샌드박스 AI도 macOS 앱 쓰는 법: MAG 게이트웨이
샌드박스(격리) 환경에서 AI 에이전트를 돌리다 보면 늘 부딪히는 벽이 있어요. “안전하게 격리했는데, 막상 macOS 기본 앱(Reminders, Messages)은 제대로 못 쓰네?” 같은 문제죠. 최근 이 딜레마를 꽤 깔끔하게 푸는 오픈소스가 나와서 공유해볼게요.
샌드박스에서 macOS 스킬이 위험해지는 이유
글쓴이는 OpenClaw를 macOS VM(Lume) 안에서 완전 샌드박스로 운영하고 있었는데, 기존 macOS 스킬들이 전제를 잘못 깔고 있었다고 해요. 많은 스킬이 “에이전트가 호스트(macOS 본체)에서 돌아간다”는 가정으로 만들어져서, 권한 범위가 지나치게 넓고(permissive) 샌드박스 철학과 충돌합니다.
특히 Reminders/Message 같은 앱 연동은 편의성이 큰 대신, 잘못 열어두면 개인정보/업무정보가 한 번에 새어 나갈 수 있는 민감 영역이에요. 그래서 “격리 환경을 유지하면서도 macOS 앱은 안전하게 쓰게 만들기”가 핵심 과제가 됩니다. 이 문제의식에서 나온 게 바로 MAG(Mac Agent Gateway)예요.
MAG(Mac Agent Gateway)가 하는 일: “로컬 게이트웨이 + 좁은 HTTP API”
MAG는 구조가 단순해요. 에이전트(OpenClaw 등)는 계속 샌드박스에 가둔 채로, 로컬 macOS 쪽에 “게이트웨이”를 띄워서 Apple 앱과의 접점을 만들어요. 대신 그 접점은 매우 제한된(Scoped) HTTP API만 노출합니다.
즉, 기존처럼 스킬이 macOS 전체를 넓게 만지는 방식이 아니라, “이 액션만 된다”가 명확한 API 기반으로 통제하는 접근이에요. 스킬은 이 API를 호출하는 형태로 동작하니, 에이전트가 직접 시스템 깊숙한 곳에 접근할 필요가 줄어듭니다. 결과적으로 샌드박스 안전성은 유지하면서 macOS 앱 기능은 활용할 수 있게 되는 거죠.
지원 기능: Reminders & Messages (실전 시나리오가 꽤 좋습니다)
현재 MAG가 지원하는 건 Reminders와 Messages예요. 기능 범위는 크지 않지만, 실제 업무 흐름에 바로 꽂히는 조합입니다.
예를 들어 이런 시나리오가 가능하다고 해요.
- 최근 메시지를 검토해요: 샌드박스 에이전트가 최근 Messages를 훑고, 중요한 내용/미응답 항목을 분류합니다. 이런 작업은 사람이 놓치기 쉬운 “답장 대기”를 줄이는 데 특히 유용해요.
- 후속 조치(Reminder) 자동 생성: 중요한 메시지를 발견하면, 그 맥락(context)을 담아서 Reminders에 팔로업 할 일을 등록합니다. 단순히 “답장하기”가 아니라 “누구에게, 어떤 내용으로, 왜 필요한지”가 함께 들어가면 실무에서 체감이 큽니다.
- 샌드박스 운영 유지: 에이전트는 VM/컨테이너 안에 그대로 있고, 로컬 게이트웨이가 제한된 액션만 수행하니 “편의 때문에 격리를 풀어버리는” 타협을 피할 수 있어요.
이 흐름은 특히 Claude Code 같은 코딩 에이전트를 운영하면서도 개인/업무 커뮤니케이션을 안전하게 연결하고 싶은 분들에게 맞습니다.
보안 설계 포인트: 로컬 only + Allow-list + macOS 권한 유지
이 프로젝트가 강조하는 부분은 “편리한데 안전하기까지 하냐”인데요. 핵심은 다음 4가지로 요약돼요.
- Local-only: 네트워크로 외부에 공개하는 전제가 아니라, 로컬 환경에서만 접근하도록 설계됐습니다. 원격 노출 리스크를 기본적으로 낮춰요.
- Allow-listed actions(허용 목록 기반): 가능한 액션을 화이트리스트로 제한합니다. “될 수 있는 것만 된다”는 모델이라 권한 폭주를 막는 데 유리해요.
- No shell / filesystem access: 셸 실행이나 파일시스템 접근이 없다고 명시합니다. 에이전트 자동화에서 가장 위험한 루트(임의 명령 실행, 파일 긁기)를 차단하는 쪽이에요.
- macOS permissions still apply: 결국 macOS 앱 권한 체계는 그대로 적용됩니다. 즉
MAG가 만능 우회 통로가 아니라, OS 레벨 보안 모델 위에서 작동하게 설계한 셈이에요.
정리하면, “샌드박스 + 로컬 게이트웨이 + 제한된 API” 조합으로 공격면(Attack surface)을 줄이는 접근이라고 보면 됩니다.
호환성: OpenClaw & Claude Code에서 테스트, SKILLS.md 기반이면 확장 가능
작성자는 OpenClaw와 Claude Code로 테스트했다고 해요. 다만 “특정 제품 전용”이라기보다는, SKILLS.md 호환 에이전트라면 대체로 붙을 수 있다는 뉘앙스입니다.
이 포인트가 중요한 이유는, 요즘 에이전트 도구들이 계속 바뀌고(프레임워크 갈아타기 잦고), 한 번 만든 자동화 연결이 쉽게 버려지기 때문이에요. SKILLS.md 같은 방식으로 스킬 인터페이스가 맞으면 재사용성이 올라가고, 팀 단위 운영에도 유리합니다.
마무리: “샌드박스 포기 없이 macOS 앱 연동”이 필요했다면
개인적으로 MAG가 흥미로운 건, AI 에이전트 운영에서 자주 나오는 선택지—“격리(보안) vs 연동(편의)”—를 중간에서 현실적으로 타협해줬다는 점이에요. 특히 Messages/Reminders처럼 민감하지만 생산성 임팩트가 큰 앱을 허용 목록 기반으로 좁게 열어준 설계가 인상적입니다.
직접 써보고 싶다면 레포부터 확인해보세요:MAG (Mac Agent Gateway) Repo: https://github.com/ericblue/mac-agent-gateway
샌드박스 환경에서 OpenClaw나 Claude Code를 돌리고 있다면, 여러분은 어떤 앱 연동이 가장 필요하신가요? (캘린더, 메일, 노트 쪽도 수요가 많을 것 같아요.)
