VPS에서 AI 에이전트를 24/7 실행하기.
노트북을 벗어나, 잠들지 않는 금속 위로.

여러분의 컴퓨터에서 작동하는 에이전트는 작동하는 에이전트일 뿐, 배포된 에이전트는 아닙니다. 그 간극은 네 가지 화려하지 않은 문제이며, 어느 것도 프롬프트 엔지니어링과는 관계가 없습니다.

절전 모드. 뚜껑을 닫으면 프로세스가 중단됩니다. 전원 관리 기능은 뚜껑이 닫히기 훨씬 전부터 백그라운드 작업을 억제하는데, 이는 이 실패의 최악의 버전을 만듭니다: 실행되긴 하지만 늦게, 예측할 수 없게 실행되는 에이전트.

IP 변동. 가정이나 카페 연결은 재접속할 때마다 새 주소를 부여합니다. IP로 속도 제한되는 모든 것, 안정적인 콜백이 필요한 모든 웹훅, 여러분이 등록한 모든 허용 목록이 간헐적으로 깨집니다.

재부팅. 운영체제 업데이트는 자체 일정에 따라 컴퓨터를 재시작합니다. 에이전트가 서비스 관리자에 등록되어 있지 않다면, 재시작 후 돌아오는 것은 실행 중인 루프가 아니라 데스크톱 화면입니다. 대부분의 사람들은 일주일 뒤에야 알아챕니다.

이동. 여행을 가고, 컴퓨터를 바꾸고, 재설치합니다. 오직 셸 히스토리 안에만 존재하는 것은 재현할 수 없습니다 — 3월 어느 오후에 뚝딱 설정한 에이전트에는 애초에 배포 절차라는 것이 없습니다.

서버는 이 네 가지만 고칠 뿐, 그 이상은 고치지 않습니다 — 정확성도, 비용도, 안전성도 아닙니다. 서버가 주는 것은 실패를 여러분이 직접 고쳐야 하는 런타임입니다. 이보다 더 대단한 것으로 파는 사람이 있다면 의심하십시오.

서버는 Ubuntu 24.04 LTS나 Debian 13으로 프로비저닝하십시오 — 주문 시 Ubuntu 22.04, Debian 12, AlmaLinux 9, Rocky Linux 9와 함께 제공됩니다. root 자격증명을 받게 되는데, 그것으로 해야 할 첫 번째 일은 그것을 그만 쓰는 것입니다. SSH 키 인증이 낯선 영역이라면, 아래 링크된 보안 강화 가이드를 먼저 읽으십시오.

1 — 서비스 사용자 만들기. adduser --system --group --home /srv/agent agent. 에이전트는 root로 실행되어서도, 대화형 셸을 소유해서도 안 됩니다. 지금 명령어 하나면, 나중에 에이전트가 호출하는 도구가 자신에게 불리하게 쓰이더라도 피해 반경이 작게 유지됩니다.

2 — 코드를 서버에 올리기. /srv/agent에 git clone하거나, 서버에 배포 키를 남기고 싶지 않다면 rsync를 쓰십시오. 의존성을 고정하십시오: 락파일이 있느냐 없느냐가 재현되는 재배포와 여러분을 놀라게 하는 재배포의 차이입니다.

3 — 환경 구축하기. python3 -m venv /srv/agent/.venv를 실행한 다음, 그 virtualenv의 pip로 락파일에서 설치하십시오. 아니면 uv를 설치해 인터프리터와 락파일 둘 다 관리하게 하십시오. 둘 중 무엇이든 괜찮지만, 둘을 섞는 것은 안 됩니다.

4 — 손으로 한 번 실행해 보기. sudo -u agent /srv/agent/.venv/bin/python -m agent --once. 이 단계를 건너뛰고 곧장 서비스 유닛으로 가지 마십시오. 여기서 나는 실패의 열 중 아홉은 누락된 환경 변수나 여러분의 노트북 기준 상대 경로 때문이며, 둘 다 journald보다 터미널에서 훨씬 또렷하게 읽힙니다.

