터미널 AI 에이전트, 어떻게 동작하나

터미널 AI 에이전트는 말만 하는 챗봇이 아니라, 터미널에서 파일을 읽고 고치고 명령을 돌리며 '목표까지 반복'하는 도구다. 핵심 공식은 ==에이전트 = 모델 + 하네스(harness)다 — 같은 모델도 감싸는 골격(도구·루프·권한)에 따라 전혀 다르게 느껴진다. 동작은 2022년 ReAct로 정형화된 결정→실행→관찰 루프로, 우리가 쓰는 에이전트도 읽고·계획하고·고치고·검증하기를 반복한다. 2026년의 변화는 장시간 자율==이다: 한 번의 질문-답이 아니라 수 분~수 시간 실행 루프를 돈다.

한 줄 요약: 터미널 에이전트는 '모델 + 하네스(도구·루프·권한)'로, ReAct의 결정→실행→관찰 루프를 목표까지 반복하며 기본은 읽기 전용·변경 전 승인이고, 2026년엔 수 분~수 시간 도는 장시간 자율로 진화했다.

쉽게 말하면: 터미널 에이전트는 손과 눈이 달린 비서다. 지시를 듣고(모델), 서랍을 열어 서류를 꺼내 고치고 도장을 찍되(도구), 매 단계 결과를 보고 다음을 정한다 — 그리고 위험한 행동 전엔 너에게 묻는다(권한).

한 작업은 어떤 단계를 거치나?#

수집→계획→실행→관찰→검증의 루프다. ① 수집: 코드·프로젝트 규칙 파일을 읽어 맥락을 모은다. ② 계획: 단계를 세운다(소스는 아직 안 건드리는 '계획 모드'도 있다). ③ 실행: 도구로 파일을 편집하거나 셸 명령·git을 돌린다. ④ 관찰: 명령 출력·테스트 결과를 본다. ⑤ 검증: 테스트로 성공을 확인하고, 안 되면 고쳐 다시 돈다. 도구 사용이 챗봇과 가르는 결정적 차이고, 도구 연동의 표준으로 MCP가 자리 잡았다.

아래 그림이 그 루프다. 검증이 실패하면 화살표가 다시 수집으로 돌아가 목표까지 반복한다.

권한과 안전은 어떻게 지키나?#

기본은 읽기 전용, 바꾸기 전엔 묻는다. 규칙은 허용(allow)·질문(ask)·거부(deny) 셋이고 거부 > 질문 > 허용 순으로 센 규칙이 이긴다. 모드도 여럿이다: 계획(소스 미수정)·편집 자동승인·완전 자동 등. 사용자는 측정상 권한 프롬프트의 약 93%를 승인하는데, 이 피로를 줄이려 자동 모드는 2중 방어를 쓴다 — 입력단에서 도구 출력(파일·웹·셸 결과)의 프롬프트 인젝션을 검사하고, 출력단에서 분류기가 행동을 실행 전 평가한다. 더해 샌드박스로 셸이 정해진 경계를 못 넘게 막는다(인젝션이 판단을 뚫어도 차단).

아래가 그 2중 방어다. 도구 출력이 들어올 때 한 번, 행동이 나갈 때 한 번 걸러지고, 샌드박스가 마지막 벽이 된다.

문맥(컨텍스트)은 어떻게 관리하나?#

작업 기억은 유한하다(최신 모델 기준 약 20만 토큰). 그래서 셋으로 아낀다: ① 프로젝트 규칙 파일을 시작 시 자동으로 불러와 매번 같은 맥락을 깔고, ② 서브에이전트로 토큰 많이 먹는 일(대량 grep·로그·문서 스크랩)을 별도 문맥에 떼어내 요약만 받고, ③ 길어지면 압축(compaction)으로 줄인다. 단 압축엔 주의가 있다 — 안전 경계가 '규칙'이 아니라 대화에서 매번 다시 읽히는 구조면, 압축이 그 문장을 지우면 경계가 흐려질 수 있다.

직접 살펴보려면? (그리고 벤치는 조심해서)#

작게, 안전 기본으로.

• 계획 모드로 먼저 무엇을 할지 보고, 승인 후 편집·실행하게 한다(읽기→계획→실행 순서).
• 신뢰 못 할 입력엔 샌드박스·권한을 먼저 걸고, 결제·삭제 같은 행동엔 사람 확인을 둔다.
• 벤치 점수는 버전+날짜를 함께 봐라. SWE-bench Verified는 측정상 1년 새 10%대→70%대로 뛰었고, 터미널 작업은 Terminal-Bench가 따로 잰다. 한 리더보드(2026-06) 기준 Terminal-Bench v2.1은 상위가 80%대 초중반으로 초접전이며 하네스 차이로 점수가 크게 흔들린다.

참고 링크

• ReAct(추론+행동 루프 논문)
• SWE-bench(레포 이슈 해결 벤치)
• Terminal-Bench(터미널 작업 벤치)
• Model Context Protocol(도구 연동 표준)
• Aider(오픈소스 터미널 에이전트)

참고: 권한·문맥·벤치 수치는 2026년 공개 문서·리더보드 기준이며 도구·하네스·버전에 따라 달라진다(특히 벤치 점수는 버전+날짜 없이는 비교 불가). 내부 주소·경로·계정·키는 공개하지 않는다. 정확한 효과는 내 작업에서 직접 측정하라. 에이전트·벤치는 빠르게 바뀌니 분기별 갱신.