클로드 데스크톱의 새 기능 'Cowork'가 명령·코드를 실행할 때 맥의 애플 가상화 프레임워크(Virtualization.framework)로 완전한 우분투 22.04 ARM64 가상머신(VM)을 통째로 띄운다는 사실을, 여러 보안 연구자가 앱 지원 폴더의 10GB 번들과 최소화된 자바스크립트를 실행 없이 정적으로 뜯어보며 확인했어요. VM 안에서는 coworkd(내부명 sdk-daemon)라는 Go 데몬이 vsock으로 호스트와 통신하며 프로세스 생성·종료·마운트·입출력을 중계하는데, 이 데몬은 root로 돌면서 systemd 보안 강화 옵션을 오히려 꺼둔 상태예요(격리 경계를 VM 자체에 두는 설계). 앤트로픽 공식 문서도 '셸 명령과 코드는 별도 리눅스 VM 안에서 실행된다'고 밝혀 핵심 구조가 교차 확인돼요.
용어 풀이
- VM
- 가상머신 — 진짜 컴퓨터를 소프트웨어로 통째로 흉내 낸 격리된 실행 환경
- RPC
- 원격 프로시저 호출 — 다른 프로세스·기기의 함수를 내 것처럼 불러 쓰는 통신 방식
- 데몬(daemon)
- 화면 없이 뒤에서 계속 도는 백그라운드 프로그램
- vsock
- 가상머신과 호스트를 네트워크 없이 바로 잇는 전용 통신 통로
- systemd
- 리눅스에서 서비스·데몬을 켜고 관리하는 기본 관리자
- root
- 리눅스의 최고 관리자 권한 — 사실상 뭐든 할 수 있는 계정
- 하이퍼바이저(hypervisor)
- 한 컴퓨터 위에 여러 가상머신을 띄우고 돌리는 토대 소프트웨어
- gVisor
- 프로그램이 커널에 직접 닿지 못하게 가로막는 구글의 보안 격리 계층
- 정적분석
- 프로그램을 실행하지 않고 코드·파일만 뜯어보며 분석하는 방법
운영자 인사이트
자율 에이전트에 실행 권한을 줄 땐 '얌전히 굴겠다'는 약속이 아니라 '가둘 벽'으로 막는다는 설계 철학이 드러나요 — 컨테이너·프로세스 샌드박스가 아니라 하이퍼바이저 VM 자체를 경계로 삼고, 그 안은 root로 느슨하게 두죠. 대신 로그가 모두 읽기 가능(644)에 삭제해도 남는 점은 프라이버시 관점에서 따져볼 지점이에요.
여러 관점으로 보기
- 원문 해설(대중적) 10GB VM 번들을 발견하고 '자율성만큼의 격리 벽이 필요하다'는 관점으로 풀어낸 해설이에요. The First Derivative (Substack)
- 공식 아키텍처 앤트로픽 공식 문서가 셸 명령·코드는 맥은 애플 가상화, 윈도우는 Hyper-V, 리눅스는 QEMU로 띄운 별도 리눅스 VM에서 돈다고 밝혀요. Anthropic Claude Help Center
- 보안 심층 리버싱 coworkd가 root로 돌며 systemd 하드닝을 꺼둔 점, VM엔 직접 인터넷이 없고 로그가 삭제 후에도 남는 위험까지 짚어요. Pluto Security
- 정적분석·리눅스 이식 최소화된 자바스크립트를 복원해 vsock RPC와 VM 부팅 흐름을 정리하고 리눅스에서 돌릴 가능성까지 실험해요. aaddrick.com
- 실무 확인(번들 위치·우분투 버전) VM 번들 위치와 우분투 22.04 ARM64, 세션별 비권한 UID로 한 번 더 가두는 이중 샌드박스를 확인해요. pvieito.com
- 커뮤니티 반응 엔지니어들은 접근 자체는 인정하면서도 '클로드 코드엔 어차피 샌드박스가 필요했다'며 도커·데브컨테이너 대안을 나눠요. Hacker News