보안 업체 Trail of Bits의 coop은 클로드 코드와 코덱스를 일회용 가상 머신에 가두는 아파치 2.0 러스트 CLI로, 리눅스는 파이어크래커 마이크로 VM을 맥은 Lima를 써요. 어제 해커뉴스에 올라와 알려졌을 뿐 새로 나온 건 아니어서 저장소는 4월 2일에 생겼고 마지막 릴리스 v0.5.4는 7월 14일이에요. 신뢰 모델 문서는 지켜 주는 선이 가상 머신 경계 하나뿐이라고 적어 두고, 안쪽은 비밀번호 없는 sudo에 클로드가 bypassPermissions로 돌며 넣어 준 깃허브 토큰은 아무 프로세스나 읽는 자격 증명 도우미로 남고 게스트는 호스트 인터페이스를 거쳐 인터넷으로 그냥 나간다고 밝혔어요.
용어 풀이
- CLI
- 명령을 글자로 입력해서 쓰는 프로그램
- VM
- 한 컴퓨터 안에 소프트웨어로 만들어 낸 또 하나의 컴퓨터
- sudo
- 리눅스·맥에서 관리자 권한으로 명령을 실행하는 명령어
- API
- 프로그램끼리 정해진 형식으로 요청과 응답을 주고받는 통로
운영자 인사이트
권한 확인을 끄고 에이전트를 돌릴 생각이면 컨테이너보다 경계가 두껍지만, 안쪽에 넣어 준 토큰과 작업 폴더는 그대로 노출된다는 걸 문서가 먼저 인정해요. 키를 호스트에 남기고 싶으면 자격 증명 프록시 모드를 켜야 하는데 그것도 허용 목록이 API 세 개뿐이라 깃허브나 패키지 저장소 접근은 따로 넣어 준 토큰이 담당해요.
여러 관점으로 보기
- 만든 쪽이 밝힌 격리 범위 신뢰 모델 문서는 가상 머신 안쪽엔 지킬 권한 경계가 없고 그 전체가 피해 범위라고 적었고, 게스트는 호스트의 기본 인터페이스를 거쳐 인터넷으로 나간다고 밝혔어요. GitHub
- 키를 호스트에 남기는 방법 프록시 모드를 켜면 진짜 키는 호스트에 남고 가상 머신은 임시 토큰만 받지만, 허용된 건 API 세 개뿐이고 끼워 넣는 키의 계정 권한 범위는 그대로예요. GitHub
- 쓰는 사람들 반응 매일 쓴다는 사용자도 작정한 에이전트라면 빠져나갈 거라고 적었고, 도커 샌드박스나 bubblewrap과 뭐가 다르냐는 질문이 이어졌어요. Hacker News