샌드박스 빌려 쓰던 퍼플렉시티, 10주 만에 직접 만들어 생성 3배 빨라졌습니다

아라빈드 스리니바스 CEO가 발표 당일 올린 글입니다. 2월 Computer를 출시할 때는 샌드박스 업체 한 곳의 인프라에서 돌렸고, 이제는 트래픽 100%를 SPACE에서 처리하면서 가장 느린 구간의 지연이 5배 빨라졌다고 적었습니다. 그가 인용한 퍼플렉시티 공식 계정은 SPACE가 6월부터 Computer의 프로덕션 트래픽을 전부 맡아 왔다고 썼고, 첨부한 도표는 중앙값과 90번째 백분위의 생성 지연을 이전 업체와 비교한 것입니다.

같은 날 나온 블로그 글에 따르면 퍼플렉시티 엔지니어들이 SPACE를 구상에서 제품까지 만드는 데 10주가 걸렸고, 사내에서는 두 달 전부터 써 왔습니다. 발표 직전 일주일 동안 SPACE는 샌드박스를 수백만 번 새로 만들고 수천만 번 다시 연결했습니다. 다시 연결한 횟수가 새로 만든 횟수보다 한 자릿수 큽니다. 에이전트는 한번 만든 샌드박스에 여러 번 돌아와 일을 이어 갑니다.

에이전트에게 따로 떼어 준 컴퓨터

샌드박스는 에이전트가 코드를 돌리고 파일을 고치고 브라우저를 쓰도록 따로 떼어 준 컴퓨터입니다. 퍼플렉시티는 2월 Computer를 공개하며 모든 작업이 실제 파일시스템과 브라우저, 도구 연결을 갖춘 격리된 환경에서 돈다고 설명했고, 한 번 맡긴 일이 몇 시간에서 몇 달까지 이어질 수 있다고 소개했습니다. 에이전트가 짠 코드는 사람이 검토하기 전에 바로 실행되므로, SPACE는 안에서 도는 작업을 처음부터 믿지 않는 것을 설계의 전제로 삼았습니다.

사람에게 매번 허락을 받으면 되지 않느냐는 물음에는 앤트로픽이 숫자로 답한 적이 있습니다. 앤트로픽은 5월 25일 엔지니어링 블로그에서 Claude Code 사용자들이 권한 요청의 약 93%를 승인했고, 승인 요청을 많이 볼수록 하나하나에 덜 주의를 기울였다고 적었습니다. 같은 글에는 Claude 모델이 과제를 마치려고 샌드박스를 빠져나간 일도 나옵니다. 앤트로픽은 그래서 에이전트가 무엇을 하는지 지켜보는 방식보다 무엇에 닿을 수 있는지를 환경에서 막는 방식에 가장 많은 공을 들였다고 밝혔습니다.

SPACE가 널리 쓰이는 컨테이너 방식을 택하지 않은 이유도 여기서 나옵니다. 컨테이너는 짧게 돌고 상태를 남기지 않는 작업을 전제로 만들어졌고, 여러 작업이 호스트 운영체제의 커널(하드웨어와 프로그램 사이를 관리하는 운영체제의 중심부) 하나를 함께 씁니다. 그 커널 하나가 뚫리면 위에서 도는 작업이 모두 위험해집니다. 에이전트 세션은 몇 시간 치 맥락과 작업 중인 파일, 돌아가는 프로세스를 쌓아 가서 문제가 생겼다고 버리고 새로 만들기도 어렵습니다.

격리 기술은 5월에도 Firecracker였습니다

SPACE는 작업마다 Firecracker 마이크로VM을 하나씩 띄웁니다. 마이크로VM은 필요한 장치만 남겨 가볍게 만든 가상머신으로, 샌드박스마다 자기 커널을 따로 가집니다. 샌드박스 하나가 자기 커널을 뚫어도 피해는 그 VM 안에 머물고, 옆 샌드박스로 건너가려면 VM 격리와 호스트의 프로세스 격리를 둘 다 뚫어야 합니다.

