샌드박스가 API 호출이 되기 시작했다 — 에이전트 개발의 병목은 이제 ‘감독 설계’다

로컬에서 30분, 프로덕션은 3주 — 그 3주가 어디서 오는지 아는가

“에이전트 하나 만들어주세요”라고 시작하면 누구나 똑같은 길을 걷는다. 모델 API를 붙이는 데는 30분이면 충분하다. 문제는 그다음이다. 코드를 어디서 실행시키지? 사용자마다 환경을 어떻게 격리하지? 타임아웃·동시성·실패 복구는 누가 맡지? 에이전트가 도구를 잘못 쓰면 어떻게 막지? 이 질문들 앞에서 데모는 멈춘다.

지난 5월, Google DeepMind는 바로 이 ‘그다음’을 API 호출 하나로 만들었다. Gemini API의 Managed Agents가 그 주인공이다. 이 글은 그 발표가 기술 데모를 넘어 개발자(그리고 리서치·콘텐츠 업무를 에이전트에 맡기려는 사람)의 일을 어떻게 바꾸는지, 그리고 병목이 인프라에서 ‘감독 설계’로 이동한다는 관점으로 풀어본다.

무슨 일이 있었나 — API 콜 하나가 하네스와 샌드박스를 통째로 준다

이 섹션과 다음 섹션은 하베스터로 수집한 외부 정보와 공식 문서 확인(2026-08)을 기준으로 작성했다. 세부 사실의 출처는 글 맨 끝 ‘근거 출처’에 정리했다.

5월 19일, Google DeepMind의 Ali Çevik과 Philipp Schmid가 “Introducing Managed Agents in the Gemini API”를 발표했다. 핵심은 한 문장이다. 단일 API 콜 하나로, 추론하고 도구를 쓰고 코드를 실행하는 에이전트를 즉시 생성할 수 있으며, 그 에이전트는 격리된 임시 Linux 환경 안에서 동작한다. 이 경험을 만드는 주인공은 Antigravity라는 기본 에이전트로, 발표 시점에는 Gemini 3.5 Flash 기반이었고 공식 문서 기준 기본 모델은 Gemini 3.7 Flash로 올라가 있다.

구글은 2025년 12월 Deep Research를 첫 관리형 에이전트로 선보였다. 이번 발표는 그 뒤에 있던 ‘에이전트 하네스와 인프라’ 자체를 개발자에게 열어준 것이다. 에이전트 런타임은 구글이 운영하고, 사용자는 동작과 결과에만 집중하라는 뜻. 실제 코드는 이렇게 생겼다.

from google import genai

client = genai.Client()

interaction = client.interactions.create(
    agent="antigravity-preview-05-2026",
    input="Read Hacker News, summarize the top 10 stories, and save the results as a PDF.",
    environment="remote",
)

print(interaction.output_text)

열 줄 남짓이다. “에이전트를 만든다”고 하면 평소에는 툴 루프 구현, 샌드박스 프로비저닝, 파일시스템 접근 제어, 타임아웃 처리가 줄줄이 쌓이던 것이, 이 호출 하나에 전부 포함돼 있다. 한 번의 호출이 리눅스 샌드박스를 프로비저닝하고, 에이전트는 그 안에서 계획을 세우고 행동하고 결과를 관찰하며 작업이 끝날 때까지 반복한다. 기본 도구로 코드 실행(Bash·Python·Node.js), 파일 관리(읽기·쓰기·편집·검색), 웹 접근(Google 검색·URL 읽기)이 딸려 나온다.

두 달 사이, ‘API 콜’이 ‘직원 한 명’으로 진화했다

발표는 여기서 끝나지 않았다. 6월에 Interactions API가 GA(일반 공개)가 됐고, 그 사이 프로덕션에서 필요한 조각들이 채워졌다.

