Tool 보안: permissions · sandbox · side effects

Tool description은 public

도구 description에 쓰는 건 도구 언급되는 매 호출에 Anthropic으로 감. 호스트네임, 내부 경로, 테이블 이름, 시크릿 힌트 포함. 배포 전 시크릿 strip — description은 private 노트 필드 X.

Side effect는 명시적 권한 필요

Read 도구(search, lookup, get)는 보통 unattended 실행 OK. Write 도구(create, modify, delete)는 human-in-the-loop 체크 받을 가치. Agent SDK가 permission 프롬프트로 네이티브 지원; Client SDK에선 너가 빌드. 어느 쪽이든 모델이 acknowledgment 없이 destructive side effect trigger 절대 X.

위험한 거 sandbox

Tool이 셸 명령 실행, 코드 실행, 파일시스템 hit하면 샌드박스에 살아 — 제한된 env vars, 작업 디렉토리 화이트리스트, 시간 예산, 출력 크기 cap. Anthropic의 code_execution이 샌드박스에서 도는 거; 너 커스텀 도구도 매치해야.

원칙: Tool엔 권한 있어. Untrusted user한테 노출된 새 API 엔드포인트 audit하듯 매 도구 audit.

Code

Write tool 주변 permission gate·python

import os, json

DESTRUCTIVE = {"delete_file", "drop_table", "send_email"}

async def gated_invoke(block, ask_user):
    args_str = json.dumps(block.input, indent=2)
    if block.name in DESTRUCTIVE:
        approved = await ask_user(f"Allow {block.name} with args:\n{args_str}")
        if not approved:
            return {"type": "tool_result", "tool_use_id": block.id,
                    "is_error": True, "content": "user denied permission"}
    handler = HANDLERS[block.name]
    out = await handler(**block.input)
    return {"type": "tool_result", "tool_use_id": block.id, "content": json.dumps(out)}

시간 예산 가진 sandbox 셸 도구·python

import asyncio, shlex

ALLOWED = {"ls", "cat", "grep", "head", "tail"}

async def safe_shell(command: str, timeout: float = 5.0):
    parts = shlex.split(command)
    if not parts or parts[0] not in ALLOWED:
        raise PermissionError(f"command not in allowlist: {parts[0] if parts else ''}")
    proc = await asyncio.create_subprocess_exec(
        *parts,
        stdout=asyncio.subprocess.PIPE,
        stderr=asyncio.subprocess.PIPE,
        cwd="/sandbox",  # 화이트리스트 작업 디렉토리
        env={"PATH": "/usr/bin:/bin"},  # minimal env
    )
    try:
        out, err = await asyncio.wait_for(proc.communicate(), timeout=timeout)
    except asyncio.TimeoutError:
        proc.kill()
        raise TimeoutError("command exceeded time budget")
    return {"stdout": out.decode()[:8192], "stderr": err.decode()[:2048], "returncode": proc.returncode}

Tool 보안: permissions · sandbox · side effects

Tool description은 public

Side effect는 명시적 권한 필요

위험한 거 sandbox

Code

External links

Exercise

Progress

댓글 0