PostHog의 AI 위자드, Bash 명령어 안전하게 실행

위자드는 코드베이스를 읽고, 올바른 SDK를 설치하며, 이벤트를 계측하고, 대시보드를 자동으로 구성하여 설정을 간소화합니다. 이 혁신적인 도구는 일반적으로 1~2시간 걸리던 설정 시간을 5~6분으로 단축하여 개발자 경험을 크게 향상시키는 것을 목표로 합니다. 사라 샌더스는 이를 "코드베이스를 읽는 에이전트 방식의 CLI 도구입니다. 프로젝트에 맞는 SDK를 설치하고, 이벤트를 계측하며, 대시보드를 설정해 줍니다."라고 설명했습니다. 위자드는 또한 무료 추론을 제공하여 원활하고 향상된 사용자 경험에 기여합니다.

PostHog 팀은 위자드를 기본 설치 방법으로 고려했는데, 이는 즉시 보안 우려를 불러일으켰습니다. 발표자인 사라 샌더스는 처음에 "악성 코드 형태"의 에이전트 기능이라고 묘사하며 불안감을 표했습니다. 이러한 인식은 도구 내에 강력한 보안 조치가 필수적이라는 점을 강조했습니다. 이러한 우려는 에이전트 시스템에 내재된 잠재적 위협으로부터 프로덕션 배포를 보호하기 위한 내부 보안 도구 개발로 직접 이어졌습니다.

사용자들은 단순한 표준 프롬프트를 사용하는 대신 자율 에이전트를 사용해야 하는 이유에 대해 자주 질문합니다. PostHog이 위자드를 구축한 이유는 개발자 경험을 향상시키고 에이전트가 에이전트 루프에 참여할 수 있는 능력을 활용하기 위함입니다. 사라 샌더스는 "이 개발자 경험과 위자드의 기능이 핵심이기 때문입니다. 에이전트 루프에 완전히 참여할 수 있는 CLI 도구를 구축했기 때문에 이것이 전체 제품입니다."라고 강조했습니다. 이 디자인은 사용자에게 터미널 내에서 직접 '미니 구현 엔지니어' 경험을 제공하여 단순한 프롬프트로는 달성할 수 없는 고급 자동화를 제공합니다.

다양한 모델, 특정 작업에 맞춰진 프롬프트, 그리고 기능을 실행하기 위한 미리 정의된 도구 세트를 활용합니다. 핵심 요소는 사라 샌더스가 "트렌치 코트를 입은 마크다운"에 비유하며 유머러스하게 언급한 맞춤형 자체 컨텍스트 엔진으로, 애칭은 '위자드의 뇌'입니다. 이 도구는 또한 향상된 사용자 상호작용을 위해 Ink를 사용하여 구축된 맞춤형 터미널 UI를 특징으로 합니다. 또한, 프로덕션 환경의 안전과 무결성을 보장하기 위해 '워록'이라는 전용 보안 스캐너가 도입되었습니다.

셸 명령어를 실행할 수 있는 능력은 본질적으로 악성 소프트웨어의 기능과 유사하여 상당한 보안 위험을 초래합니다. 워록 스캐너는 이러한 잠재적 위험에 대응하기 위해 특별히 개발되었으며, 임의의 명령어를 실행할 수 있는 프로덕션 준비 에이전트의 내재된 위험에 대한 중요한 방어 역할을 합니다.

위자드는 V0 프로토타입으로 시작했으며, Cursor와 같은 기존 도구들이 PostHog 설정을 자주 환각하는 바람에 필요에 의해 개발되었습니다. 팀은 전용 에이전트가 훨씬 더 나은 성능을 보여 접근 방식의 유효성을 입증했습니다. 이러한 성공은 빠르게 광범위한 채택으로 이어졌으며, 사라 샌더스는 "매주 수천 명의 개발자가 이것을 실행하는 것을 꿈꿨는데, 어제 우리는 매주 8,000명이 이것을 실행하는 기록을 세웠습니다."라고 자랑스럽게 발표했습니다. 발표 시점에는 이 도구가 주간 사용자 8,000명에게 서비스를 제공할 정도로 성장하여 효과와 사용자 수요를 입증했습니다.

약 1년에서 9개월 전 PostHog의 에이전트 보안에 대한 초기 접근 방식은 '레이어 제로'로 불렸는데, 사라 샌더스는 "문자 그대로 보안이 아닙니다. 에이전트가 무엇을 해야 하는지 제안하고 유도하는 프롬프트일 뿐이며, 프롬프트는 보안이 아닙니다."라고 명시적으로 말했습니다. 이 기본적인 단계는 에이전트를 안내하는 프롬프트에만 의존했으며, 진정한 보호 메커니즘이 부족했습니다. 이후 팀은 '레이어 원'으로 발전하여 에이전트 기능을 제한하는 허용 목록을 구현했습니다. 이는 위협 형태 패턴을 모니터링하도록 설계된 '임시' 스캐너를 개발하여 더욱 강화되었으며, 이는 보다 사전 예방적인 보안 조치로의 전환을 의미했습니다.

