Chainguard, AI 코딩 에이전트 보안을 위한 Workspaces와 Checks 출시

AI 코딩 에이전트는 유용한 수정 사항을 작성하면서도 그 과정에서 보안 사고를 일으킬 수 있다. 손상된 종속성을 설치하거나, 신뢰할 수 없는 콘텐츠에 삽입된 지시를 따르거나, 작업에 필요한 수준을 훨씬 넘어서는 접근 권한을 부여하는 자격 증명으로 명령을 실행할 수도 있다. 여러 에이전트를 병렬로 더 많이 투입하는 팀이 늘면서, 에이전트가 생성한 코드를 보호하는 일은 문제의 일부에 불과해졌다.

Chainguard는 Assemble London에서 세 가지 발표를 통해 이러한 더 광범위한 위험에 대응한다. 개발자와 코딩 에이전트를 위한 격리 환경인 Workspaces, 에이전트 개발 과정 안에서 실행되도록 설계된 검증 엔진 Checks, 그리고 더 많은 프로그래밍 언어와 취약점 해결을 지원하도록 보호 범위를 확대한 Libraries다.

이번 출시는 기업이 점점 더 답해야 하는 세 가지 질문을 다룬다. 에이전트가 어디에서 실행되는지, 에이전트의 작업을 어떻게 검증하는지, 그리고 에이전트가 어떤 외부 소프트웨어를 조직에 가져올 수 있는지다. Workspaces와 Checks는 베타로 출시되며, 새 Go 및 .NET Libraries 서비스는 얼리 액세스 단계에 들어간다.

각 코딩 에이전트에 경계 설정하기

Chainguard Workspaces는 개발자와 에이전트 각각에 별도의 원격 마이크로 가상 머신(microVM)을 제공한다. 이 환경은 개발자의 로컬 작업 트리를 동기화하므로, 개발자는 편집기와 Git 작업 흐름을 그대로 유지하면서 자신의 컴퓨터가 아닌 곳에서 실행을 진행할 수 있다. 별도의 환경을 사용하면 여러 에이전트가 동일한 작업 환경을 공유하지 않고도 병렬로 변경을 시도할 수 있다.

이 구분이 중요한 이유는 명령 실행, 패키지 설치, 서비스 접근 등 에이전트의 유용한 기능이 동시에 침해의 잠재적 경로이기도 하기 때문이다. 에이전트 지침에 작성된 정책은 에이전트가 이를 따르는 데 달려 있다. 실행 환경이 강제하는 경계는 모델이 잘못된 결정을 내리더라도 실제로 일어나는 일을 제한할 수 있다.

출시 발표에 따르면 실제 자격 증명은 워크스페이스 외부에서 주입된다. 디스크에 자격 증명을 저장해야 하는 도구에는 암호화된 단기 대체 자격 증명이 제공된다. 선택적으로 적용할 수 있는 외부 통신 정책은 승인된 대상으로의 아웃바운드 연결을 제한해, 손상된 종속성이나 프롬프트 인젝션을 당한 에이전트가 데이터를 다른 곳으로 보내는 능력을 줄인다.

이러한 제어 기능은 서로 다른 위험에 대응한다. 하드웨어 격리는 워크로드를 분리하고, 자격 증명 관리는 재사용 가능한 비밀 정보가 에이전트에 노출되지 않도록 하며, 네트워크 정책은 에이전트가 통신할 수 있는 대상을 제한한다. 그러나 이러한 기능의 효과는 여전히 조직이 승인하는 권한과 대상에 달려 있다. 격리한다고 해서 승인된 모든 작업이 무해해지는 것은 아니다.

이 환경은 Chainguard OS Packages를 사용하며, 실행 시 잠금 파일을 기준으로 종속성을 검증한다. Chainguard의 기존 OS Packages 서비스는 지속적으로 유지 관리되는 패키지를 제공하고, 이를 소스 코드에서 빌드하며, 소프트웨어 자재 명세서도 포함한다. 이러한 기반은 회사의 접근 방식을 보여 준다. 통제된 소프트웨어 기반을 에이전트가 실행되는 곳까지 확장하는 것이다.