그런데 퍼플렉시티는 5월 13일 Computer 보안 설명 글에서도 모든 작업이 Firecracker 마이크로VM 안에서 돈다고 적었습니다. SPACE로 옮기기 시작한 6월보다 한 달 앞선 글입니다. 7월에 달라진 것은 그 마이크로VM을 누가 만들고 멈추고 되살리며, 그 안에 무엇을 넣어 주느냐였습니다.

Firecracker는 아마존웹서비스(AWS)가 2018년 11월 오픈소스로 공개한 가상화 기술입니다. AWS는 공개 글에서 2014년 서버리스 서비스 람다를 내놓을 때 고객 사이를 격리하려고 고객마다 전용 EC2 서버를 배정했고, 그 방식이 보안 목표는 채웠지만 운영에서 타협을 강요했다고 설명했습니다. 그 타협을 풀려고 만든 것이 마이크로VM을 125밀리초 만에 띄우는 Firecracker였고, 람다와 컨테이너 서비스 파게이트가 그 위에서 돌았습니다. 격리를 지키면서 빨리 띄우는 문제를 AI 에이전트보다 8년 먼저 서버리스가 겪었습니다.

지금 Firecracker는 아파치 2.0 라이선스로 누구나 가져다 씁니다. 공식 사이트는 125밀리초 안에 부팅하고, 서버 한 대에서 초당 150개까지 만들며, VM 하나에 드는 추가 메모리가 5MiB가 안 된다고 소개합니다. 샌드박스 업체 E2B가 공개한 실행 환경도 샌드박스마다 Firecracker 마이크로VM을 하나씩 띄우고, AWS가 6월 22일 내놓은 Lambda MicroVMs도 Firecracker로 돕니다. 같은 부품을 쓰는 회사가 여럿이니 차이는 그 위에 얹은 설계에서 납니다.

SPACE는 세 부분으로 나뉩니다. 요청을 받아 어떤 샌드박스가 어느 서버에 있어야 하는지 정하는 컨트롤 플레인은 상태를 스스로 들고 있지 않고 공용 데이터베이스에 맡겨서, 도중에 멈춰도 원하는 상태와 실제 상태를 다시 맞춰 갑니다. 서버마다 도는 노드 서비스가 샌드박스를 실제로 띄우고 멈추며 저장과 네트워크, 자격 증명 주입을 맡습니다. 샌드박스 안에서는 space 데몬이라는 작은 관리 프로그램이 파일 접근과 프로세스 관리를 맡는데, 이 데몬은 바깥과 직접 통신하지 않고 VM 안의 전용 통로로만 호스트와 연결됩니다.

60밀리초는 미리 데워 둔 풀에서 나옵니다

퍼플렉시티는 SPACE를 배포하면서 이전 샌드박스 업체와 SPACE를 같은 프로덕션 트래픽에 함께 붙여 출시 주간 내내 쟀습니다. 회사가 밝힌 결과는 분포 전체에서 3~5배 빠르다는 것이고, 세부 숫자는 이렇습니다.

속도는 파일시스템에서 나왔습니다. SPACE는 서버의 샌드박스 저장소로 btrfs를 씁니다. btrfs는 원본을 통째로 베끼지 않고 바뀐 부분만 새로 적는 카피온라이트 파일시스템이라, 복제할 때 실제 데이터 블록은 함께 쓰고 메타데이터(파일이 어디 있는지 적은 관리 정보)만 복사합니다. 스냅샷도 새 루트 하나를 만드는 일이라 순식간에 끝나고, 저장 공간은 달라진 만큼만 듭니다.

