여러분의 에이전트는 여러분이 쓰지 않은 텍스트를 읽습니다. 고객이 남긴 이슈 설명. 풀 리퀘스트에 달린 댓글. 의존성 패키지의 README. API가 어떻게 동작하는지 확인하려고 에이전트가 가져온 페이지의 HTML. 새벽 2시에 서드파티 서비스가 돌려준 에러 본문. 이 모두가 텍스트이고, 텍스트는 지시를 담을 수 있습니다.
Claude Opus 5.5는 그런 지시를 따르지 않는 능력이 측정 가능한 수준으로 좋아졌습니다. Anthropic은 경계 우회 시도가 성공한 비율이 85% 줄었다고 보고합니다. 이는 실질적인 진전이며, 그 자체만으로도 업그레이드할 가치가 있습니다. 그래도 이것은 가드레일이 아니며, 이 모델이 출시된 바로 그 주에 이 구분은 덜 중요해진 것이 아니라 더 중요해졌습니다.
TL;DR
가드레일은 에이전트가 무엇을 하기로 결정하든 관계없이 유지되는 한계입니다. 모델의 거부는 가드레일이 아닙니다. 그것은 하나의 결정이고, 결정은 적절한 입력에 의해 바뀔 수 있습니다. Opus 5.5는 그 결정을 이전 모델보다 훨씬 자주 올바르게 내리지만, 특정 실행이 무엇을 건드릴 수 있는지, 누가 자격 증명을 쥐고 있는지, 누가 diff를 읽는지는 바꾸지 않습니다. 한편 실행 비용은 Claude Opus 5보다 40% 저렴하고, 같은 날 GPT-6 Sol과 GPT-6 Luna가 백만 토큰당 각각 $2/$10, $0.10/$0.50에 출시되었습니다. 실행당 실패율은 내려갔습니다. 실행량은 곧 올라갈 것입니다. 두 값의 곱을 기준으로 설계하십시오.
GPT-6 Astra가 출시되었을 때 우리는 컴퓨터를 사용하는 에이전트에게 필요한 네 가지, 즉 호스트, 경계, 기록, 승인자에 관한 글을 썼습니다. 그 글은 실행이 어디에서 일어나는지를 다뤘습니다. 이 글은 실행이 적대적인 무언가를 읽었을 때 벌어지는 일을 다룹니다.
그 숫자는 비율이고, 실행량은 고정되어 있지 않습니다
사고 건수는 비율에 실행 횟수를 곱한 값입니다. 2026년 9월 22일에 개선된 것은 이 두 항 중 하나뿐입니다.
나머지 하나는 반대 방향으로 크게 움직였습니다. Opus 5.5의 정가는 백만 입력 토큰당 $4, 백만 출력 토큰당 $20으로 Opus 5의 $5, $25보다 낮고, 캐시 읽기는 $0.20이며, Anthropic은 총 실행 비용이 Opus 5보다 40% 낮다고 밝힙니다. 같은 출시일의 반대편에서는 OpenAI가 GPT-6 Sol을 $2/$10, GPT-6 Luna를 $0.10/$0.50에 책정했고, 최고 수준 추론(extra-high reasoning)의 Sol이 AutomationBench 1.0.6에서 33.2%를 기록하며 과제당 $0.27이 들었다고 보고했습니다. OpenAI는 이를 더 낮은 점수를 받은 최대 추론 모드의 Claude Opus 5가 과제당 들었던 비용의 약 9% 수준이라고 설명합니다.
그러니 벤치마크가 아니라 여러분 팀의 숫자로 곱셈을 해보십시오. 실행당 실패율이 85% 떨어지고, 각 실행 비용이 예전의 몇 분의 일에 불과해져 에이전트 실행 횟수를 열 배로 늘리면, 이전보다 약 1.5배의 절대 사고 건수에 도달하게 됩니다. 이것은 어떤 측정값도 아닙니다. 그저 산수이며, 앞으로 몇 달의 모습입니다. 더 저렴하고 더 안전한 모델은 더 많이 위임할 이유가 됩니다. 더 많이 위임하는 것이 바로 그 숫자를 다시 끌어올립니다.