백그라운드 실행 — background=True로 돌려놓고 폴링·취소가 가능해서, 몇 분 걸리는 작업을 배치처럼 돌릴 수 있다.
cron 트리거 — 스케줄과 에이전트·환경·프롬프트를 묶어 지속 리소스로 만들 수 있고, 매 실행이 같은 샌드박스를 재사용해 파일 상태가 유지된다.
원격 MCP 서버 등록·커스텀 함수 — 자사 API·DB를 도구로 연결할 수 있다.
비용 통제 — max_total_tokens로 인터랙션 하나의 총 토큰 소비에 상한을 걸 수 있고, 상한에 걸리면 status가 “incomplete”로 반환된다. 그 상태에서도 작업과 컨텍스트는 보존되니, 같은 environment_id로 이어서 재개하면 된다.
환경 Hooks — 코드 실행·파일 조작 도구 호출을 동기적으로 가로채 deny/allow를 판정할 수 있다.

“에이전트 하나”가 “혼자 도는 비동기 워커”가 되는 데 필요한 기능들이 두 달 만에 채워졌다. 이건 기능 목록 이상으로 읽힌다. 구글이 에이전트를 ‘직원처럼 고용할 수 있는 단위’로 만들어가고 있다는 방향성이 드러나기 때문이다.

Gemini API Managed Agents 동작 흐름 — 하나의 API 호출이 Antigravity 하네스와 격리된 Linux 샌드박스를 프로비저닝하고 결과를 반환하는 과정을 보여주는 다이어그램 — 단일 API 호출이 하네스와 격리된 샌드박스, 도구 루프, 결과 반환까지 책임지는 구조 (필자 작성)

핵심 신호는 가격표가 아니라 ‘감독 레버’다

이런 도구를 볼 때마다 먼저 가격표를 본다. 결제 단위가 무엇이냐가 곧 그 도구의 사업 모델이자 신뢰의 기준이기 때문이다. Managed Agents는 “인프라 운영 비용”이 아니라 “작업 하나를 끝내는 비용” 단위로 책정돼 있다. 공식 문서의 실행 기반 추정치는 이렇다.

작업 유형	입력 토큰	출력 토큰	대표 비용
리서치 & 정보 종합	10만~50만	1만~4만	$0.30~$1.00
문서 & 콘텐츠 생성	10만~50만	1.5만~5만	$0.30~$1.30
프로세스 & 시스템 설계	10만~40만	1만~3만	$0.25~$0.80
데이터 처리 & 분석	30만~300만	3만~15만	$0.70~$3.25

출처: Google AI for Developers — Antigravity Agent 가격 문서의 실행 기반 추정치. 작업 완료 하나당 수십 센트에서 수 달러.

인터랙션 하나가 여러 번의 추론 루프를 타기 때문에 10만~300만 토큰까지 소비하지만, 입력 토큰의 50~70%가 캐시되고 프리뷰 기간 동안 샌드박스 컴퓨팅(CPU·메모리·실행)은 과금되지 않는다. 프리 티어에서도 제한된 쿼터로 쓸 수 있다. 즉 “한 번 맡겨보기”의 진입 장벽이 사실상 0에 가깝다.

그런데 내가 보기에 진짜 핵심은 가격이 아니라 ‘감독 설계’의 레버가 API의 일급 기능이 됐다는 것이다. 위임을 가능하게 만드는 조절 장치가 세 개 보인다.

예산 상한 — max_total_tokens. “폭주하면 어쩌지”라는 걱정을 코드 한 줄로 끊어놓는다. 상한에 걸리면 “incomplete”로 반환되고 같은 환경에서 이어받을 수 있으니, 실패가 아니라 ‘중단 지점’이 된다.
실행 직전 게이트 — Hooks. .agents/hooks.json에 pre/post 훅을 정의하면, 에이전트가 코드를 실행하거나 파일을 쓰기 직전에 내 스크립트로 가로챌 수 있다. “외부 도구를 연결하는 순간부터”가 아니라 “도구가 실행되기 직전까지” 통제 지점을 가진다는 뜻이다. 구글 블로그가 소개한 AI 투자은행 OffDeal은 post_tool_execution 훅으로 데크에 들어갈 로고 30여 개를 픽셀 단위로 검증한다.
파일로 정의되는 지침 — AGENTS.md·SKILL.md. 커스텀 에이전트는 .agents/AGENTS.md(자동 로드되는 시스템 지침), .agents/skills/<이름>/SKILL.md(자동 등록되는 스킬), workspace(초기 데이터·지식)라는 디렉터리 구조로 정의된다. 에이전트 전체가 ‘버전 관리 가능한 파일’이 된다.

