astrid-book 딥다이브
— "믿지 못하는 AI 에이전트도 안전하게 굴리는 운영체제"의 공식 교본

Astrid OS는 AI 에이전트와 그 도구들을 WebAssembly '캡슐'로 격리해 돌리는 Rust 기반 유저공간 마이크로커널이다. 한 문장 명제는 "믿지 못하는 에이전트도 실행할 수 있다" — 탈옥·오염된 도구·버그가 있어도, 허락하지 않은 것엔 손댈 수 없고, 무엇이 실행됐는지 사후에 증명할 수 있기 때문이다. book 레포는 그 OS의 커널·캡슐·호스트 ABI·버스·보안모델을 소스 코드 줄번호까지 짚어 설명하는 공식 기술 레퍼런스(mdBook)다. (저장소: unicity-astrid/book · "The Astrid Book" · mdBook/Markdown · Apache-2.0+MIT · ★ 2.6k · 커널 astrid ★ 9.2k · TrendShift #21)

1프로젝트 한줄 요약

"에이전트를 가두는 '벽'을 암호로 세운 운영체제, 그 설계 교본."

왜 이렇게까지 할까? Astrid의 후기(Afterword)는 아시모프(로봇 3원칙)와 듄(Dune)을 빌려 답한다 — "법칙을 마음 속에 넣을 수는 없다. 언어모델은 지시에서 설득당해 빠져나갈 수 있기 때문이다." 그래서 Astrid는 법칙을 벽에 새긴다. "프롬프트보다 암호. 마음은 헷갈릴 수 있어도, 벽은 말로 구워삶을 수 없다."

이 레포(book) 자체는 코드가 아니라 문서다 — Rust mdBook으로 만든 "The Astrid Book". 하지만 보통의 README와 달리 실제 소스의 크레이트/파일.rs:줄번호를 앵커로 달아 "주장이 어디 코드에 있는지"까지 짚는, OS 레퍼런스 매뉴얼급 문서다. 만든 곳은 Unicity Labs(unicity.ai), 저자는 Joshua J. Bouw.

2왜 주목받는가

"AI 안전이 화두인 시점에, '프롬프트가 아니라 구조로' 푸는 진지한 OS."

2026년 에이전트 생태계의 가장 큰 불안은 "이 에이전트가 시키지 않은 짓을 하면?"이다. 대부분은 시스템 프롬프트·가드레일로 막으려 하지만, 탈옥(jailbreak)·프롬프트 주입에 번번이 뚫린다. Astrid는 이 문제를 '설득 가능한 마음'이 아니라 '논쟁 불가능한 벽'으로 다시 정의했다는 점에서 신선하다.

또 하나, 이건 말뿐인 비전이 아니라 진지한 엔지니어링이다. 책은 OS 레퍼런스처럼 정확한 파일·줄번호 앵커, 동결 ABI(frozen ABI) 규율, ed25519/BLAKE3 암호, "실제로 출시됨 vs 아직 스텁(stub)"의 정직한 표시까지 갖췄다. 조직 차원의 견인력도 크다 — unicity-astrid 조직은 팔로워 9.6k에 레포 33개, 커널(astrid)은 별 9.2k다.

일반 에이전트 프레임워크와 무엇이 다른가

물론 대가도 있다. 모든 것을 캡슐·능력·ABI로 감싸므로 구조가 복잡하고 진입 장벽이 높다. 책도 일부 기능은 아직 스텁/계획 단계(예: 권한 위임 토큰, 일부 감사 도구)라고 정직하게 밝힌다. 즉 Astrid의 매력은 "당장 가장 쉬운 에이전트 실행"이 아니라, "믿지 못하는 에이전트를 구조적으로 가둘 수 있는가"라는 어려운 문제에 대한 진지한 답이다.

3기술 스택 전체 지도

두 축으로 보라 — (가) 책을 '찍어내는' 도구 vs (나) 책이 '설명하는' OS의 기술.

이 레포는 문서지만, 그 안이 설명하는 시스템은 묵직한 시스템 소프트웨어다. 그래서 스택을 (가) book을 빌드하는 문서 도구와 (나) Astrid OS 자체의 기술로 나눠 봐야 머리에 들어온다.

