권장 설정

사이버 보안 워크플로우에 적합한 보안 통제는 사용하는 모델, 모델이 수행할 수 있는 작업과 접근할 수 있는 시스템, 다루는 데이터의 민감도에 따라 달라집니다.

대부분의 Daybreak Blue 워크플로우에는 접근 통제, 자격 증명 보호, 민감한 작업 검토 등 조직에서 이미 시행 중인 보안 조치로 충분할 수 있습니다.

Daybreak Red 워크플로우, 자율 보안 테스트, 프로덕션 시스템이나 민감한 데이터 또는 외부 도구를 다루는 작업에는 더 강력한 보호 조치가 필요할 수 있습니다. 아래 권장 사항은 주로 이러한 고위험 상황을 위한 것입니다.

Trusted Access는 승인된 모델에 대한 접근을 관리합니다. 환경을 설정하거나 접근할 시스템과 수행할 작업을 승인 범위로 제한하는 일은 팀의 책임입니다. 팀에서 환경 격리, 권한 관리, 검토, 모니터링에 필요한 통제를 마련하고 담당자가 작업을 감독할 수 있도록 하세요. 모델과 도구, 연결된 모든 시스템이 침해될 수 있다고 가정하세요. 침해가 발생해도 승인되지 않은 시스템에 접근하거나, 자격 증명을 노출하거나, 보호 장치를 해제하거나, 작업 종료 후에도 접근 권한을 유지할 수 없도록 환경을 구성하세요.

환경 격리

공격적 보안 테스트는 전용 랩이나 샌드박스에서 수행하세요. 시작할 때는 무제한 인터넷 접근을 차단하고 민감한 프로덕션 시스템, 사내 네트워크, 무관한 워크로드, 호스트 관리 인터페이스에도 접근할 수 없도록 하세요. 승인된 작업에 명시적으로 필요하고 허가된 경우에만 비밀 정보와 자격 증명에 접근하거나, 지속적인 접근 권한을 확보하거나, 시스템에 장기적으로 남는 변경을 적용할 수 있도록 하세요.

위험도가 높거나 보호 조치를 완화한 작업에는 시도할 때마다 강력하게 격리된 환경을 새로 만들어 사용하세요. 컴퓨팅 자원, 스토리지, 네트워크, ID를 분리하고 작업이 끝나면 환경을 초기화하거나 재사용하지 말고 폐기하세요.

고위험 작업을 시작하기 전에 파일 시스템과 네트워크의 접근 경계가 제대로 작동하는지 테스트하세요. 접근 가능한 모든 호스트, 연결된 도구, 작업을 위임받은 에이전트, 다운스트림 서비스를 테스트 범위에 포함하세요. 모델이나 검토자가 개별 작업을 승인하더라도 호스트 환경은 계속 격리하세요.

승인 범위 정의 및 적용

모델을 실행하기 전에 작업에 허용된 시스템, 도구, 동작, 시간 제한을 문서화하세요. 다음 항목을 포함하세요.

• 승인된 대상 시스템, 호스트, 환경
• 프로덕션 인프라와 작업에 무관한 인프라를 비롯한 제외 대상 시스템
• 승인된 도구와 연결 서비스
• 허용된 작업과 금지된 작업
• 승인된 시작 및 종료 시각과 데이터 처리 요건
• 취약점 공개, 패치 승인, 유지관리자와의 협의 절차
• 중단 조건과 담당자의 명시적 승인이 필요한 작업

에이전트에 승인 범위를 작업 컨텍스트로 제공하세요. 문서화만으로는 범위를 강제할 수 없습니다. 파일 시스템, 네트워크, ID, 도구에 독립적인 통제를 적용해 가능한 한 승인되지 않은 작업을 수행할 수 없도록 하세요.

Codex 권한 프로필을 사용해 작업에 필요한 최소한의 권한만 허용하세요. 변경이 필요 없는 작업에는 :read-only를 선택하고, 워크스페이스를 수정해야 하는 작업에는 :workspace를 확장하세요. 다음은 설정 예시입니다.

approval_policy = "on-request"
approvals_reviewer = "auto_review"
default_permissions = "cyber-lab"

[features]
network_proxy = true

[permissions.cyber-lab]
description = "Limit security testing to the approved lab and workspace."
extends = ":workspace"

[permissions.cyber-lab.filesystem]
glob_scan_max_depth = 3

[permissions.cyber-lab.filesystem.":workspace_roots"]
"**/.env*" = "deny"
"**/*.pem" = "deny"

[permissions.cyber-lab.network]
enabled = true
# Uncomment only for an approved host that resolves to a private address.
# allow_local_binding = true

[permissions.cyber-lab.network.domains]
"lab.example.com" = "allow"

network_proxy 기능은 네트워크 접근을 승인된 도메인으로 제한합니다. 이 기능을 사용하지 않으면 network.enabled = true 설정으로 네트워크에 직접 접근할 수 있으며, 랩의 허용 목록으로는 목적지를 제한할 수 없습니다. 웹 검색, 앱, 커넥터, MCP 서버, 브라우저 활동, Codex Cloud에는 각각 별도의 통제가 적용됩니다. 승인된 워크플로우에 필요 없는 기능은 개별적으로 제한하거나 끄세요.

lab.example.com을 승인된 대상으로 바꾸세요. Linux, WSL, Windows에서는 워크스페이스 전체를 검색하지 않도록 파일 시스템 검색 깊이가 제한되어 있습니다. 민감한 파일이 더 깊은 디렉터리에 있다면 검색 깊이를 늘리거나 차단할 경로를 정확히 지정하세요. 권한 프로필을 기존 sandbox_mode 설정과 함께 사용하지 마세요. 권한 프로필 설정 지침을 따르세요.