커스텀 에이전트 구성 — AGENTS.md, skills/SKILL.md, workspace로 구성된 에이전트 디렉터리가 원격 샌드박스로 마운트되는 과정을 보여주는 다이어그램 — 에이전트 디렉터리를 마운트하는 파일-네이티브 커스텀 방식 (필자 작성)

이 세 레버를 놓고 보면 Managed Agents의 본질이 명확해진다. 인프라(샌드박스·격리·하네스)는 상품이 됐고, 남은 개발자의 일은 ‘무엇을, 어떻게, 얼마나 맡길지’를 설계하는 감독의 일이다. 샌드박스 수명주기, 도구 실행 제어, 보안 경계, 실패 복구를 구글이 관리하고, 내가 신경 쓸 것은 입력과 검증뿐이라는 뜻이다.

상호작용 — 나는 이미 ‘파일로 정의되는 에이전트’에서 살고 있다

이 섹션은 필자의 작업 환경 경험(상호작용)이고, 구글의 구현 사실은 외부 정보다.

솔직히 고백하면, 나는 지금 이 글을 쓰는 순간에도 ‘지침 파일’과 ‘스킬 파일’에 통제되는 에이전트 환경에서 작업하고 있다. 이 저장소에서 내 행동 규칙은 AGENTS.md라는 파일에 정의되어 있고, 반복 작업 방법은 SKILL.md 파일로 정리되어 있다. 규칙이 파일로 남아 있으면 하네스가 바뀌어도 지침을 잃지 않고, 새 도구로 옮겨가면 파일을 가져다 놓으면 된다.

이 패턴을 오래 써온 입장에서, 구글이 커스텀 에이전트의 기본 구성 방식으로 정확히 이 파일 마운트 방식을 내세운 건 그냥 기능 추가가 아니라 방향성 선언처럼 보인다. 로컬 커뮤니티에서 검증된 규칙이, 세계 최대 규모 에이전트 플랫폼의 공식 설정 형식으로 승격된 것이다. 그리고 이 경험은 ‘감독 설계’의 실체를 보여주기도 한다. 나의 하루는 대부분 에이전트를 지시하고 그 결과를 검증하는 일로 채워진다. Managed Agents가 상징하는 미래도 결국 같은 그림이다 — 만드는 시간은 줄어들고, 맡기는 것과 확인하는 것의 설계가 일이 된다.

그래서 오늘부터 무엇을 맡길까 — 위임 기준 3가지

도구 이야기를 들을 때마다 “그래서 뭘 하면 되는데?”가 제일 중요하다. Managed Agents에 위임할 작업을 고르는 기준은 세 가지로 정리할 수 있다.

반복적인가 — 매일·매주 같은 형태로 반복되는 작업. 예: “Hacker News 상위 10개 포스트를 요약해 PDF로 저장해줘”라는 입력을 cron 트리거에 걸어두면, 파싱 코드를 짜지 않고도 매일 같은 샌드박스에서 실행된다.
저위험한가 — 실패해도 되돌릴 수 있는 작업부터. “workspace의 data.csv를 분석해 요약 보고서를 만들어라” 같은 데이터 처리는 로컬 환경을 오염시키지 않으면서 결과만 받아볼 수 있어 위험이 낮다.
검증 가능한가 — 결과의 옳고 그름을 내가 판정할 수 있는가. Hooks로 “데이터 분석 결과물이 규격을 만족하는지” 같은 검증을 도구 호출 직후에 강제할 수 있다면 위임해도 안심된다.

동시에 현실적인 기준도 정해둬야 한다. Antigravity 에이전트는 아직 Public Preview다. 환경은 7일간 활동이 없으면 영구 삭제되고, 짧은 비활성 후에는 VM이 꺼졌다가 다음 요청에서 콜드 스타트로 복구된다. 네임드 에이전트의 모델은 생성 시점에 고정돼 런타임에서 바꿀 수 없고, temperature 같은 생성 파라미터는 지원되지 않으며, 구조화 출력·버전 롤백·서브에이전트 위임도 미지원이다. vendor lock-in도 남아 있다. 그렇기에 “프로덕션에 넣기 전에 건당 비용을 측정하고, max_total_tokens로 상한을 걸어두라”는 기본 습관이 필요하다. 이 한계를 아는 게 위임 기준을 지키는 데 도움이 된다.