(가) 책을 만드는 도구 — mdBook + 생성 스크립트

본문은 src/ 아래 마크다운이고, mdBook(Rust-lang, CI에 v0.5.2 고정)으로 빌드해 GitHub Pages로 배포한다. 흥미로운 건 부록이 손으로 쓴 게 아니라 '실제 소스에서 생성'된다는 점 — GitHub이 이 레포 언어를 'Perl/Shell'로 표시하는 이유다.

(나) Astrid OS 자체의 기술 — 커널·샌드박스·계약·암호

여기가 진짜 배울 거리다. Rust 커널(unsafe 금지) + Wasmtime 샌드박스 + WIT 계약 + tokio 버스 + 암호(서명/해시)의 조합이다.

4아키텍처 심화 분석 — 커널·캡슐·버스·보안

단 하나의 법칙에서 모든 게 갈라진다 — "커널은 멍청하다(The Kernel Is Dumb)".

Astrid의 헌법 1조는 "커널은 멍청하다"이다. 커널엔 비즈니스 로직도, 인지 루프도, 프로토콜 파서도, 도메인 지식도 없다. 유일한 임무는 ① 이벤트 버스를 띄우고 ② WASM 캡슐을 샌드박스에 올리고 ③ 능력 ACL 아래 타입이 정해진 IPC 바이트를 캡슐 사이로 중계하는 것. 모든 지능은 캡슐에 산다.

핵심 설계 1 — 5계층 보안 게이트(교집합 의미론)

캡슐의 모든 호스트 호출은 다섯 관문을 지난다. 하나라도 거부하면 멈춘다(교집합 의미론, fail-closed). 특히 마지막 '감사'는 기록을 못 남기면 그 행동 자체를 거부로 본다.

핵심 설계 2 — 호스트 ABI는 'WIT 타입 + 매 호출 능력검사'

호스트 ABI는 전부 WIT로 타입이 박혀 있고, 능력 검사는 호출 때마다 일어난다(그래서 세션 중간에 권한을 회수하면 다음 호출부터 즉시 막힌다). 아래는 책에 인용된 실제 WIT 조각이다.

// astrid:ipc@1.0.0 — '검증된' 프린시펄과 '주장된' 프린시펄을 타입으로 구분
variant principal-attribution {
    verified(string),   // 커널이 검증함 → 능력 판단에 안전
    claimed(string),    // 업링크가 주장함 → 입력값처럼 취급
    system,
}

// astrid:sys@1.0.0 — 능력으로 게이트되는 호스트 함수 (꺾쇠는 제네릭)
random-bytes: func(length: u64) -> result<list<u8>, error-code>;

핵심 설계 3 — 버스: 토픽과 두 가지 와일드카드(함정 주의)

캡슐은 서로 직접 부르지 못하고, <도메인>.v<메이저>.<동작> 형식의 토픽으로 메시지를 주고받는다(최대 깊이 20). 주의할 함정: 와일드카드 의미가 두 군데서 다르다 — 브로드캐스트/라우팅 경로의 .*는 '네임스페이스 접두사(1단계 이상)', 인터셉터 경로의 *는 '한 단계만, 단 세그먼트 수가 같아야' 매칭한다. 또 높은 팬인(fan-in)에서의 역압(backpressure)을 위해, 라우팅 경로는 구독자마다 1 MiB 바이트 예산의 독립 큐를 둔다.

5디렉토리/챕터 구조 해부

레포는 mdBook 한 권 — src/ 아래 챕터가 Astrid의 계층을 그대로 따라간다.

루트엔 book.toml(mdBook 설정), 라이선스 2종, tools/(부록 생성기), 그리고 src/(본문, 마크다운 36개·약 6.9만 단어)가 있다. 챕터 묶음이 곧 Astrid의 아키텍처 지도다.

6학습 포인트 (기술별)

한 권으로 '능력 보안 + ABI 설계 + WASM 샌드박스 + 메시지 버스'를 한 번에.

① 능력 기반 보안을 '실물'로

"주변에 떠다니는 권한이 없다"가 실제로 어떻게 강제되는지 본다 — 모든 권한이 ed25519로 서명된 허가증이고, 권한은 좁아지기만(narrow) 할 뿐 넓어지지 않는다(하위 에이전트는 부모의 부분집합만 받는다). '정적 능력'과 '런타임 능력 토큰'을 왜 둘 다 두는지도 비교거리.

