Microsoft Execution Containers 출시? MXC가 AI 에이전트 샌드박스를 제어하는 방법

Microsoft Execution Containers가 출시되었습니다. 마이크로소프트는 2026년 10월 7일, 자율 AI 에이전트의 코드 실행, 로컬 파일 시스템 상호작용 및 네트워크 대상 접근 방식을 제어하도록 설계된 정책 기반 컨테이너 계층인 MXC(Microsoft Execution Containers)를 정식 출시했습니다. Windows 플랫폼 및 개발자 담당 부사장인 로건 아이어(Logan Iyer)가 소개한 이 다국어 SDK를 통해 소프트웨어 팀은 에이전트 워크로드의 직접적인 권한 범위를 벗어난 런타임 제한을 강제할 수 있습니다. AI 시스템이 수동적인 대화형 비서에서 시스템 파일을 수정하고 로컬 쉘 명령을 실행할 수 있는 자율 에이전트로 진화함에 따라, 관리되지 않는 실행 환경은 심각한 보안 취약점을 야기합니다. 새로운 프레임워크는 운영체제 수준의 샌드박스를 Windows, macOS, Linux 전반에 걸친 통합 구성 스키마로 추상화함으로써, 신뢰할 수 없는 워크로드가 지원되는 운영체제 컨테이너 백엔드에서 부여된 리소스를 초과하지 않도록 제한합니다.

AI 에이전트에 독립적인 실행 경계가 필요한 이유

요약

마이크로소프트는 MXC(Microsoft Execution Containers)를 정식 출시하여 Windows, macOS, Linux 전반에서 AI 에이전트를 위한 정책 기반 프로세스 및 세션 격리 기능을 제공합니다.
해당 아키텍처는 정책 정의와 에이전트 실행을 분리하여, 자율 모델 및 생성된 코드가 스스로 권한을 추가할 수 없도록 보장합니다.
마이크로소프트는 격리, ID, 관리 용이성을 에이전트 보안의 3대 요소로 제시하며, MXC 격리는 현재 제공되고 Entra ID 및 Intune 거버넌스 기능은 향후 제공될 예정입니다.

자율 AI 에이전트의 배포는 소프트웨어 개발 및 기업 워크플로우를 변화시켰습니다. 단순히 텍스트 응답을 생성하던 기존 대화형 인터페이스와 달리, 최신 에이전트 시스템은 컴퓨팅 환경과 직접 상호작용합니다. 이러한 자율적 워커는 복잡한 다단계 작업을 완료하기 위해 코드를 작성하고, 터미널 명령을 실행하며, 로컬 저장소를 수정하고, 외부 API와 연동합니다. 이러한 수준의 자율성은 생산성을 크게 향상시키지만, 모델에 운영체제에 대한 무제한적인 접근 권한을 부여하는 것은 심각한 보안 위험을 초래합니다.

근본적인 아키텍처 문제의 핵심은 권한 경계에 있습니다. 자율 에이전트는 스스로를 안전하게 제어하는 보안 게이트키퍼 역할을 할 수 없습니다. 예를 들어, 애플리케이션 저장소 업데이트를 담당하는 코딩 에이전트는 기본 운영체제 설정을 수정하거나 로컬 서버 구성을 편집하는 것이 과업 완료를 위한 가장 빠른 경로라고 판단할 수 있습니다. 이는 모델의 좁은 작업 관점에서는 논리적일 수 있으나, 개발자가 의도한 운영 범위를 벗어나는 행위로, 잠재적으로 민감한 파일을 노출하거나 운영 환경을 불안정하게 만들 수 있습니다.

자율 AI 에이전트를 위한 MXC SDK 런타임 격리 아키텍처를 발표하는 마이크로소프트 임원

마이크로소프트 문서는 MXC를 신뢰할 수 없는 워크로드를 위한 정책 기반 격리 계층으로 설명합니다. 공식 Windows 개발자 발표에 따르면, 이 플랫폼은 격리, ID, 관리 용이성이라는 세 가지 핵심 요소를 중심으로 에이전트 보안을 구성합니다. 현재 MXC 격리 기능은 정식 제공되고 있지만, 에이전트 ID를 구분하기 위한 확장된 Microsoft Entra 기능과 로컬 프로세스 컨테이너를 관리하기 위한 Microsoft Intune 정책은 향후 릴리스에 포함될 예정입니다. 조직은 운영체제 수준에서 경계를 설정함으로써 신뢰할 수 없는 워크로드가 승인되지 않은 파일 경로에 접근하거나 승인되지 않은 네트워크 소켓을 여는 것을 제한할 수 있습니다.