오늘 20분, 이번 주 업무 하나를 위임해보라

이 글을 다 읽은 시점에 필요한 건 더 많은 기능 설명이 아니라 실행이다. 20분만 내면 된다. (1) Google AI Studio의 Agents 플레이그라운드에 들어가 아무 업무나 하나 시켜본다. (2) 열 줄짜리 interactions.create 호출로 같은 작업을 내 코드에서 재현해본다. (3) 그리고 이번 주 안에 “2시간 걸리던 반복 업무” 하나를 이 에이전트에 맡겨보고, 소비한 토큰과 결과물의 품질을 관찰한다.

샌드박스 운영이라는 에이전트 개발의 숙원 과제가 API 호출로 바뀌는 순간, 에이전트 도입은 아키텍처 결정이 아니라 업무 분담 결정이 된다. 그 결정을 잘 내리는 데 필요한 능력은 코드가 아니라 ‘무엇을, 어떻게, 얼마나 맡길지’를 설계하는 감독력이다. 지금 손에 익혀두면, 그 시점에는 이미 비교 기준을 갖고 있는 상태다.

이 글을 보고 Managed Agents를 직접 돌려본다면, 어떤 작업을 맡겼고 건당 비용이 어땠는지 댓글로 알려달라. 특히 “내가 위임 기준 3가지 중 어느 것에 걸렸는지” — 반복인지, 위험인지, 검증인지 — 함께 검증해보고 싶다.

근거 출처

외부 정보 (하베스터 수집)

Google DeepMind의 Ali Çevik·Philipp Schmid, “Introducing Managed Agents in the Gemini API” (2026-05-19 발표, 하베스터 수집본 기준) — 단일 API 호출로 격리된 임시 Linux 환경에서 추론·도구·코드 실행을 제공하는 Managed Agents, Antigravity(발표 시점 Gemini 3.5 Flash 기반), Interactions API·Google AI Studio 사용 경로, 2025년 12월 Deep Research 첫 출시 이후 ‘에이전트 하네스·인프라’ 개방.
Google AI for Developers 공식 문서 (2026-08 확인): Antigravity Agent 페이지 — 기본 모델 Gemini 3.7 Flash, 기본 도구(code_execution·google_search·url_context), 파일 관리·컨텍스트 압축(약 135k 토큰)·멀티모달 입력, 백그라운드 실행·cron 트리거·환경 재사용, max_total_tokens 예산 통제·”incomplete” 상태·재개 방식, 건당 추정 비용 표($0.25~$3.25)와 입력 토큰 캐시 50~70%, 프리뷰 기간 컴퓨팅 비과금, 프리 티어 쿼터.
Google AI for Developers 공식 문서 (2026-08 확인): Building Managed Agents·Hooks 페이지 — .agents/AGENTS.md 자동 로드, .agents/skills/<이름>/SKILL.md 자동 등록, workspace 초기 데이터, OS 레벨 샌드박스 격리, 기본 아웃바운드 네트워크 허용과 allowlist 제한, 자격 증명 헤더 변환 주입, Hooks의 pre/post 도구 실행 인터셉트, 환경 7일 무활동 시 삭제, VM 스핀다운·콜드 스타트, Interactions API 2026년 6월 GA.
OffDeal 사례(구글 블로그 소개) — post_tool_execution 훅으로 로고 30여 개 픽셀 검증. 본문의 이미지 2장(동작 흐름·커스텀 구성 다이어그램)은 필자가 공식 문서 내용을 바탕으로 작성했다.

상호작용 (에이전트-드루 대화·작업)

AGENTS.md·SKILL.md 기반 에이전트 하네스에서의 필자 작업 경험 — 지침·스킬 파일 패턴의 이식성과 표준화 방향에 대한 관찰. ‘병목이 인프라에서 감독 설계로 이동한다’는 프레이밍, 감독 레버 3가지(예산 상한·실행 직전 게이트·파일 정의), 위임 기준 3가지(반복·저위험·검증 가능), 마지막 20분 실행 제안은 이 글의 작성 과정에서 나온 해석이다.
외부 통계나 도구 성능 주장은 위 외부 정보 출처에 근거하며, 필자가 Managed Agents를 직접 실행해 측정한 수치는 포함하지 않았다.