승인된 랩 호스트의 이름이 사설 주소로 확인되면 허용 목록에 있는 호스트라도 Codex가 기본적으로 접근을 차단합니다. 사설 네트워크에서의 작업이 명시적으로 승인된 경우에만 allow_local_binding = true를 설정하세요. 허용 목록의 목적지는 꼭 필요한 대상으로 한정하고 로컬 및 사설 네트워크 지침을 확인하세요. 승인된 사설 IP 주소를 정확히 지정해 허용 목록에 추가할 수도 있습니다.

공용 인터넷과 프로덕션 네트워크에 대한 접근은 기본적으로 차단하세요. 외부 접근이 필요하면 에이전트와 독립적으로 접근 제한을 적용하는 게이트웨이나 프록시를 거치도록 하세요. 꼭 필요한 목적지만 허용 목록에 넣고 요청을 검사하고 기록하세요. 패키지 관리자, 웹훅, URL에서 콘텐츠를 가져오는 서비스, 리디렉션, 클라우드 API, 연결된 도구를 통한 간접 연결에도 같은 제한을 적용하세요. 실행 전에 종속성을 로드하거나 관리자가 승인한 종속성을 사용하세요.

자격 증명과 민감한 데이터 보호

재사용 가능한 API 키, 클라우드 자격 증명, 비밀번호, 서비스 계정 토큰을 프롬프트, 레포지토리, 환경 변수, 공유 파일 시스템, 모델이 접근할 수 있는 로그에 넣지 마세요. 인증이 필요하면 별도의 브로커나 게이트웨이를 사용하세요. 해당 대상과 허용된 작업에만 유효한 단기 자격 증명을 제공하되 모델에 자격 증명이 노출되지 않도록 하세요.

승인된 작업에 필요한 데이터만 제공하세요. 불필요한 민감 정보는 제거하고 클라우드 메타데이터 및 자격 증명 엔드포인트에 대한 접근을 차단하세요. 모델이 생성한 파일은 신뢰할 수 없는 파일로 취급하세요.

사이버 보안 워크플로우에서는 :danger-full-access와 --yolo 사용을 피하세요. 전체 권한을 사용하면 자동 검토의 전제가 되는 샌드박스 경계가 사라져 샌드박스를 통한 접근 제한을 강제할 수 없습니다. 설정을 중앙에서 관리하는 조직은 :danger-full-access와 --yolo를 제외하고, 허용할 승인 정책을 제한하고, 엔터프라이즈 설정을 통해 자동 검토를 의무화할 수 있습니다.

승인된 보안 모델에서 전체 권한 모드를 켜기 전에 ChatGPT 데스크톱 앱은 위험한 작업에 대한 모델별 경고를 표시합니다. 경고 메시지에서는 Approve for me 모드를 대신 권장하고 검토자 정책 설정 링크를 제공합니다. 경고가 표시되어도 샌드박스 경계가 복원되거나 조직 정책이 무시되지는 않습니다.

자동 검토를 사용할 때는 환경을 격리하고 최소 권한을 적용하며 작업 범위를 문서화하세요. 모니터링과 담당자의 감독도 병행하세요.

민감한 Codex 작업 검토

자동 검토는 검토 대상에 해당하는 승인 요청을 제안된 작업이 실행되기 전에 별도의 검토자에게 전달합니다. 검토자는 해당 작업과 작업 컨텍스트, 적용되는 정책을 고려합니다. 조직은 승인된 대상, 금지된 작업, 담당자의 승인이 필요한 경우를 명시한 정책으로 검토자 정책을 교체할 수 있습니다.

프로덕션, 외부 시스템, 민감한 데이터에 영향을 주거나 권한 상승, 지속적인 접근, 되돌릴 수 없는 변경을 수반하는 작업에는 담당자의 명시적 승인을 요구하세요. 웹사이트, 레포지토리, 문서, 도구 출력에 포함된 지시는 신뢰할 수 없는 것으로 취급하세요. 이러한 지시로 승인 범위를 넓히거나 접근 통제를 무시할 수 없습니다.

ChatGPT 데스크톱 앱에서 승인된 Daybreak 모델을 선택하면 계정에서 Approve for me 모드를 사용할 수 있고 조직 정책에서도 허용하는 경우 권한 설정이 자동으로 해당 모드로 전환됩니다. 데스크톱 앱의 /model 명령어를 사용할 때도 마찬가지입니다. 해당 모드를 사용할 수 없으면 현재 권한 모드가 유지됩니다. 모델을 선택해도 조직에서 의무화한 요건은 항상 적용됩니다.