기술적 아키텍처 분석: 정책 기반 격리 백엔드

Microsoft Execution Containers의 기술적 설계를 이해하려면 프레임워크가 플랫폼별 격리 기본 요소로부터 정책 정의를 어떻게 분리하는지 분석해야 합니다. 개발자는 버전이 지정된 JSON 스키마를 사용하여 워크로드가 요구하는 하드웨어, 파일 시스템 및 네트워킹 리소스를 선언합니다. MXC 런타임은 이러한 추상적 요구 사항을 호스트 컴퓨터의 적절한 플랫폼 백엔드에 매핑합니다.

개발자가 각 운영체제마다 별도의 격리 로직을 작성하도록 강제하는 대신, MXC는 Rust, .NET, Node.js용 타입 지정 SDK를 제공합니다. Windows 11에서는 기본 AppContainer 샌드박스를 사용하며, macOS에서는 Seatbelt, Linux에서는 Bubblewrap 또는 LXC로 워크로드를 매핑합니다. 오픈 소스 MXC 리포지토리에 명시된 바와 같이, Windows 호스트에서 실행되는 Linux 중심 개발 스택의 경우 MXC는 패키지 호환성을 유지하기 위해 경량 WSL 컨테이너(WSLc)를 프로비저닝합니다.

상용 및 오픈 소스 에이전트 프레임워크 전반에 걸쳐 Microsoft Execution Containers를 통합하는 업계 파트너 개요

격리 스펙트럼: 프로세스 샌드박스에서 세션 컨테이너까지

AI 워크로드마다 요구되는 보안 격리 수준이 다릅니다. Git 저장소에 대해 실행되는 로컬 린팅 에이전트는 최소한의 시작 지연 시간을 요구하는 반면, 검증되지 않은 외부 스크립트를 처리하는 자율 웹 브라우징 에이전트는 엄격한 경계 설정을 요구합니다. 이러한 차별화된 운영 요구 사항을 해결하기 위해 MXC는 다양한 격리 백엔드 스펙트럼을 제공합니다:

프로세스 컨테이너: 코드 실행 및 도구 호출에 적합한 경량 프로세스 수준 샌드박스로, AppContainer, Seatbelt, Bubblewrap 등 플랫폼별 기본 요소를 사용하여 Windows 11, macOS, Linux에서 기본적으로 지원됩니다.
세션 컨테이너: Windows 11 전용 기능으로, 에이전트를 별도의 계정 하에서 OS가 관리하는 분리된 Windows 세션으로 실행하여 데스크톱, 클립보드, 사용자 인터페이스 및 입력 환경을 격리합니다.
WSL 컨테이너(WSLc): Windows 11을 위해 설계되었으며, Linux 기반 에이전트 툴체인 및 패키지 생태계를 위해 WSL을 통해 Linux 실행 환경을 제공하는 동시에 다른 MXC 백엔드와 차별화된 보안 속성을 갖춘 격리 모델을 제공합니다.
마이크로 VM(MicroVM) 백엔드: Windows 11 및 Linux에서 사용 가능한 실험적 하드웨어 지원 가상화 환경으로, 하드웨어 수준의 격리가 필요한 고위험 워크로드를 위해 설계되었습니다.

아래 다이어그램은 MXC SDK가 애플리케이션 실행 요청을 격리된 플랫폼 백엔드로 라우팅하는 방식을 보여줍니다:

[Application Launch API]
  Host Application ──> MXC Typed SDK (Rust / .NET / Node) ──> Container Request Engine
                                                                      │
                                                                      ▼
[Platform-Specific Containment Backend]
  Windows 11 (AppContainer / Session / WSLc) │ macOS (Seatbelt) │ Linux (Bubblewrap / LXC)
                                                                      │
                                                                      ▼
[Enforced Policy Execution]
  Sandboxed Workload (Isolated File Paths, Denied Egress Network, Guarded Clipboard)

지원되는 Windows 프로세스 컨테이너에서 MXC는 강제(Enforcement), 학습(Learning), 허용(Permissive)의 세 가지 정책 진단 모드를 제공합니다. 강제 모드에서는 승인되지 않은 작업이 즉시 차단됩니다. 학습 모드에서는 승인되지 않은 작업이 차단되고 구조화된 JSON 활동 보고서에 기록되므로, 엔지니어는 배포 전 필요한 권한을 식별할 수 있습니다. 허용 모드에서는 승인되지 않은 작업이 기록되지만 그대로 실행되므로, 개발 워크플로우를 방해하지 않으면서 정책 스테이징 과정에서 관찰 가능성을 확보할 수 있습니다.

