Anthropic이 공개한 Claude 에이전트 격리 3계층 패턴: 승인 팝업 대신 환경을 먼저 가둔다

원작자는 X의 Yarchi(@undefinedKi)이며, 이 글은 Anthropic Engineering의 원전 「How we contain Claude」를 정리한 스레드를 한국 독자용 실무 팁으로 옮긴 것입니다. 아래 수치와 구성은 모두 원작자 스레드가 전한 내용이며, 원전 본문을 직접 인용한 것이 아닙니다.

이미지: 본문 이해를 돕기 위한 삽화 (Yarchi 스레드 및 Anthropic Engineering 원전 참조)

핵심 주장부터 옮기면 이렇습니다. 승인 프롬프트(approval prompt)로 에이전트를 감독하는 방식이 먼저 무너졌습니다. 사용자가 승인 팝업의 93%에 "예"를 눌렀기 때문에, Anthropic은 에이전트를 감독하는 방식에서 에이전트를 격리(contain)하는 방식으로 방향을 바꿨다는 것이 원작자의 정리입니다.

3계층 격리: 환경·모델·외부

원작자가 전한 구조는 모든 에이전트가 아래 세 계층 안에 들어간다는 것입니다.

• 환경(Environment): 샌드박스, VM, 외부 전송(egress) 규칙. 넘을 수 없는 상한선. 에이전트가 잘못된 선택을 해도 닿을 수 있는 범위를 물리적으로 제한합니다.
• 모델(Model): 프롬프트, 분류기, 학습. 에이전트가 기울어지는 방향을 다듬습니다. 무엇을 하는 경향이 있는지를 조정하는 층입니다.
• 외부(External): MCP 서버, 플러그인, 웹. 들어오고 나가는 것을 감사합니다. 외부에서 무엇이 들어오는지, 무엇이 나가는지를 점검하는 층입니다.

원작자가 먼저 훔칠 규칙으로 꼽은 한 줄도 그대로 옮깁니다. 환경을 먼저 격리하고(contain the environment first), 모델 조종(steer)은 그다음이라는 것입니다.

제품별 설정: Chat·Code·Cowork는 다르게 가둔다

원작자가 전한 원전 내용에 따르면 제품마다 격리 패턴이 하나씩 다르며, 원작자는 세 가지를 전합니다.

• Claude Chat: 세션마다 일회용 컨테이너. 세션이 끝나면 버리는 격리 단위입니다.
• Claude Code: OS 샌드박스, 네트워크는 기본 차단. 원작자가 전한 수치로는 승인 프롬프트가 84% 줄었습니다.
• Cowork: 로컬 VM, 작업 공간만 마운트, 인증 정보는 호스트에 보관. 에이전트가 도는 환경에 인증 정보가 닿지 않게 한다는 점이 핵심이며, 댓글에서 @talemi가 "훔칠 가치가 있는 대목"이라고 짚은 부분도 바로 이 대목입니다.

그대로 가져갈 때의 주의점

원작자 스레드에 달린 caveat 성격의 지적도 함께 옮깁니다. @HavisT83099의 지적에 따르면, MCP 서버가 임의의 웹 콘텐츠를 컨텍스트로 끌어올 수 있다면 샌드박스는 에이전트가 "할 수 있는 일"에는 상한을 두지만, 에이전트가 "읽는 것"까지 막아주지는 않습니다. 외부 계층 감사와 egress 규칙을 함께 보라는 의미로 읽힙니다.

실무에 적용한다면 순서는 단순합니다. 에이전트가 touches하는 디렉터리와 네트워크 범위를 먼저 가두고, 그다음에 프롬프트와 권한을 다듬는 것입니다. 승인 팝업을 늘리는 것은 93%라는 수치 앞에서 답이 아니라는 것이 이 팁의 요지입니다.

원문 출처

• Yarchi(@undefinedKi) 원문 스레드: Anthropic published the exact agent containment setup they run for Claude
• Anthropic Engineering 원전: How we contain Claude