경계 우회는 프롬프트 인젝션과 다릅니다
정확히 짚고 넘어갈 필요가 있습니다. 이번 출시를 다루는 모든 스레드에서 이 둘이 뒤섞이기 때문입니다. 경계 우회는 에이전트가 주어진 규칙을 넘어서는 모든 경우를 포괄합니다. 원인이 무엇이든 상관없습니다. 여러분의 지시일 수도, 에이전트의 추론일 수도, 도중에 읽은 텍스트일 수도 있습니다. 프롬프트 인젝션은 그중 하나의 경로이며, 에이전트가 읽도록 되어 있는 콘텐츠 안에 실려 들어오기 때문에 여러분의 아키텍처가 가장 크게 노출되는 경로입니다.
앞의 것이 85% 줄었다는 소식은 뒤의 것에도 좋은 소식입니다. 하지만 그것이 뒤의 것에 대한 방어율은 아니며, 누구도 그렇게 인용해서는 안 됩니다. 컴파일러가 타입 오류를 더 잘 잡아내게 된 상황을 대하듯 받아들이십시오. 여러분에게 도달하는 건수가 줄어들 뿐, 그 부류의 버그는 여전히 존재합니다.
더 나은 모델이 없애주는 것과 없애주지 못하는 것
더 나은 모델이 실제로 덜어주는 일이 있고, 이는 분명히 말할 가치가 있습니다. 오염된 README 때문에 탈선하는 실행이 줄어듭니다. 아무도 요청하지 않은 명령을 에이전트가 실행하도록 성공적으로 설득하는 가져온 페이지가 줄어듭니다. 무인 실행마다 기대값이 높아지는데, Anthropic이 Opus 5.5가 18시간 이상 작업을 지속한다고 보고한 지금 이는 더 중요합니다. 근무 시간보다 오래 살아남는 실행은 아무도 지켜보지 않는 실행입니다.
없애지 못하는 것은 권한입니다. 훨씬 설득하기 어려워진 에이전트도 여러분이 넘겨준 자격 증명, 네트워크 접근 권한, 저장소 쓰기 범위를 그대로 쥐고 있습니다. 인젝션은 권한을 상승시킬 필요가 없습니다. 이미 있는 권한을, 여러분이 의도하지 않은 순서로 사용하기만 하면 됩니다. 영향 범위는 모델의 속성이 아니라 호스트와 토큰의 속성입니다.
| 계층 | 막아주는 것 | 막지 못하는 것 |
|---|---|---|
| 모델 | 에이전트가 자신의 규칙을 넘어서도록 유도하려는 콘텐츠. Opus 5.5는 성공한 시도가 85% 줄었다고 보고합니다. | 여전히 성공하는 시도, 그리고 여러분의 정당한 요청으로 해석하는 모든 것. |
| 런타임 승인 | 승인 프롬프트나 자동 검토 거부 뒤에 놓인 작업. | 이미 부여된 권한 안에 있는 모든 것. |
| 컴퓨터와 자격 증명 | 호스트가 쥐고 있지 않은 모든 것. 스테이징 토큰은 프로덕션에 닿을 수 없습니다. | 호스트가 쥐고 있는 모든 것. |
| 작업 경계 | 이 실행의 격리된 디렉터리나 워크트리를 벗어나는 변경. | 그 안에서 깔끔하게 이루어진 잘못된 변경. |
| 사람의 승인 | 잘못된 결과가 main에 도달하는 것. | 리뷰어 한 명이 열 배로 늘어난 물량을 대충 도장 찍듯 처리한다면, 아무것도 막지 못합니다. |
이번 주에 나아진 것은 맨 위 행뿐입니다. 가격 인하로 압박을 받게 된 것은 맨 아래 행입니다.
계속 마주치는 실패가 에이전트가 틀리거나 무언가에 설득되는 것이라면 모델 업그레이드를 활용하십시오. 계속 마주치는 실패가 목요일이 되어서야 아무도 눈치채지 못했다는 것이라면 구조를 바꾸십시오. 전자는 모델 문제이며 Opus 5.5는 이에 대한 진정으로 좋은 답입니다. 후자는 애초에 모델 문제가 아니었고 어떤 릴리스로도 해결되지 않습니다.