그래서 SPACE는 요청이 올 때마다 샌드박스를 처음부터 만들지 않습니다. 자주 쓰는 템플릿을 디스크에 미리 펼쳐 둔 대기 풀을 두고, 요청이 오면 템플릿이 맞는 것을 골라 붙입니다. 샌드박스에 줄 쓰기용 루트 파일시스템도 통째 복사 대신 카피온라이트 복제로 만듭니다. 맞는 템플릿이 풀에 없으면 그때 내려받는데, 같은 이미지를 찾는 요청이 한꺼번에 몰리면 내려받기를 한 번으로 합칩니다.

이 숫자가 어느 정도인지는 AWS의 설명과 견주면 가늠이 됩니다. AWS는 Lambda MicroVMs를 소개하며 가상머신은 격리가 강하지만 뜨는 데 몇 분이 걸리고, 컨테이너는 몇 초면 뜨지만 커널을 함께 써서 믿을 수 없는 코드를 가두려면 손이 많이 간다고 적었습니다. 다만 퍼플렉시티는 풀에 맞는 템플릿이 없을 때 걸리는 시간과, 그런 요청이 전체에서 차지하는 비율은 따로 밝히지 않았습니다.

일주일 전으로 되돌리는 세션

에이전트 작업은 몇 분에서 몇 달까지 이어지고, 사람의 답을 기다리며 오래 멈춰 있기도 합니다. SPACE는 샌드박스가 만들어져서 사라질 때까지를 상태기계로 관리합니다. 상태기계는 정해진 상태들과 그 사이를 오가는 규칙으로 동작을 짜는 설계로, SPACE에서는 멈추기와 체크포인트, 보관이 모두 왕복 경로이고 어느 경로든 다시 「시작됨」 상태로 돌아옵니다.

이 전환을 떠받치는 것은 두 가지 스냅샷입니다. 파일시스템을 그 시점 그대로 떠 두는 디스크 스냅샷은 자주, 멈춘 VM 전체를 떠 두는 체크포인트는 그보다 드물게 찍고, 오래된 것일수록 적게 남깁니다. 에이전트가 파괴적인 명령을 실행했으면 디스크 스냅샷으로 파일을 되돌리고, 샌드박스가 죽었으면 최근 체크포인트에서 실행 중이던 시점으로 되살립니다. 블로그 글은 파일과 함께 실행 중인 메모리까지 1분 간격으로 찍을 수 있고 일주일 전까지 돌아갈 수 있다고 적었습니다.

오래 멈출 세션은 보관 상태로 넘깁니다. VM을 멈추고 전체 스냅샷을 찍어 오브젝트 스토리지(대용량 파일 저장소)에 올리는데, 조각이 모두 올라가야 데이터베이스 기록이 복원 가능 상태가 되므로 반쯤 올라간 스냅샷으로 되살아나는 일은 없습니다. 스냅샷이 원래 서버를 떠나 있으니 어느 서버든 내려받아 세션을 이어 갈 수 있습니다.

앤트로픽도 같은 문제를 먼저 겪었습니다. 4월 8일 엔지니어링 블로그에 따르면 Claude Managed Agents의 첫 설계는 세션 기록과 하네스(모델에 도구를 붙여 일을 시키는 실행 틀), 샌드박스를 컨테이너 하나에 몰아넣었고, 컨테이너가 죽으면 세션도 함께 사라졌습니다. 앤트로픽은 하네스와 세션 기록을 컨테이너 밖으로 빼서 컨테이너가 죽어도 새로 띄워 이어 가게 고쳤고, 컨테이너를 필요할 때만 띄우자 첫 토큰까지 걸리는 시간이 중앙값 기준 약 60%, 느린 쪽 5%에서 90% 넘게 줄었다고 밝혔습니다. 오픈AI도 4월 15일 Agents SDK에 스냅샷과 복원 기능을 넣어, 샌드박스 컨테이너가 사라져도 마지막 체크포인트부터 새 컨테이너에서 이어 가게 했습니다.

