Docker Sandboxes 아키텍처 뜯어보기: MicroVM으로 AI 에이전트를 격리하는 법

AI 에이전트가 코드 실행, 파일 시스템 조작, 외부 API 호출까지 넘겨받으면서 보안 격리는 더 이상 선택 사항이 아니다. Docker는 2026년 3월 NanoCo와의 제휴로 NanoClaw AI 에이전트를 MicroVM 기반 샌드박스에서 실행하는 통합 환경을 내놓았다. 기존 컨테이너의 커널 공유 구조가 갖는 취약점을 MicroVM으로 우회한 이 아키텍처를, 격리 메커니즘·CLI 사용법·경쟁 기술 관점에서 뜯어본다.

컨테이너가 커널을 공유한다는 것의 의미

전통적인 Docker 컨테이너는 호스트 커널을 공유하는 구조다. 임의 코드를 실행하는 AI 에이전트 워크로드에는 이 구조 자체가 근본적인 위험이다.

취약점	CVE	위험
커널 익스플로잇	CVE-2022-0185	컨테이너 탈출(Container Escape)
runC 취약점	CVE-2019-5736	호스트 바이너리 덮어쓰기
Dirty COW	CVE-2016-5195	권한 상승을 통한 호스트 접근

AI 에이전트가 악의적이거나 오작동하는 코드를 실행할 때, 커널을 공유하는 구조에서는 호스트 시스템 전체가 위험에 노출된다. 이 표에 실린 CVE들은 모두 컨테이너 격리를 뚫고 호스트로 넘어가는 경로였다.

MicroVM으로 커널 자체를 분리하다

Docker Sandboxes는 2026년 3월 실험적 기능으로 출시된 MicroVM 기반 격리 실행 환경이다. 독립형 CLI sbx로 제공되며 Docker Desktop 없이 동작한다.

⤢✕

핵심은 컨테이너 하나마다 전용 Linux 커널을 하드웨어 가상화로 강제한다는 점이다. 호스트 커널에는 절대 접근할 수 없다. 여기에 호스트의 Docker 데몬과 완전히 분리된 전용 Docker 데몬, 별도 동기화 프로세스 없이 워크스페이스 파일을 양방향으로 즉시 반영하는 파일시스템 패스스루(Passthrough), 명시적 허용 목록(Allow-list) 기반의 격리된 네트워크 스택이 더해진다.

API 키는 샌드박스 안으로 들어가지 않는다

자격 증명 보호 방식도 구조적이다. API 키는 샌드박스 내부에 절대 저장되지 않는다. 호스트 측 프록시가 외부 API 요청을 가로채 인증 헤더를 주입한 뒤 전달하는 구조로, 에이전트는 API를 호출할 수 있지만 자격 증명 값 자체는 MicroVM에 진입하지 않는다.

⤢✕

에이전트 프로세스 자체가 탈취되더라도 API 키 값을 얻어낼 수 없다는 것이 이 설계의 핵심이다. 프록시가 허용 목록을 먼저 검증한 뒤에야 인증 헤더를 붙이므로, 임의의 외부 도메인으로의 요청도 걸러진다.

NanoClaw와 만나는 이중 격리

NanoClaw는 Anthropic의 Agents SDK 기반으로 구축된 경량 오픈소스 AI 에이전트 플랫폼이다. 약 700줄의 TypeScript와 15개 핵심 소스 파일만으로 구성되어, 50만 줄에 70개 이상의 의존성을 가진 OpenClaw와 극명하게 대비된다. 단일 Node.js 프로세스로 동작하며 Claude를 LLM 백엔드로 직접 호출하고, WhatsApp·Telegram·Slack·Discord·Signal·Gmail 메시징을 통합하며 메모리·예약 작업·자율 웹 검색·컨테이너화된 셸 실행을 내장했다. 출시 첫 달 만에 GitHub 스타 20,000개, 다운로드 100,000회를 돌파했다.