Workspaces는 환경, 코드 변경 사항, 검사 결과를 담은 서명된 기록도 생성한다. 이를 통해 보안팀은 에이전트가 수행한 작업을 조사할 수 있으며, 세션에 대한 에이전트 자체의 요약에만 의존하지 않아도 된다.

에이전트 작업 흐름에 검증 통합하기

코드 생성은 빠를 수 있지만, 코드를 검증하는 과정은 여전히 느릴 수 있다. 에이전트가 변경 사항을 만든 뒤 지속적 통합 시스템에 제출하고, 실행기가 준비될 때까지 기다렸다가 작업 맥락이 이미 바뀐 뒤 실패 결과를 받는 식이다. 여러 에이전트에서 이 과정을 반복하면 대기열이 길어지고 환경 설정 작업이 중복될 수 있다.

Chainguard Checks는 도구 호출을 통해 검증을 이 작업 흐름에 통합한다. Workspaces와 함께 사용하면 검사 중에 에이전트 세션이 일시 중단되고, 검사가 끝난 뒤 구조화된 실패 로그를 맥락에 포함해 다시 시작된다. 의도된 작업 흐름은 반복형이다. 변경하고, 검사를 실행하고, 실패 원인을 확인한 뒤, 결과를 전달하기 전에 다시 시도한다.

웜 스냅샷에는 미리 설치된 종속성이 포함되며, 잠금 파일이 변경되면 다시 빌드된다. 각 작업 단계는 자체적인 하드웨어 격리 마이크로 가상 머신에서 실행된다. 출시 발표에는 호스트 측에서 아웃바운드 요청에 단기 유효 자격 증명을 주입하는 기능과 네트워크 접근을 위한 선언형 정책도 설명되어 있다.

검사에 통과하면 환경, 테스트 결과, 커밋을 연결하는 서명된 증명이 생성된다. Chainguard에 따르면 후속 병합 게이트는 이 증거를 검증하고 동일한 테스트 모음을 다시 실행하지 않고도 결과를 승인할 수 있다.

이는 증거를 전달하는 것과 테스트에 통과했다고 주장하는 에이전트의 말만 전달하는 것 사이의 중요한 차이다. 증명을 통해 어떤 환경에서 어떤 커밋을 대상으로 어떤 검사를 실행했는지 확인할 수 있다. 그러나 테스트가 모든 중요한 동작을 다루었는지, 또는 통과한 변경 사항이 모든 보안 요건을 충족하는지는 입증할 수 없다. 팀은 여전히 적절한 테스트와 신뢰할 수 있는 검증 정책을 갖춰야 하며, 판단이 필요한 경우에는 검토도 해야 한다.

Chainguard는 이 설계가 몇 초 만에 결과를 반환하고 중복 컴퓨팅을 줄인다고 밝혔다. 그러나 출시 자료에는 여러 저장소에서 보편적인 속도 향상이나 비용 절감을 입증하는 독립적으로 검증된 벤치마크가 제시되어 있지 않다.

에이전트가 가져오는 종속성 보호하기

세 번째 발표에서는 오픈소스 언어 종속성의 관리형 카탈로그와 엔드포인트인 Chainguard Libraries의 범위를 확장한다. 기존 서비스는 아티팩트 관리 도구 및 개발 워크플로에 맞게 설계됐으며, Chainguard가 빌드한 패키지의 출처 정보와 서명된 소프트웨어 자재명세서를 제공한다.

새 Go 엔드포인트에는 악성코드 및 그레이웨어 검사, 구성 가능한 패키지 정책, CVE 취약점 수정 기능이 포함된다. .NET 엔드포인트는 검사 및 정책 제어 기능을 제공하며 NuGet을 직접 사용하는 대신 선택할 수 있는 대안을 제시한다. 두 엔드포인트 모두 얼리 액세스로 제공된다.