자동 검토를 실행하려면 다음 세 가지 조건을 모두 충족해야 합니다.

1. approval_policy = "on-request"와 같은 대화형 승인 정책을 사용하세요.
2. approvals_reviewer = "auto_review"를 설정하세요.
3. 샌드박스나 권한 프로필을 통해 접근 경계를 강제할 수 있도록 하세요.

네트워크 허용 목록에 있는 대상으로 보내는 요청은 네트워크 경계 안에 있으므로 그 자체로는 자동 검토를 요청하지 않습니다. 목적지가 허용 목록에 있더라도 민감한 명령어를 검토하려면 명시적인 명령어 규칙을 ~/.codex/rules/ 아래에 추가하세요.

prefix_rule(
    pattern = ["curl"],
    decision = "prompt",
    justification = "Review requests to the approved cybersecurity target.",
)

규칙을 추가한 뒤 Codex를 다시 시작하세요. approvals_reviewer = "auto_review"를 설정하면 규칙에 일치하는 명령어가 실행 전에 검토자에게 전달됩니다. 민감한 명령어마다 승인을 요청하는 규칙을 추가하거나, approval_mode = "prompt"를 개별 MCP 도구에 설정하세요. 사람의 판단이 필요한 작업에는 여전히 담당자의 명시적 승인이 필요합니다.

자동 검토는 승인이 필요한 작업을 평가합니다. approval_policy = "never"로 설정하거나 전체 권한을 사용하면 민감한 작업도 승인 요청 없이 실행될 수 있습니다. 작업 기간 내내 독립적인 접근 통제와 모니터링을 유지하세요.

작업 범위에 맞는 정책을 구성하고 조직 전체에 적용하는 방법은 승인된 사이버 보안 워크플로우 설정을 참고하세요.

독립적인 모니터링 및 장애 시 차단

모델 요청, 도구 호출, 네트워크 활동, 자격 증명 사용 내역, 보안 관련 변경 사항을 기록하세요. 로그와 모니터링 시스템은 모델이 제어하는 환경 밖에 두세요. 승인되지 않은 대상에 대한 접근, 예상치 못한 네트워크 요청, 자격 증명 노출, 정책 변경, 로그 누락, 보호 장치 우회 시도를 감지하면 알림을 보내도록 하세요.

정책 집행, 자격 증명 브로커, 검토 시스템, 긴급 종료 수단은 에이전트와 독립적으로 운영하세요. 필수 통제나 모니터링 시스템에 장애가 발생하면 워크플로우를 중단하세요.

사용자 지정 에이전트 워크플로우에 가드레일 추가

Responses API, Agents SDK 또는 다른 하네스로 워크플로우를 구축한다면 도구 실행 직전에 검토 단계를 추가하세요. 제안된 작업이 민감하다면 실행 전에 대상 시스템, 작업 내용, 실행 시간이 승인 범위에 있는지 확인하세요. 판단이 모호하거나 위험도가 높은 작업은 담당자에게 전달하세요. 파일 시스템과 네트워크에는 독립적인 제한을 적용하고 감사 로그를 보관하세요. 검토자를 이용할 수 없거나 정책을 적용할 수 없으면 실행을 차단하세요.

Codex 자동 검토는 사용자 지정 도구나 외부 하네스를 자동으로 보호하지 않습니다. Agents SDK에서 검토를 구현하는 방법은 가드레일 및 담당자 검토를 확인하고, 정책을 작성할 때는 오픈 소스 검토자 정책을 참고하세요.

Codex 제품에서 제공하는 샌드박스와 검토는 API 사이버 보안 검사와 별개입니다. API 보호 장치는 cyber_policy 오류를 반환할 수 있으며, 사용자별 safety_identifier 값을 사용하면 보호 조치의 영향을 제한하는 데 도움이 됩니다.

작업 환경 정리 및 결과 검증

작업이 끝나면 임시 자격 증명을 폐기하고, 백그라운드 프로세스를 종료하고, 지속적인 접근 권한을 제거하고, 고위험 작업에 사용한 환경을 폐기하세요. 콜백, 노출된 산출물, 공유 상태, 실행 간 접근 권한이 남아 있지 않은지 확인하세요. 사용자, 세션, 평가도 각각 서로 격리하세요.

발견한 보안 이슈는 조치하기 전에 검증하세요. 취약점을 공개할 때는 관련 당사자와 조율하는 절차를 따르고, 시정 조치와 변경 사항은 담당자가 책임지도록 하세요.

시작 전 확인 사항

승인된 시스템과 작업 범위를 확인하고 적절한 모델을 선택했는지 점검하세요. 환경 격리, 최소 권한, 네트워크 접근 제한, 자격 증명 보호, 작업 검토, 독립적인 모니터링, 긴급 중단 수단, 작업 후 정리 계획이 모두 갖춰져 있는지 확인하세요. 모델 보호 장치, 환경 격리, 범위가 제한된 권한, 작업 검토, 모니터링, 담당자의 감독은 서로 보완합니다. 어느 하나에만 의존하지 마세요.