이 NanoClaw가 Docker Sandboxes와 결합하면 이중 격리(Double Isolation) 구조가 만들어진다.

레이어	격리 대상	메커니즘
컨테이너 레이어	에이전트 간 격리	각 에이전트가 독립 컨테이너에서 실행, 타 에이전트 데이터 접근 불가
MicroVM 레이어	호스트 격리	모든 컨테이너가 MicroVM 내부에서 실행, 호스트 머신 접근 불가
네트워크 레이어	외부 통신 제어	허용 목록 기반 네트워크 정책으로 무단 외부 접속 차단
인증 레이어	자격 증명 보호	API 키가 MicroVM에 진입하지 않는 프록시 주입 방식

이 구조를 지탱하는 원칙은 세 가지로 요약된다. "컨테이너 없이 실행" 옵션 자체가 존재하지 않는 탈출구 없는 설계, 셸 명령이 컨테이너 내부에서만 실행되어 호스트 시스템에 영향을 주지 않는 Bash 안전성, 그리고 macOS에서는 Apple Containers를 Linux에서는 Docker를 쓰는 플랫폼 적응이다.

sbx CLI로 에이전트를 샌드박스에 넣기

# Docker OAuth 인증
sbx login

# Claude Code를 샌드박스에서 실행
sbx run claude

# Gemini CLI를 샌드박스에서 실행
sbx run gemini

# 범용 셸 모드
sbx run shell

출시 시점 지원 에이전트는 Claude Code, Gemini CLI, GitHub Copilot CLI, OpenAI Codex, OpenCode, Kiro, Docker Agent, 그리고 범용 Shell 모드다. 플랫폼은 macOS(Apple Silicon)와 Windows가 출시 시점부터 지원되고, Linux는 순차 확대 중이다.

경쟁 구도: MicroVM이 유일한 답은 아니다

2026년 초 기준 AI 에이전트 샌드박싱 시장은 빠르게 성장하며 여러 접근 방식이 경쟁하고 있다.

제공자	접근 방식	특징
Docker Sandboxes	MicroVM	전용 커널, 하드웨어 가상화
Cloudflare	V8 Isolate + Container	엣지 기반 경량 격리
Google gVisor	사용자 공간 커널	시스템 콜 인터셉트 기반 격리
Vercel	서버리스 샌드박스	함수 단위 격리

Docker의 MicroVM 방식은 전용 커널을 제공하는 만큼 커널 레벨 공격에 가장 강력한 방어선을 형성하지만, 기존 컨테이너 대비 리소스 오버헤드가 그만큼 늘어난다는 트레이드오프가 있다.

도입 전에 따져봐야 할 것들

MicroVM은 컨테이너보다 메모리와 CPU를 더 소비하므로, 다수의 에이전트를 동시에 실행할 계획이라면 인프라 비용부터 산정해야 한다. 기본 제공되는 "Balanced" 네트워크 정책만으로는 부족할 수 있어 조직별 허용 도메인을 세밀하게 관리하는 정책 수립이 필요하고, 패스스루로 공유되는 파일시스템 범위는 민감 데이터 노출을 막기 위해 최소한으로 제한해야 한다. 2026년 3월 기준 Docker Sandboxes는 아직 실험적 단계이므로 프로덕션에 적용하려면 별도의 안정성 검증이 필요하며, 지원 에이전트 목록이 제한적인 만큼 자사 커스텀 에이전트와의 호환성도 미리 확인해두는 편이 안전하다.

Docker와 NanoClaw의 제휴는 AI 에이전트 보안을 컨테이너 수준에서 MicroVM 수준으로 끌어올린 진전이다. 전용 커널 격리, 프록시 기반 자격 증명 보호, 필수 컨테이너화 원칙을 결합한 이 아키텍처는 AI 에이전트가 코드를 실행하고 외부 시스템과 상호작용하는 시대에 필요한 보안 기반을 제공한다. 에이전트의 권한이 넓어질수록 격리 실행 환경의 중요성도 함께 커질 것이다.