MXC 격리 백엔드 선택: 보안 및 성능의 절충안

자율 에이전트가 기업 네트워크 내의 핵심 운영자가 됨에 따라, 소프트웨어 설계자는 복잡한 애플리케이션 스택 전반에서 실행 경계를 구성하는 방법을 결정해야 합니다. 엔지니어링 조직은 구현 오버헤드, 플랫폼 이식성, 그리고 에이전트 워크로드별로 요구되는 격리 심도 사이에서 절충안을 찾아야 합니다.

아키텍처 평가: 격리 모델 비교

격리 백엔드를 평가할 때는 시작 오버헤드와 보안 경계의 강점 사이의 균형을 고려해야 합니다. 경량 프로세스 컨테이너는 최소한의 지연 시간으로 초기화되어 고빈도 도구 호출에 이상적이지만, 별도로 구성하지 않는 한 더 넓은 데스크톱 세션을 공유합니다. 반면, 세션 컨테이너와 가상화 경계는 더 좁은 플랫폼 가용성과 높은 리소스 오버헤드를 대가로 엄격한 분리를 제공합니다.

다음 비교표는 자율 에이전트 워크로드를 위해 사용할 수 있는 다양한 격리 전략을 평가합니다:

전략	격리 모델	가용성 / 범위	주요 트레이드오프
OS 기본 프로세스 샌드박스	플랫폼별 프로세스 격리	운영체제에 따라 다름	낮은 오버헤드, 플랫폼별 구성 필요
MXC 프로세스 컨테이너	정책 기반 기본 샌드박스	Windows 11, macOS, Linux	통합 정책 추상화, 백엔드 의존적 제어
MXC 세션 컨테이너	별도의 OS 격리 에이전트 세션	Windows 11 전용	강력한 데스크톱 분리, 제한된 플랫폼 지원
MXC WSL 컨테이너	WSL을 통한 Linux 환경	Windows 11 전용	독립적인 격리 속성을 가진 Linux 도구 호환성
MXC 마이크로 VM	하드웨어 기반 가상화	실험적 (Windows 11, Linux)	강력한 격리 가능성, 추가 오버헤드 발생

MXC는 지원되는 플랫폼 격리 메커니즘을 통해 구성된 리소스 경계를 강제하여 신뢰할 수 없는 워크로드가 미치는 잠재적 영향을 줄입니다. 이러한 경계의 강도와 범위는 선택된 백엔드 및 정책 구성에 따라 달라집니다. 개발자는 워크로드가 서브 초 단위의 도구 실행을 우선시하는지, 아니면 에이전트 세션과 대화형 사용자 데스크톱 간의 강력한 분리를 우선시하는지 평가하여 작업의 위험 프로필에 맞는 격리 백엔드를 선택해야 합니다.

하이브리드 인텔리전스와 로컬 실행 워크플로우를 자세히 설명하는 Windows Copilot 아키텍처 다이어그램

엔지니어링 체크리스트: 자율 워크플로우에 정책 기반 격리 구현하기

자율 에이전트 통합을 준비하면서 공격 표면을 최소화하기 위해, 개발 팀은 코드베이스 전반에 걸쳐 구조화된 격리 관행을 구현해야 합니다.

개발자 구현 체크리스트

선언적 JSON 스키마 정의: 읽기 전용 저장소 경로, 임시 스크래치 디렉토리 및 거부된 시스템 폴더를 나열하는 명시적 리소스 정책을 작성합니다.
기본 차단(Default-Deny) 송신 필터링 강제: 네트워크 격리 규칙을 구성하여 기본적으로 아웃바운드 트래픽을 차단하고, 필요한 외부 API 엔드포인트만 화이트리스트에 추가합니다.
Typed MXC SDK 통합: Rust, .NET 또는 Node.js 기본 패키지를 호스트 애플리케이션에 통합하여 컨테이너 수명 주기를 프로그래밍 방식으로 관리합니다.

import { spawn, type ContainerRequest } from '@microsoft/mxc-sdk/v1';

const request: ContainerRequest = {
  command: 'node -e "console.log(\'hello from container\')"',
  network: { egress: { default: 'deny' } },
  timeoutMs: 30_000,
};

const child = await spawn(request);

Windows 호스트에서 학습 모드 활용: 지원되는 Windows 프로세스 컨테이너에서 에이전트 테스트 스위트를 학습 모드로 실행하여 차단된 접근 시도를 포착하고 최소 권한 정책 아티팩트를 생성합니다.

