 않는지, HITL 트리거가 내부 승인 워크플로우와 통합 가능한지, 개인정보가 포함된 데이터가 샌드박스 외부로 유출되지 않도록 보장하는 데이터 마스킹 레이어가 존재하는지가 핵심 점검 항목이다.

OpenAI Agents SDK의 샌드박스와 In-Distribution Harness 추가는 에이전트 플랫폼이 연구 도구에서 기업 인프라로 성숙하는 과정의 중요한 이정표다. 샌드박스는 에이전트의 부작용을 원천적으로 봉쇄하고, Harness는 복잡한 장기 태스크에서 모델의 신뢰할 수 있는 실행을 보장한다. 안전성과 신뢰성이라는 두 축이 갖춰지면서, 기업 의사결정자들이 에이전트 AI를 파일럿에서 프로덕션으로 전환하는 데 필요한 기술적 근거가 한층 강화됐다. 두 SDK 진영의 경쟁은 결국 기업 고객이 더 안전하고 신뢰할 수 있는 에이전트 시스템을 선택할 수 있는 생태계를 빠르게 성숙시키고 있다.