5 — 감독 프로세스에게 넘기기. 다음 장의 내용입니다. 이 단계가 여러분이 시작한 스크립트를 컴퓨터가 소유하는 서비스로 바꿔 줍니다. 이 과정이 15분보다 상당히 오래 걸렸다면, 원인은 거의 항상 개발 머신에 대한 암묵적 의존성입니다 — 전역 바이너리, 셸 프로필 속 자격증명, 저장소 밖의 경로.

에이전트는 웹 애플리케이션보다 더 위험한 자료를 쥐고 있습니다. 모델 API 키는 지출 수단이고, 트레이딩 키는 레버리지가 걸린 것이며, 지갑 키는 자금 그 자체입니다. 그리고 웹 앱과 달리 에이전트는 자신이 작성하지 않은 텍스트에 따라 행동하는데, 이는 에이전트가 키를 쥐고 있는 것과 공격자가 그 키를 쥐고 있는 것 사이의 경계를 얇게 만듭니다.

이미지 밖에 두십시오. Dockerfile 속 ENV와 ARG 값은 이미지 레이어에 그대로 기록되어, 그 이미지를 손에 넣은 누구든 docker history로 읽을 수 있습니다. Compose에서는 env_file:을, systemd 유닛에서는 EnvironmentFile=을 쓰고, 그 파일을 빌드 컨텍스트 밖에 두십시오.

저장소 밖에 두십시오. .gitignore와 .dockerignore는 쉰 번째 커밋이 아니라 첫 커밋에 넣으십시오. 한 번이라도 커밋된 키는 그 커밋을 나중에 다시 쓰더라도 이미 유출된 것입니다. 객체가 클론과 포크 안에 살아남기 때문입니다. 히스토리를 다시 쓰는 대신 키를 교체하십시오.

그 파일이 닿을 수 있는 범위를 제한하십시오. 환경 파일의 소유자를 서비스 사용자로 지정하고 mode 600을 설정하십시오. non-root 서비스 사용자와 결합하면, 서버 어딘가의 침해된 의존성이 디스크에서 여러분의 키를 그냥 읽어 갈 수는 없습니다.

발급처에서 각 키의 범위를 제한하십시오. 에이전트당 키 하나씩, 제공업체가 내주는 가장 좁은 권한으로 — 읽기만으로 충분하면 읽기 전용으로, 거래소 키는 출금 비활성화로, 서버로 IP 허용 목록을 걸어서. 고정 IP는 노트북을 벗어나면서 얻는 조용한 이점입니다: 이제야 비로소 허용 목록을 걸 수 있게 됩니다. 여러 사람이 같은 자격증명을 필요로 한다면, 자매 가이드에 나오는 셀프 호스팅 볼트 뒤에 두십시오.

도구가 없는 에이전트는 채팅 루프에 불과합니다. 도구는 저장소를 읽고, 데이터베이스를 조회하고, 주문을 넣고, 이슈를 등록하게 해 주는 것입니다 — 그리고 에이전트가 서버 위에 살게 되면, 도구도 그래야 합니다.

Model Context Protocol은 그런 도구를 노출하는 흔한 방식이 되었고, 여러분이 사적으로 실행하는 서버는 에이전트 옆에 두기 쉽습니다: 같은 서버, 같은 사설 인터페이스, 공개 노출이 필요 없습니다. 자매 가이드가 이를 제대로 다룹니다 — 원격 MCP 서버 호스팅하기는 TLS, streamable-HTTP 전송 방식, OAuth, 에이전트 카드까지 안내하며, no-ID 호스팅 관점은 같은 스택을 신원 측면에서 다룹니다.