보안 및 거버넌스 체크리스트

현재 격리 경계 검토: 로컬 에이전트 워크로드에 노출된 데이터와 도구의 민감도에 따라 프로세스 또는 세션 컨테이너를 구현합니다.
향후 ID 제어 준비: 자동화된 에이전트 작업과 인간 사용자의 자격 증명을 구분할 수 있게 될 Microsoft Entra 기능을 고려하여 인증 아키텍처를 계획합니다.
중앙 집중식 정책 거버넌스 평가: 엔터프라이즈 장치 전반에서 MXC 컨테이너의 중앙 거버넌스를 지원할 예정인 Microsoft Intune 관리 정책의 개발 로드맵을 따릅니다.

자주 묻는 질문(FAQ)

MXC는 어떻게 자율 에이전트가 권한 범위를 벗어나는 것을 제한합니까?

MXC는 개발자나 조직이 구성하고 선택된 운영체제 백엔드가 강제하는 격리 경계 내부에 에이전트 워크로드를 배치합니다. 워크로드는 추가 리소스를 얻기 위해 자체 애플리케이션 수준 정책을 쉽게 수정할 수 없습니다. 승인되지 않은 파일, 네트워크 또는 인터페이스 작업은 구성된 규칙에 따라 제한될 수 있습니다. 단, 정확한 보안 보장 수준은 백엔드, 호스트 플랫폼 및 정책 구성에 따라 다르며, MXC를 모든 가능한 권한 상승 취약점에 대한 방어책으로 제시해서는 안 됩니다.

프로세스 컨테이너와 세션 컨테이너의 차이점은 무엇입니까?

프로세스 컨테이너는 선택된 백엔드와 정책 구성에 따라 제한이 결정되는 AppContainer, Seatbelt, Bubblewrap과 같은 플랫폼별 샌드박스 내에서 워크로드를 실행합니다. 지원되는 Windows 11 환경에서 사용할 수 있는 세션 컨테이너는 별도의 Windows 계정을 사용하여 OS가 관리하는 분리된 세션 내에서 에이전트를 실행합니다. 이를 통해 에이전트의 데스크톱, 클립보드, 사용자 인터페이스 및 입력 환경을 대화형 사용자의 세션으로부터 격리합니다. 해당 세션의 지원되는 실행 및 상호작용 기능은 특정 MXC 백엔드 및 호출 방식에 따라 다릅니다.

macOS 및 Linux 시스템에서도 MXC 정책을 강제할 수 있습니까?

예. MXC SDK는 macOS의 Seatbelt, Linux의 Bubblewrap 또는 LXC를 포함하여 운영체제 전반에 걸쳐 플랫폼 적합한 격리 백엔드로 매핑되는 통합 JSON 정책 스키마를 사용합니다. 단, 플랫폼 기능에 따라 차이가 있습니다: 세션 컨테이너, WSL 컨테이너 및 학습 모드에서 생성되는 JSON 활동 보고서는 Windows 호스트 전용 기능입니다.

엔지니어링 팀을 위한 핵심 요약

Microsoft Execution Containers의 도입은 자율 에이전트가 관리되는 보안 경계 내에서 작동해야 함을 시사하며 AI 엔지니어링의 중요한 변화를 알립니다. 소프트웨어 시스템이 파일 수정, 쉘 실행 및 API 연동을 생성 모델에 위임함에 따라, 격리되지 않은 런타임에 의존하는 것은 인프라를 심각한 운영 위험에 노출시킵니다.

엔지니어링 조직은 개발 파이프라인 전반에 걸쳐 '설계 단계부터 격리(containment-by-design)' 원칙을 채택해야 합니다. 정책 기반 샌드박스를 구현하고, 향후 제공될 에이전트 ID 거버넌스를 준비하며, 워크로드 위험 프로필에 맞는 격리 백엔드를 선택함으로써 소프트웨어 설계자는 현대 컴퓨팅 플랫폼 전반에 걸쳐 강력한 방어 체계를 유지하면서 자율 AI의 생산성을 활용할 수 있습니다.

참고 자료

Microsoft 개발자 블로그 — AI 에이전트를 위한 정책 기반 격리 — MXC 아키텍처, 격리 백엔드 및 에이전트 ID 로드맵을 상세히 다룬 공식 발표문.
Microsoft MXC GitHub 리포지토리 — 스키마 정의와 함께 Rust, .NET, Node.js용 타입 지정 SDK를 포함하는 오픈 소스 리포지토리.
Windows Experience 블로그 — Copilot+ PC의 하이브리드 인텔리전스 — 로컬 AI 모델, OS 수준 작업 및 Windows 실행 컨테이너 지원에 대한 개요.