Chainguard는 JavaScript와 Go에 대한 CVE 취약점 수정 기능도 추가한다. 여기에는 심각도 ‘치명적’ 및 ‘높음’으로 분류된 취약점에 대한 백포트 수정 사항이 포함된다. 애플리케이션을 변경하거나 광범위한 테스트를 거치지 않고는 팀이 즉시 새 메이저 버전으로 전환할 수 없는 경우, 백포트가 중요하다. 대규모 업그레이드를 계획하는 동안에도 취약점 노출을 줄일 수 있다.

회사는 Java와 Python의 경우 업계 연합체 Athena가 최첨단 AI 모델이 발견한 취약점이 공개되는 당일에 수정된 아티팩트를 제공할 예정이라고 밝혔다. 이는 취약점 공개 시점의 대응에 관한 주장이지, 공개되지 않은 결함이 존재하지 않는다는 보장은 아니다.

패치만으로는 해결하기 어려운 이유를 보여주는 설문조사

제품 발표와 함께 Chainguard는 Wakefield Research에 의뢰해 실시한 설문조사 The AI Exploit Gap도 공개한다. 설문조사는 2026년 9월, 9개 시장의 사이버 보안 리더 1,300명을 대상으로 진행됐다. 응답자는 모두 이사급 이상이었으며, 대체로 직원이 최소 500명인 조직에서 근무했다. 싱가포르와 UAE/사우디아라비아에서는 최소 직원 수 기준이 250명이었다.

해당 설문조사에서 응답자의 54%는 소속 조직이 심각도 ‘높음’ 또는 ‘치명적’인 취약점을 알고도 적어도 가끔 패치하지 않은 채로 둔다고 답했고, 93%는 AI 기반 공격의 취약점을 충분히 신속하게 수정할 수 있을지 우려한다고 밝혔다. 응답자의 약 76%는 지난 1년 동안 AI 기반 공격을 확인했거나 공격이 있었던 것으로 의심된다고 답했다.

마지막 수치는 확인된 사고와 의심 사례를 합한 것이다. 이를 AI로 인해 발생한 공격 규모를 독립적으로 검증한 수치로 받아들여서는 안 된다. 더 넓게 보면, 이는 응답자들의 보고와 예상이지, 특정 공격 기법이 얼마나 자주 성공하는지를 입증하는 원격 측정 데이터가 아니다.

운영 측면의 조사 결과는 주목할 만하다. 매출이 최소 10억 달러인 기업 가운데 66%는 심각도 ‘높음’ 또는 ‘치명적’인 취약점을 적어도 가끔 패치하지 않은 채로 둔다고 답했다. 매출이 2억 5,000만 달러 미만인 기업에서는 이 비율이 27%였다. 대기업은 서비스 중단이나 서로 경쟁하는 제품 우선순위와 같은 사업상의 상충 관계를 이유로 들었다. 따라서 격차는 결함을 찾아내는 능력뿐 아니라 변경 사항을 실제로 적용하는 능력에도 달려 있다.

자율성이 커질수록 검증 가능한 통제도 강화해야 한다

Chainguard가 발표한 세 가지 제품은 일관된 접근 방식을 이룬다. 실행 환경을 제한하고, 에이전트가 신속하게 검증을 수행하고 그 출처를 추적할 수 있도록 하며, 에이전트가 사용하는 종속성을 관리하는 것이다. 각 제품은 동일한 개발 워크플로의 서로 다른 부분을 다룬다.

실질적인 관건은 이러한 통제가 또 다른 병목이 되지 않으면서 실제 코드 저장소, 서비스 통합, 릴리스 정책에 맞게 작동하느냐는 것이다. 베타 및 얼리 액세스 단계인 만큼 앞으로 해결해야 할 과제가 남아 있다. 그러나 나아갈 방향은 분명하다. 코딩 에이전트가 작업을 수행할 능력을 갖추게 될수록, 기업에는 작업 전반에 걸쳐 계속 적용하고 점검할 수 있는 보안 통제가 필요하다.