먼저 localhost에 바인딩하십시오. 유일한 소비자가 같은 머신 위의 에이전트뿐이라면, 도구 서버가 공개 포트를 가질 이유가 없습니다. 루프백 주소에 바인딩하고 인증서는 건너뛰십시오. 두 번째 머신이 필요로 할 때만 공개로 노출하십시오 — 그리고 그때는 TLS와 인증 둘 중 하나가 아니라 둘 다 필요합니다.

도구에는 통하는 한 가장 작은 권한만 주십시오. 에이전트는 텍스트를 근거로 어떤 도구를 호출할지 결정하며, 그 텍스트 중 일부는 외부에서 옵니다. 웹페이지나 받은편지함을 읽는 에이전트에게 프롬프트 인젝션은 가정이 아니라 예상해야 할 사례입니다. 읽기만 할 수 있는 도구는 쓰기를 하도록 설득당할 수 없습니다. 도구가 반드시 써야 하는 곳에서는, 파괴적인 경로에 사람의 확인을 요구하게 만드십시오.

여러분 자신의 에이전트가 아니라 다른 사람들의 에이전트를 위한 도구를 만들고 있다면, machine API와 에이전트 대상 서피스가 이 플랫폼이 프로비저닝을 에이전트에게 직접 어떻게 노출하는지 문서화합니다.

에이전트는 자격증명을 지닌, 오래 사는 프로세스로서 고정된 주소에서 여러분을 대신해 계속 행동합니다. 이는 정적 웹사이트보다 대여 기록을 더 흥미롭게 만듭니다: 몇 달 동안, 매시간, 여러분에게 귀속되는 일을 하고 있는 것입니다.

여기서의 최소선은 가입을 위한 이메일 주소와 비밀번호, 여덟 가지 자산으로의 결제 — Bitcoin, Ethereum, 두 체인의 Tether, Monero, Litecoin, TRON, Solana — 그리고 어떤 단계에서도 신분증이 없다는 것입니다. 데이터센터는 네 개의 노르딕 입헌 체제 안에 있습니다: Stockholm, Helsinki, Oslo, Reykjavík. 운영 원칙이 무엇이 보관되는지 규정하며, 네트워크 페이지가 라우팅을 다룹니다.

이제 홍보 문구보다 더 중요한 한계입니다. 신원을 요구하지 않는 호스트는 대여 기록을 제거합니다. 추론 계층에는 손을 대지 않습니다: 여러분의 에이전트는 매 호출마다 계정에 묶인 키로, 고정된 IP에서 모델 제공업체에 인증합니다. 그 계정이 여러분의 법적 이름으로 되어 있다면 — 대부분의 사람들에게 그렇듯이 — 누가 서버를 대여하든 상관없이 신원은 그곳에서 확립됩니다. 호스트 계층이 제거하는 연결 고리는 하나입니다: 진짜이지만, 오직 하나뿐인 연결 고리.

그다음에 이어지는 것은 화려하지 않습니다. 구획화하십시오: 에이전트 하나, 서버 하나, 키 하나, 지갑 하나. 서버는 30일째가 아니라 첫날에 강화하십시오 — 첫 한 시간 체크리스트는 몇 달 동안 사람 없이 돌아갈 머신에 쓸 만한 가치가 있는 한 시간입니다. 에이전트가 사설 네트워크에 닿아야 한다면, 서비스를 노출하는 대신 터널로 서버에서 종단시키십시오 — 터널 가이드가 설정을 다룹니다. 그리고 암호화폐로 결제하되, 에이전트가 트레이딩에 쓰는 지갑이 아닌 다른 지갑에서 하십시오.

이 중 어느 것도 이국적이지 않으며, 어느 것도 보장이 아닙니다. 여러분이 잠든 사이 여러분을 대신해 행동하는 무언가를 운영하는, 그저 평범한 규율일 뿐입니다 — 계속 운영된다는 말이 뜻하는 전부입니다. 나머지 클러스터는 가이드 색인에 있습니다.