이 샌드박스 내에서 Bash 명령어는 기본적으로 거부되어 잠재적인 악의적 행동을 크게 제한했습니다. 에이전트는 PostHog 팀이 철저히 검토한 신뢰할 수 있는 패키지만 설치할 수 있었습니다. 사라 샌더스는 "Bash는 기본적으로 거부되었습니다. 저희가 검토한 신뢰할 수 있는 패키지만 설치할 수 있었습니다. 빌드, 유형 검사, 린팅은 가능했지만, 그 외에는 거의 아무것도 할 수 없었습니다."라고 언급했습니다. 또한 환경 변수 및 .env 파일에 대한 접근이 차단되었고, 비밀 관리를 위해 보안 금고가 사용되어 엄격한 보안 태세를 강화했습니다.

보안 팀의 감사 결과, 에이전트 시스템의 취약점은 명백히 악의적인 코드에서 비롯되지 않은 것으로 나타났습니다. 대신, 식별된 허점은 서로 다른 시스템 구성 요소 간의 겉보기에는 무해하고 선의의 상호작용에서 발생했습니다. 사라 샌더스는 "흥미로운 부분은 그들이 찾은 특정 허점이나 버그 자체가 아니라 그 형태였습니다. 왜냐하면 그들 중 거의 대부분이 명백히 악의적이지 않았기 때문입니다. 그들은 모두 두 가지 매우 무해하고 선의의 것들이 서로 악수하며 구멍을 열었습니다."라고 설명했습니다. 이는 중요한 통찰력을 강조합니다. 공격자들은 종종 별개의 양성 기능이 결합되어 취약점을 만드는 방식을 악용하며, 이는 종종 독립적으로 차이점을 검토하는 전통적인 코드 검토에서 간과될 수 있는 문제입니다.

에이전트의 컨텍스트 엔진인 '컨텍스트 밀(Context Mill)'은 명령어를 실행할 수 있는 에이전트에 콘텐츠를 주입하도록 설계된 기계입니다. 사라 샌더스는 이를 "콘텐츠를 가져와 명령어를 실행할 수 있는 에이전트에 주입하는 것이 전부인 기계입니다."라고 설명했습니다. 이 엔진은 문서, 프롬프트 및 예시 애플리케이션에서 데이터를 가져와 런타임에 에이전트 컨텍스트에 로드하기 위해 번들로 묶습니다. 이 프로세스는 특히 프롬프트 주입과 관련하여 상당한 보안 위험을 초래합니다.

오픈 소스 저장소의 오염된 콘텐츠가 에이전트에 의도치 않게 유입될 수 있는 공급망 공격의 잠재성이 있습니다. 또한, AI 승인 풀 리퀘스트(PR)를 통해 악의적인 프롬프트 주입이 실수로 배포될 위험이 있으며, 이는 자동화된 검사에는 무해해 보일 수 있지만 숨겨진 위협을 내포할 수 있습니다. 이러한 요인들은 이러한 취약점을 완화하기 위해 여러 단계에서 강력한 스캐닝을 필요로 합니다.

이 접근 방식은 두 가지 중요한 시점에서 콘텐츠를 스캔하는 것을 포함합니다. 첫째, 스킬이 처음 구축되고 출시될 때, 둘째, 위자드가 해당 스킬을 나중에 활용할 때입니다. 사라 샌더스는 이 전략을 "원천에서 잡아내고, 원천이 실패했다고 가정하고, 사용 시점에서 다시 잡아내는 것이 제 방법론입니다."라고 요약했습니다. 이 계층 방어는 원천에서의 초기 보안 검사가 실패할 수 있다고 가정하여, 놓친 위협을 잡아내기 위해 실행 시점에서 두 번째 검증이 필요하다고 판단합니다.

이 독립형 모듈은 이전에 위자드 내에 직접 통합되었던 '임시' 정규 표현식 스캐너를 대체합니다. 사라 샌더스는 이름 선택에 대해 "모든 위자드 형태에는 경호원이 필요하기 때문에 워록이라고 불렀습니다."라고 설명했습니다. 워록의 주요 목표는 개발자 에이전트 사용량이 계속 증가함에 따라 보안 조치를 효과적으로 확장하는 것입니다. 전용의 강력한 모듈 내에 보안을 중앙 집중화함으로써 PostHog은 개발자 생산성을 저해하지 않으면서 높은 수준의 보호를 유지하는 것을 목표로 합니다. 이 전문화된 접근 방식은 에이전트의 확장되는 기능에 상응하는 보안 프로토콜을 적용하여 안전하고 광범위한 채택을 가능하게 합니다.