② 인터페이스(ABI) 설계를 엄격하게

WIT로 타입을 박는 계약, 그리고 동결 파일 규칙(공개된 버전 파일은 수정 금지, 새 버전은 새 파일)을 배우면 "API를 깨지 않고 진화시키는 법"의 정석이 잡힌다.

③ 마이크로커널 vs '멍청한 커널'

특권 코어에서 로직을 전부 밀어낸 이유(결합도·샌드박스 탈출·폭발 반경)를 foundations/kernel-is-dumb.md의 세 논증으로 학습. seL4·Mach 같은 고전 마이크로커널과 대조하면 더 선명하다.

④ WASM 샌드박싱 & Component Model

WASI를 0개로 만들어 "임포트 목록 = 능력 목록"을 성립시키는 트릭, 자원 핸들과 호스트 소멸자, RNG 없는 타깃에서의 getrandom 백엔드 트릭까지 — 실전 WASM 보안의 정수.

⑤ 메시지 버스 & 방어 심층

브로드캐스트 vs 프린시펄 라우팅, 역압(바이트 예산·DRR), 와일드카드 함정, 상관관계 ID 요청/응답 패턴. 그리고 5중 게이트의 fail-closed·RAII 예산 환불·BLAKE3 해시 체인(변조 탐지 로그)까지 한 흐름으로 익힌다.

7하드웨어/시스템 요구사항

책을 '읽는' 데엔 아무것도 안 듦. OS를 '돌리는' 데엔 Linux/macOS + 샌드박스.

book은 그냥 웹페이지라 누구나 읽는다. 다만 내용을 제대로 이해하려면 OS·Rust·WASM·암호·pub/sub·능력 보안의 사전 지식이 있으면 좋다. 책을 로컬로 빌드하거나, 책이 설명하는 Astrid OS 자체를 실행하려면 아래가 필요하다.

8직접 해볼 수 있는 실습 과제

"읽고 용어 잡기 → 로컬 빌드 → 매니페스트 해독 → ABI 설계 → 직접 실행"으로 난이도 상승.

과제 1. 책 읽고 5대 용어 정리 난이도 ★☆☆☆☆

호스팅판을 열어 커널·캡슐·호스트 ABI·버스·능력 다섯 단어를 자기 말로 한 줄씩 정의해 본다. introduction + foundations 두 장이면 충분.

과제 2. mdBook 로컬 빌드 난이도 ★★☆☆☆

cargo install mdbook → 레포 클론 → mdbook serve --open으로 책을 띄운다. 챕터 하나를 추가해 SUMMARY.md에 연결하고 라이브 리로드를 확인.

과제 3. Capsule.toml 읽고 권한 예측 난이도 ★★★☆☆

capsule-model 장의 매니페스트 예시를 보고, [capabilities]·[publish]·[subscribe]만으로 "이 캡슐이 무엇을 할 수 있고 무엇을 못 하는가"를 코드 한 줄 안 읽고 예측해 본다.

과제 4. WIT 인터페이스 설계 + 버전 진화 난이도 ★★★★☆

나만의 astrid:foo@1.0.0을 설계하고, '동결 파일 규칙'대로 @1.1.0로 진화시킨다. 옛 캡슐과 새 캡슐이 공존하는 이유를 Component Model 링커 관점에서 설명.

과제 5. 5단계 게이트 공격 시나리오 / Astrid 직접 실행 난이도 ★★★★★

"오염된 캡슐이 ~/.ssh를 읽으려 한다" 같은 시나리오에서 L1~L5 중 어느 층이 막는지 추론해 표로 정리한다. 더 나아가 cargo install astrid로 실제 OS를 띄워 astrid chat을 돌리고, 능력·로그를 들여다보며 책 내용을 검증.

9관련 기술 심화 학습 로드맵

'OS/샌드박스 → WASM·Component Model → 능력 보안·암호 → 메시지 버스'의 4주 코스.

10핵심 키워드 사전

책 전반에 반복되는 용어를 한 곳에.

11참고 링크

공식 저장소·호스팅판·자매 레포.