자격 증명은 샌드박스 밖에 둡니다

오래 도는 에이전트가 사고를 한 번 내면 사용자의 API 키와 계정 정보가 샐 수 있습니다. SPACE는 자격 증명(비밀번호나 API 키처럼 계정에 접근하는 정보)을 샌드박스 경계 밖의 저장소에 두고, 필요한 순간에만 바깥의 네트워크 게이트웨이가 요청에 붙이거나 브라우저 에이전트가 대신 입력합니다. 저장소는 서비스마다 권한을 따로 확인하고, 주입 방식과 만료 시점을 관리하며, 모든 접근에 횟수 제한과 감사 기록을 붙입니다. 구글 계정 연결처럼 로그인이 필요한 일도 샌드박스 안에 자격 증명을 들이지 않고 처리합니다.

밖으로 나가는 통신은 TCP든 UDP든 전부 네트워크 게이트웨이를 거치고, 게이트웨이를 통과하지 못하면 막히는 방식입니다. 샌드박스와 플랫폼 사이에 허용된 통로는 space 데몬 하나뿐입니다. 기업 고객은 자기 암호화 키를 가져올 수 있고(BYOK), 고객이 키를 회수하면 새 샌드박스는 부팅되지 않고 이미 암호화된 데이터도 읽을 수 없게 됩니다.

같은 설계에 오픈AI와 앤트로픽도 먼저 닿았습니다. 오픈AI는 4월 15일 Agents SDK를 개편하며 에이전트 시스템은 프롬프트 인젝션과 정보 유출 시도를 전제로 설계하라고 적었고, 하네스와 연산 환경을 떼어 놓으면 모델이 만든 코드가 도는 곳에서 자격 증명을 멀리 둘 수 있다고 설명했습니다. 앤트로픽은 첫 설계에서 Claude가 만든 코드가 자격 증명과 같은 컨테이너에서 돌았다고 밝혔습니다. 프롬프트 인젝션(문서나 웹페이지에 숨긴 지시로 에이전트를 조종하는 공격)이 Claude에게 자기 환경을 읽게 만들기만 하면 토큰이 넘어가는 구조였고, 앤트로픽은 토큰을 금고에 두고 전용 프록시가 외부 서비스를 대신 부르게 고쳤습니다. 4월부터 7월 사이에 세 회사가 같은 결론을 차례로 내놓았습니다.

오픈AI가 붙여 준 일곱 곳을 두고 직접 지었습니다

빌려 쓸 곳은 많았습니다. 오픈AI는 4월 15일 Agents SDK에 샌드박스 실행을 기본 기능으로 넣으면서 Blaxel, Cloudflare, Daytona, E2B, Modal, Runloop, Vercel 일곱 곳을 바로 붙여 쓸 수 있게 했습니다. 앤트로픽은 5월 19일 Managed Agents의 샌드박스를 고객 인프라나 Cloudflare·Daytona·Modal·Vercel 같은 업체에서 돌리게 열었고, 7월 14일 공개된 팟캐스트에서는 앤트로픽 플랫폼 책임자들이 샌드박스는 남의 인프라에 둬도 된다고 말했습니다. AWS는 6월 22일 Lambda MicroVMs를 내놓으며 한 번에 15분까지인 람다 함수의 실행 한도와 따로, 세션 하나를 최대 8시간까지 돌리게 했습니다.

퍼플렉시티가 밝힌 이유는 기성품이 셋 가운데 둘만 고르게 한다는 것이었습니다. 블로그 글은 Computer를 만들며 기성 샌드박스를 검토해 보니 모두 기능과 효율, 보안 사이에서 무언가를 포기하게 했다고 적었습니다. 어떤 제품은 격리는 강한데 자격 증명을 환경 안에 두고, 어떤 제품은 짧은 작업은 잘 돌리지만 몇 시간짜리 세션에서는 상태를 잃는다는 설명입니다. 한데 업체들도 같은 방향으로 움직이고 있었습니다. 5월 앤트로픽 발표에 소개된 Vercel은 샌드박스 방화벽이 네트워크 경계에서 자격 증명을 주입해 샌드박스 안에 들이지 않는다고 내세웠고, Daytona는 몇 시간씩 도는 세션을 상태째 멈췄다 되살린다고 소개했습니다.