이번 주에 바꿔볼 만한 세 가지 설정
Sharkly는 에이전트 위에 놓이는 계층입니다. Task, Computer, 자격 증명, 실행 기록, 그리고 결과를 승인하는 사람을 관리합니다. 실행이 저렴해지는 순간 이 중 세 가지는 조정할 가치가 있습니다.
자격 증명은 Computer가 아니라 Agent 단위로 묶으십시오. 일반 환경 변수와 시크릿 환경 변수는 Agent 설정입니다. 저렴한 실행은 더 많은 Agent를 뜻하고, 더 많은 Agent는 그중 하나가 들고 있을 이유가 없는 토큰을 들고 있을 가능성이 커진다는 뜻입니다. 유입되는 고객 이슈를 읽는 트리아지 Agent는 여러분 구성 전체에서 인젝션에 가장 취약한 대상이며, 읽기 범위 외에는 아무것도 쥐고 있어서는 안 됩니다. 코딩 에이전트 권한에 관한 저희 가이드에서 부여 목록을 어떻게 정할지 다룹니다.
읽기 범위를 편의 기능이 아니라 Task의 일부로 취급하십시오. Agent가 어디에서 가져올 수 있는지는 이제 설계 결정입니다. 읽는 모든 것이 지시를 담을 수 있으므로, “이 벤더의 API가 어떻게 동작하는지 확인해줘”와 “이 페이지의 설정 안내를 따라줘”는 서로 다른 위험을 지닌 서로 다른 두 개의 Task입니다. 에이전트의 웹 조사 결과가 어디에 도착해야 하는지에서 이 내용을 자세히 다룹니다.
어떤 변경을 사람이 한 줄 한 줄 읽을지 문서로 정해두십시오. 습관이 아니라 Workflow에 새겨진 규칙이어야 합니다. 스키마 마이그레이션, 인증을 건드리는 모든 것, 의존성을 추가하는 모든 것, 아무도 깨어 있지 않은 사이에 Agent가 만들어낸 모든 것이 대상입니다. 나머지는 증거를 바탕으로 통과시킬 수 있습니다. 승인 게이트는 그 규칙이 사는 곳이며, 이를 문서로 남기는 것이 주의를 쏟을 가치가 있는 항목에 주의가 머물게 합니다.
싸지지 않은 것은 큐입니다
2026년 9월 22일의 모든 발표는 실행당 에이전트 작업을 더 저렴하게, 더 안전하게, 또는 둘 다로 만들었습니다. 그중 어느 것도 사람이 더 빨리 읽게 만들지는 않았습니다. 이 비대칭이 실제 설계 문제이며, 모델 품질이 아니라 사람의 리뷰가 병목인 이유입니다.
그래서 답은 모델의 모양이 아니라 구조적이어야 합니다. 각 실행은 격리된 디렉터리를 받으므로, 문제가 생긴 실행은 설득의 대상이 아니라 격리되는 대상이 됩니다. 실행, 블로커, 결과, 후속 논의는 누군가의 터미널에서 흘러 지나가는 대신 Task로 돌아옵니다. 이는 리뷰어가 궤도를 벗어난 실행과 그저 실패한 실행을 구분할 수 있는 유일한 방법입니다. 주의가 필요한 항목은 하나의 Inbox에 모여, 사람이 필요한 결정이 깔끔하게 끝난 실행들 아래에 묻히지 않습니다. 컨텍스트, 진행 상황, 블로커, 결과, 사람의 리뷰는 요청부터 릴리스까지 계속 보입니다.
그러면 계약은 유지됩니다. 이번 주 어느 연구소가 무엇을 출시했든 변하지 않습니다. 에이전트는 조사하고, 실행하고, 테스트하고, 보고합니다. 사람은 방향을 정하고, 권한을 부여하고, 결과를 승인합니다. Opus 5.5는 첫 문장을 더 신뢰할 수 있게 만듭니다. 두 번째 문장은 건드리지 않습니다.
이미 여러 에이전트를 돌리고 있고 이번 업그레이드가 더 많이 돌리도록 유혹한다면, 추가해야 할 것은 더 나은 모델이 아닙니다. Computer 하나를 연결하고, Agent 하나에 제 역할을 수행할 수 있는 가장 좁은 자격 증명 집합을 부여한 뒤, 지루한 일을 하나 맡겨보십시오.