PostHog의 AI 에이전트 보안 접근 방식은 맬웨어 연구에 널리 사용되는 패턴 매칭 도구인 Yara를 기반으로 한 결정론적 엔진을 활용합니다. 이 시스템은 완전히 결정론적으로 설계되어 동일한 입력이 매번 동일한 출력을 일관되게 생성하도록 보장합니다. 사라 샌더스는 "완전히 결정론적입니다. 매번 동일한 입력에 동일한 출력이 나옵니다. 의도적으로 지루하게 만들었습니다. 그리고 보안에서는 지루한 것이 기능입니다."라고 강조했습니다. '지루하고' 예측 가능한 시스템에 대한 의도적인 선택은 보안에서 신뢰성과 일관성이 참신함이나 복잡성보다 훨씬 더 가치 있는 기능이며, 위협 탐지를 위한 안정적인 기반을 제공한다는 점을 강조합니다.

PostHog은 보안 시스템의 오탐을 돕기 위해 대규모 언어 모델(LLM) 계층을 구현했으며, 그 역할을 신중하게 정의했습니다. 팀은 LLM이 보안 결정을 엄격하게 집행하는 '경호원' 역할을 해야 할지, 아니면 권장 사항을 제공하는 '조언자' 역할을 해야 할지 논의했습니다. 사라 샌더스는 "이 계층이 경호원이어야 할까요, 아니면 조언자여야 할까요? 그리고 가장 쉬운 선택은 아마도 LLM을 경호원으로 만드는 것이었을 것입니다."라고 언급했습니다. 궁극적으로 그들은 LLM을 조언자로 배치하여 핵심 보안 결정에 LLM의 잠재적으로 예측 불가능한 '동전 던지기'에 의존하는 것을 피했습니다. 이 접근 방식은 중요한 보안 집행이 결정론적이고 신뢰할 수 있도록 유지하면서 LLM이 탐지 프로세스를 개선하는 데 도움을 줍니다.

사라 샌더스는 "그래서 저는 경호원 대신 모델을 조언자로 만들었습니다."라고 설명했습니다. 이는 핵심 탐지 및 집행 메커니즘이 결정론적이고 기계적으로 유지되며, 확립된 보안 프로토콜에 의해 처리됨을 의미합니다. LLM의 기능은 이러한 결정론적 검사가 성공적으로 통과된 후에만 정보를 평가하여, 자체적으로 중요하거나 실패한 보안 결정을 내리기보다는 통찰력과 맥락을 제공하는 것입니다. 이 전략은 인간 수준의 보안을 강력하게 유지하면서 AI가 프로세스를 개선하는 데 도움을 줍니다.

사라 샌더스는 "모든 워록 규칙에는 네 가지 부분이 있습니다. 첫 번째 부분은 메타데이터입니다."라고 설명했습니다. 이러한 규칙은 흐름 방향을 추적하고, 입력과 출력을 구분하여 컨텍스트 인식 보안 조치를 적용하도록 설계되었습니다. 예를 들어, 프롬프트 주입을 효과적으로 차단하려면 단순한 키워드 필터링 이상의 것이 필요합니다. 악의적인 콘텐츠를 식별하고 완화하기 위한 정교한 컨텍스트 인식 매칭이 필요합니다. 이러한 구조화된 접근 방식은 포괄적이고 정밀한 보안 집행을 보장합니다.

효과적인 보안 규칙은 오탐을 방지하기 위한 엄격한 음성 테스트를 필요로 합니다. 오탐은 사용자 불만과 보안 도구 비활성화로 빠르게 이어질 수 있습니다. 사라 샌더스는 컨텍스트의 중요성을 강조하며 "RM-rf는 무섭지만, 우리 모두가 하루에 40번씩 노드 모듈을 삭제하는 방법이기도 합니다."라고 언급했습니다. 이는 명령의 심각성이 실제 영향과 컨텍스트를 기반으로 해야 하며, 인지된 위험에 기반해서는 안 된다는 것을 보여줍니다. 일상적인 작업에 대해 자주 오탐을 생성하는 보안 도구는 사용자에 의해 예외 없이 비활성화되어 효과를 저해합니다. 따라서 지속적인 테스트와 운영 컨텍스트에 대한 깊은 이해는 유용하고 신뢰할 수 있는 보안을 유지하는 데 중요합니다.

이 강력한 보안 프레임워크는 샌드박싱, 비밀 관리, 콘텐츠 스캐닝 및 원격 측정 등 여러 계층을 통합합니다. 핵심 원칙은 어떤 단일 계층도 완전한 보호를 제공하기에 충분하지 않다는 것입니다. 대신, 이 아키텍처는 각각 특정 보안 작업을 수행하는 여러 '지루하고' 정직한 계층을 결합합니다. 이 계층형 접근 방식은 중복성과 복원력을 보장하여 잠재적 위협에 대한 전반적인 보안 태세를 크게 강화합니다.