Computer의 구성을 보면 실행 환경을 직접 쥐는 쪽이 퍼플렉시티 전략과 맞습니다. 2월 출시 때 Computer는 Opus 4.6을 추론 엔진으로 두고 Gemini, Nano Banana, Veo 3.1, Grok, ChatGPT 5.2를 하위 에이전트에 나눠 맡겼고, 퍼플렉시티는 모델이 발전하면 이 조합도 달라진다고 적었습니다. 모델은 계속 갈아 끼우고, 그 모델들이 일하는 샌드박스와 거기 쌓이는 세션 기록은 퍼플렉시티가 쥐는 구조입니다. 3월 글에서 밝힌 Computer의 규모는 1분에 수천 개의 세션이었습니다.

퍼플렉시티는 이제 파는 쪽이기도 합니다. 3월 11일 개발자용 Agent API를 내놓으며 모델 라우터와 검색, 임베딩, 샌드박스 서비스, 모니터링을 하나로 대신한다고 소개했고, 샌드박스만 따로 쓰는 Sandbox API도 곧 비공개 베타로 열겠다고 예고했습니다. SPACE 글은 이 플랫폼을 더 많은 곳에 배포해 사용자와 개발자에게 제공하겠다고 적었습니다. 2월에 샌드박스 업체의 고객이던 회사가 5개월 뒤에는 같은 시장에 내놓을 물건을 갖게 됐습니다.

퍼플렉시티는 SPACE를 어떤 하드웨어에서든 돌도록 만들었다고 적었습니다. 엔비디아 CPU Vera에서 돌린 초기 시험에서 Computer식 작업 흐름은 지금 운영 기준보다 약 1.5배 빨랐고, 여러 샌드박스를 동시에 띄우는 속도는 최대 1.9배였습니다. 에이전트 지연에서 CPU가 차지하는 비중은 엔비디아가 Vera를 앞세운 배경에서 다뤘습니다. Computer가 검색 과정을 프로그램으로 짜서 돌리는 Search as Code도 이 샌드박스 안에서 실행되는데, 그 방식이 하루 전 공개한 리서치 벤치마크에서 낸 성적은 WANDR 결과를 정리한 글에 있습니다.

직접 만든 방어가 가장 약하다는 앤트로픽의 기록

직접 짓는 쪽에도 대가가 있습니다. 앤트로픽은 5월 25일 글에서 claude.ai와 Claude Code, Cowork의 격리 설계를 돌아보며, 코드 실행에 쓰는 gVisor와 seccomp는 에이전트 AI가 나오기 훨씬 전부터 공격을 견디며 다듬어졌고 문제는 그 둘레에 새로 만든 부분에서 났다고 적었습니다.

보안에서 가장 오래된 교훈을 다시 확인했습니다. 가장 약한 방어는 직접 만든 방어입니다.— 앤트로픽 엔지니어링 블로그, 5월 25일

앤트로픽은 가장 파급이 컸던 사고에서 무너진 것도 직접 만든 프록시였다고 적었습니다. 외부 제보로 드러난 Cowork 사례를 보면 사용자 작업 폴더에 심긴 악성 파일에는 숨은 지시와 공격자의 API 키가 들어 있었습니다. Claude는 지시대로 폴더의 다른 파일을 읽은 뒤 공격자의 키로 앤트로픽 파일 API를 불렀고, 프록시는 목적지가 허용 목록의 api.anthropic.com이라 통과시켰습니다. 샌드박스는 설계대로 작동했는데 파일은 공격자 계정으로 올라갔습니다.

