Linux: 먼저 뷰를 만들고, 그다음 seccomp, 마지막에 exec

동료가 Mac에서 Codex를 돌리면 에이전트가 ~/.ssh/id_rsa를 읽고 Seatbelt가 바로 Operation not permitted를 돌려줘요. 같은 저장소를 Linux 노트북에 두면 흔한 문구가 No such file or directory가 돼요. 경로는 종종 마운트에 아예 없어요.

PR_SET_NO_NEW_PRIVS를 먼저 켠 다음 배포판 기본 bwrap을 부르면, 많은 배포판의 setuid 바이너리가 아예 안 떠요. 가장 많이 설치된 기계에서 샌드박스가 오히려 실패해요. seccomp는 프로세스가 아직 호출할 수 있는 시스템 인터페이스를 정하는 커널 필터이고, no_new_privs는 그 전제 조건이자 setuid 권한 상승도 막아요.

기본 경로는 같은 helper에 두 번 들어가요. 바깥은 bubblewrap만 짜서 파일시스템을 기본 읽기 전용으로 바꾸고 쓰기 루트를 겹칩니다. .git, .agents, .codex는 쓰기 루트 안에 있어도 읽기 전용이에요. 안쪽에서야 no_new_privs를 켜고 네트워크 seccomp를 설치한 뒤 fork해서 프로세스 이미지를 사용자 명령에 넘겨요.

함수 헤더는 순서를 세 단계로 적어요.

/// Entry point for the Linux sandbox helper.
///
/// The sequence is:
/// 1. When needed, wrap the command with bubblewrap to construct the
///    filesystem view.
/// 2. Apply in-process restrictions (no_new_privs + seccomp).
/// 3. `execvp` into the final command.

필드 주석이 이유를 깃발에 적어요. bubblewrap은 setuid에 의존할 수 있으니 뷰를 먼저 만들고 그다음 조여야 해요.출처: codex-rs/linux-sandbox/src/linux_run_main.rs 117–121행；codex-rs/linux-sandbox/src/landlock.rs 57–65행

무엇을 볼 수 있는지와 어떤 syscall을 호출할 수 있는지는 벽 두 개예요. 세계를 먼저 바꾸고 호출을 조여요. 다른 언어로 다시 써도 배포판에 setuid 래퍼가 남아 있으면 이 순서는 그대로예요.

bubblewrap과 seccomp는 곧 사용자 명령이 될 그 프로세스에서 일어나야 해요. 메인 CLI가 스스로 unshare한 뒤 exec하면 실패가 세션 전체를 가져가고, PID namespace에 고아를 거둘 1번 프로세스를 남길 수도 없어요. 타임아웃과 취소는 잠든 프로세스를 남겨요.

Linux는 argv[0]의 basename을 봐요. 파일 이름이 이미 codex-linux-sandbox면 그대로 두고, 아니면 이 별명으로 바꿔 같은 바이너리를 helper로 들여요. 바깥 exec는 ls가 아니라 helper 자신이고 --apply-seccomp-then-exec를 달고 있어요. launcher는 --as-pid-1도 넣어 bubblewrap 자신이 네임스페이스의 1번 프로세스가 되게 해요.

안쪽은 먼저 capget이에요. effective나 permitted가 하나라도 0이 아니면 바로 panic이고 명령은 안 달려요. 이 검사를 지나야 fork해요. 자식은 execvp, 부모는 waitpid(-1)로 자손을 거두고 종료 코드를 그대로 전해요.출처: codex-rs/linux-sandbox/src/linux_run_main.rs 216–221행、242–243행；codex-rs/linux-sandbox/src/launcher.rs 38–39행

독립 보조 프로세스에 먼저 래핑하고 그다음 조이는 것은 플랫폼을 가로지르는 같은 종류의 자기 호출이에요. Windows는 숨은 인자를 보고 Linux는 arg0을 봐요. 래퍼가 실패하면 고정 종료 코드와 고정 stderr 접두사가 자동 귀속에 더 좋아요.

타입 이름은 여전히 LandlockCommand이고 crate 디렉터리도 linux-sandbox라서, 온라인 자료 상당수가 Codex가 Linux에서 Landlock을 쓴다고 적어요. 지금 기본 파일시스템 샌드박스는 이미 bubblewrap이에요. Landlock은 명시적으로 켜는 legacy 후퇴이고, 기능 스위치는 Deprecated이며 기본은 꺼져 있어요. legacy는 제한 읽기도, 갈라낸 중첩 읽기 전용도 담지 못해요.

bwrap이 실패한 뒤 조용히 Landlock으로 바꾸면, 모델은 “뷰 안에 갇혀 있어요”라고 계획하는데 실제로는 호스트 파일 트리가 보여요. 다음 걸음이 갈라져요.

바깥은 never falls back라고 적어요. bubblewrap 실패는 실패예요. WSL1에서 bubblewrap이 필요하면 transform이 Wsl1UnsupportedForBubblewrap을 돌려주고 명령은 helper에 들어가지 않아요. 디스크 전체가 쓰기 가능하고 프록시를 안 쓰면 bwrap에 아예 안 들어가서 WSL1도 통과할 수 있어요. user namespace를 못 만들면 시작 경고이지, 더 약한 백엔드로 바꾸지 않아요.출처: codex-rs/linux-sandbox/src/linux_run_main.rs 290–294행；codex-rs/sandboxing/src/manager.rs 413–420행、696–710행；codex-rs/features/src/lib.rs 1064–1069행

플랫폼 능력이 다를 때 가장 쉬운 실수는 “우리에게 Linux 샌드박스가 있어요”로 모든 Linux를 덮는 거예요. 새 bwrap이 있는 노트북, user namespace를 막은 CI 컨테이너, 아직 WSL1인 동료 — 기계 세 대는 같은 벽이 아니에요. 제품 문구와 모델 설명은 실제로 켜진 그 층으로 써야 해요.