OpenAI, 윈도우용 코덱스 맞춤형 샌드박스 설계 공개

AI에게 내 PC에서 코드를 작성하고 실행하게 맡기는 것은, 모르는 사람에게 로그인된 노트북을 그대로 넘겨주는 것만큼이나 찝찝한 일입니다. macOS나 Linux에는 가벼운 격리 장치가 기본으로 마련되어 있지만, Windows 사용자들은 오랫동안 극단적인 선택을 강요받아야 했습니다. 코딩 에이전트가 파일 하나를 읽을 때마다 승인 버튼을 누르거나, 아니면 아예 보안 장벽을 풀고 PC 전체에 대한 자유로운 접근을 허용하는 방식이었습니다.

OpenAI의 엔지니어 David Wiesen은 2026년 5월 13일, Windows용 Codex를 위한 전용 샌드박스를 밑바닥부터 직접 구축한 기술적 배경을 공유했습니다. 그가 2025년 9월 Codex 팀에 합류했을 당시만 해도 Windows 환경에는 샌드박스가 전무해 사용자들이 심각한 피로감과 보안 위험에 동시에 노출되어 있었습니다.

마이크로소프트의 기본 도구들이 탈락한 이유

코딩 에이전트가 안전하게 작동하려면 지정된 프로젝트 폴더 외의 파일 쓰기를 막고, 허가되지 않은 외부 네트워크 전송을 차단해야 합니다. macOS의 Seatbelt나 Linux의 bubblewrap, seccomp 같은 도구가 Windows에는 기본 탑재되어 있지 않습니다.

OpenAI 팀은 마이크로소프트가 기본 제공하는 세 가지 격리 기술을 먼저 검토했지만, 모두 현실적인 한계에 부딪혔습니다.

첫 번째 후보였던 AppContainer는 사전에 접근 대상이 정확히 정해진 앱에 특화된 격리 방식이었습니다. 셸 명령어, Git, 파이썬 환경, 빌드 도구 등을 자유자재로 실행해야 하는 개방형 개발 에이전트의 워크플로를 담아내기에는 지나치게 경직되어 있었습니다.

두 번째 후보인 Windows Sandbox는 훌륭한 경량 가상머신이지만, 호스트 환경과 완전히 분리된 일회성 데스크톱이라 개발자의 로컬 도구 체인과 연결하기가 매우 까다로웠습니다. 게다가 일반 사용자가 많이 쓰는 Windows Home 에디션에서는 아예 지원되지 않는다는 치명적인 약점도 있었습니다.

세 번째로 검토한 강제 무결성 제어(MIC)는 에이전트를 낮은 무결성 수준으로 실행하고 작업 폴더 역시 낮게 재설정하는 구상이었습니다. 하지만 이 방식을 쓰면 PC 내의 다른 악성 저권한 프로세스까지 사용자의 실제 작업 폴더를 마음대로 수정할 수 있게 되어, 프로젝트 저장소 전체가 취약해지는 문제를 낳았습니다.

관리자 권한 없이 파일 쓰기와 통신을 묶어두는 법

결국 팀은 관리자 권한(UAC) 승인을 요구하지 않고 일반 사용자 권한에서 동작하는 독자적인 샌드박스를 설계하기로 했습니다.

파일 쓰기 제어에는 가상 보안 식별자(Synthetic SID)와 쓰기 제한 토큰을 활용했습니다. Windows에서 쓰기 제한 토큰이 적용된 프로세스는 일반 사용자 권한뿐만 아니라 토큰의 제한 목록에 포함된 특정 SID의 허가까지 동시에 충족해야만 쓰기를 수행할 수 있습니다.

Codex는 이를 바탕으로 sandbox-write라는 가상 SID를 생성했습니다. 현재 작업 디렉터리와 사용자가 설정한 추가 폴더에만 쓰기 권한을 주고, 그 안에 있는 .git, .codex, .agents 같은 민감한 내부 폴더는 명시적으로 쓰기를 차단했습니다.

네트워크 차단은 한층 더 까다로웠습니다. 관리자 권한이 없으면 Windows 방화벽 API를 건드릴 수 없기 때문입니다. 프로토타입 단계에서 팀은 개발 도구들이 사용하는 탈출 경로를 마비시키는 우회 전략을 택했습니다. 프록시 환경변수를 존재하지 않는 로컬 포트(127.0.0.1:9)로 돌리고, Git SSH 명령은 즉시 에러를 내며 종료되도록 스크립트를 심어두었습니다.

이러한 조치는 일반적인 패키지 관리자나 Git의 외부 접속을 효과적으로 막아주지만, 환경변수를 무시하고 직접 로컬 소켓을 여는 악의적인 코드까지 완벽하게 봉쇄하지는 못하는 한계를 지닙니다.

왜 중요한가

Windows 환경에서 개발하는 엔지니어들에게 이번 변화의 실질적 가치는 매우 큽니다. 매번 화면에 뜨는 권한 확인 팝업에 시달리거나, 안전장치를 끈 채 불안해하며 에이전트를 돌릴 필요가 사라졌기 때문입니다. 비로소 Mac이나 Linux 환경과 동등한 수준의 편리함과 통제력을 확보하게 되었습니다.

산업 전반으로 보면, AI 에이전트의 발전 축이 단순히 모델의 지능을 높이는 것에서 실제 운영체제 내에서의 권한 관리와 안전 실행으로 옮겨가고 있음을 잘 보여줍니다. 현재의 PC 운영체제들은 사람의 직접 조작을 염두에 두고 설계되었을 뿐, 이처럼 폭넓은 작업을 스스로 수행하는 자율형 에이전트를 격리할 가벼운 기본 장치를 갖추지 못하고 있습니다.

관리자 권한 팝업을 과감히 배제하여 사용자 경험을 살린 OpenAI의 설계는 매우 실용적입니다. 하지만 환경변수 조작을 통한 네트워크 차단 방식은 완전한 보안벽이라기보다는 임시방편에 가깝다는 우려도 남습니다. 마이크로소프트 차원에서 Windows 자체에 가볍고 안전한 비권한 격리 API를 도입해주지 않는다면, 에이전트 소프트웨어들의 이러한 고육지책은 당분간 계속될 것으로 보입니다.