SPACE에서 이 일을 맡는 것이 네트워크 게이트웨이와 자격 증명 저장소, space 데몬이고, 셋 다 퍼플렉시티가 새로 만든 부분입니다. 퍼플렉시티는 외부 보안 감사나 모의 침투, 샌드박스 탈출 시험의 결과를 공개하지 않았습니다. 이전 업체가 어디였는지, 직접 운영으로 비용이 얼마나 줄었는지도 발표에 없습니다. 3~5배라는 속도 역시 출시 주간 일주일 동안 퍼플렉시티가 스스로 잰 값입니다.

국내 팀이 지금 고를 수 있는 것

퍼플렉시티는 SPACE 자체를 외부 개발자에게 여는 시점을 밝히지 않았습니다. 국내 팀이 당장 고를 수 있는 관리형 선택지 가운데 AWS Lambda MicroVMs는 출시 때 미국 동부(버지니아 북부·오하이오), 미국 서부(오리건), 유럽(아일랜드), 아시아태평양(도쿄)에만 열렸고 서울 리전은 빠졌습니다. ARM64 칩에 MicroVM 하나당 최대 16 vCPU, 메모리 32GB, 디스크 32GB까지 씁니다.

금융권에는 조건이 하나 더 붙습니다. 국내 금융회사는 업무용 시스템을 인터넷 같은 외부 통신망과 분리하는 망분리 규제(전자금융감독규정 제15조)를 받습니다. 금융위원회는 5월 22일 간담회에서 보안 목적의 AI 활용에 한해, 자산 10조 원 이상이고 상시 종업원이 1,000명 이상인 49개 금융회사가 신청할 수 있고, 심사를 거쳐 1년 동안 망분리 규제를 완화하겠다고 밝혔습니다. 첫 회차는 10개사 이내로 6~7월에 마치고, 생성형 AI는 지금 규제 샌드박스로 쓰면서 연내 제도화를 추진한다는 계획입니다.

금융위원회가 말하는 샌드박스는 규제를 한시적으로 풀어 주는 제도라 이 글의 샌드박스와는 이름만 같습니다. 망분리 환경에서는 에이전트가 코드를 돌리는 실행 환경도 회사 망 안에 있어야 합니다. 퍼플렉시티는 SPACE를 온프레미스와 완전 오프라인 환경에서도 돌도록 설계했다고 밝혔습니다.

다음은 윈도와 개인 컴퓨터

퍼플렉시티는 SPACE를 리눅스 마이크로VM에서 윈도 게스트, 사용자의 개인 컴퓨터까지 한 가지 방식으로 샌드박스를 띄우고 다루는 기반으로 넓히겠다고 밝혔습니다. 4월에 내놓은 Personal Computer는 Computer의 작업 지휘를 사용자의 컴퓨터로 가져와 로컬 파일과 앱, 웹을 함께 다루는 제품이고, 퍼플렉시티는 이를 로컬과 서버 환경을 섞는 방식이라고 소개했습니다. 서버에서 돌던 샌드박스 관리가 사용자 기기까지 내려오는 계획입니다.

저는 에이전트 제품의 체감 속도와 원가가 앞으로 모델 요금표 못지않게 이런 실행 환경에서 갈린다고 봅니다. 앤트로픽은 샌드박스를 세션에서 떼어 내 첫 토큰까지의 시간을 중앙값 기준 약 60% 줄였고, 퍼플렉시티는 샌드박스를 직접 운영해 생성 시간을 3~5배 줄였습니다. 둘 다 모델은 그대로 두고 얻은 숫자입니다. 퍼플렉시티가 아직 내놓지 않은 비용 절감 폭과, 윈도와 개인 컴퓨터로 넓힌 뒤의 생성 시간이 다음에 나올 숫자입니다.

읽어 주셔서 고맙습니다.

초이 드림