Docker Sandboxes: AI 에이전트용 일회용 격리 환경

Who Should Read

Claude Code·Codex를 권한 프롬프트 없이 자동으로 돌리고 싶지만 내 노트북이 걱정되는 개발자

Core Mechanics

• 컨테이너가 아니라 microVM이다
  • 샌드박스마다 자체 커널과 전용 Docker Engine이 있다.
  • 호스트로 돌아가는 경로가 없다고 설명한다.
• 권한 프롬프트 대신 격리를 안전장치로 쓴다
  • --dangerously-skip-permissions가 기본값이다.
  • 경계는 에이전트의 판단이 아니라 인프라라는 논리다.
• 샌드박스 안에서 docker compose가 된다
  • 샌드박스마다 private Docker Engine이 있다.
  • 소켓 마운트나 호스트 권한이 필요 없다.
• YAML 한 파일(Kit)로 환경을 고정한다
  • 도구, 자격 증명, 네트워크 규칙, 설정을 한 번에 지정한다.
  • sbx run claude --kit 주소 형태로 실행한다.
• 시크릿과 MCP를 샌드박스 단위로 제한한다
  • 실제 비밀값은 VM 밖 호스트에 남는다.
  • sbx mcp enable로 특정 샌드박스에만 MCP 서버를 켠다.

Community Reactions

• 로그인 요구가 가장 큰 불만이었다
  • 로컬 샌드박스에 로그인이 필요한 이유가 없다는 의견이 여러 개 있었다.
  • 가입이 필요 없는 오픈소스를 선호한다는 의견도 있었다.
• outbound 방화벽과 시크릿 주입이 장점이라는 경험
  • 이 두 기능 덕에 한동안 매일 쓴다는 사용자가 있었다.
  • git worktree마다 저장소별 샌드박스를 마운트해 쓴다고 한다.
• Linux 지원과 커스텀 볼륨 마운트가 아쉽다는 의견
  • Linux 지원 이슈에 응답이 없었다는 경험이 있었다.
  • 커스텀 볼륨 마운트가 안 돼 디렉터리 두 개가 필요한 작업이 막혔다는 경험도 있었다.
• 대안이 다양하게 소개됐다
  • Locki, Gondolin, Tart, Apple container, devcontainer 등이 언급됐다.
  • 권한 분리가 근본 해법이라는 반론도 있었다.

How to Apply

• sbx를 설치하고 작은 저장소에서 돌려보기
  • brew install docker/tap/sbx 후 sbx run claude를 실행하라.
  • 에이전트가 만든 변경과 호스트 상태를 비교하라.
• MCP 서버를 프로젝트별로 따로 켜기
  • sbx mcp enable github-official --sandbox 프로젝트명을 실행하라.
  • 다른 샌드박스에는 켜지 마라.
• 팀 표준 환경을 Kit YAML로 만들기
  • 도구, 네트워크 규칙, 자격 증명을 YAML 한 파일에 정리하라.
  • --kit 옵션으로 팀원 모두 같은 환경에서 시작하게 하라.
• 사용 전 로그인·Linux 지원 여부 확인하기
  • 팀 환경에 맞는지 먼저 확인하라.
  • 필요하면 댓글에 나온 오픈소스 대안도 비교하라.

Try It

# 셸에 붙여넣기 (macOS, 원문 설치 명령)

brew trust docker/tap && brew install docker/tap/sbx

# 샌드박스에서 Claude Code 실행
sbx run claude

# 특정 샌드박스에만 GitHub MCP 켜기
sbx mcp ls
sbx mcp enable github-official --sandbox {{샌드박스이름}}

# 끝나면 삭제
sbx rm {{샌드박스이름}}

Terminology

관련 논문

• 같은 시뮬레이션, 다른 근거: 도구 출력을 파일로 넘기면 LLM 에이전트 정확도가 어디서 깎이나

  긴 툴 출력을 파일로 넘기자 GPT-5.1은 정확도 11.3%p 하락, 정식 출력 지정하니 회복

• 가짜 뉴스가 진짜 폭락을: LLM 트레이딩 에이전트 대상 정보 주입 공격

  가짜 헤드라인 한 줄로 LLM 트레이딩 에이전트 62%를 조종했다(프롬프트 주입은 14%)

• Harness Engineering 101: LLM은 뇌, harness는 몸

  에이전트는 JSON 배열을 관리하는 루프이고, 16개 챕터로 직접 만들어 본다

• Harness²: 에이전트 harness를 스스로 고쳐 쓰는 재귀 최적화 프레임워크

  모델은 고정하고 harness를 재귀로 고쳤더니 벤치마크 점수가 최대 11.8%p 올랐다

• 해고된 Savannah 경찰관, ICE 요원 남편에게 Flock 계정 공유

  경찰관이 Flock 계정을 남편(ICE 요원)에게 공유했고, 감사에서 983건 검색이 드러나 해고됐다

• tmux와 Claude Code: 세션, send-keys, 그리고 한계선

  tmux로 Claude Code 여러 개를 돌리면 편하지만 에이전트 4개쯤에서 한계가 온다

• Hybrid Reasoning Agents: 잠재 공간에서 생각하고 텍스트로 행동하는 LLM 에이전트

  잠재 공간 추론과 텍스트 도구 호출을 섞었더니 성능 10.4%↑, 토큰 최대 54.7%↓

Related Resources

• https://www.docker.com/products/docker-sandboxes/
• https://earendil-works.github.io/gondolin
• https://exe.dev
• https://github.com/JanPokorny/locki
• https://github.com/apple/container
• https://nono.sh
• https://github.com/VibePod/vibepod-cli
• https://github.com/pkhamre/opencode-docker