오픈클로우 실 사용 단계 진입
모델 자체 개선으로 보안 문제 해결 불가능
[테크월드뉴스=김혜진 기자] 최근 AI에이전트가 빠르게 확산되며 실제 응용 단계로 넘어선 가운데 프레임워크의 구조적 결함 문제가 이슈되고 있다. 이에 서틱(CertiK)은 ‘오픈클로우(OpenClaw) 보안 보고서’를 통해 구조적 보안 결함을 지적하며 다층적 보안 강화의 필요성을 강조했다.
오픈클로우의 깃허브(GitHub) 스타 수가 30만개를 돌파했다. AI 기반 에이전트는 이제 실사용 단계에 진입했다. 문제는 보안이다. 주변적 프로젝트에서 대규모 배포 단계로 급속히 전환되며 초기 ‘로컬 신뢰 환경’에 기반한 보안 모델이 충분히 대응하지 못하고 있는 것으로 드러났다.
서틱의 오픈클로우 보안 보고서에 따르면 실제 오픈클로우에는 2025년 11월부터 2026년 3월까지 총 280건의 보안 공지가 있었고 CVE취약점은 100건 이상 보고됐다.
보고서는 이러한 보안 문제를 ▲제어 평면에 존재하는 근본적 설계의 결함 ▲로컬 신뢰 기반의 일관되지 않은 통제 ▲프롬프트 인젝션(Prompt Injection) 문제 등 때문이라고 지적했다.
특히 핵심 게이트웨이(Gateway)는 오랜 기간 ‘접속 출처의 근접성’을 인증 메커니즘으로 대체해 왔으며 이로 인해 공격자가 로컬 요청이나 URL 파라미터 등을 악용해 쉘(Shell) 실행, 파일 접근, 다중 디바이스 제어 등 전반적인 권한을 손쉽게 획득할 수 있는 구조였다는 분석이다.
또 20여개 메시지 플랫폼과의 신원 연동(바인딩) 메커니즘에서도 가변 속성 사용 및 웹훅(Webhook) 검증 부재 등 인증 설계상의 문제로 인해 허용 목록(Allowlist)이 반복적으로 우회된 것으로 나타났다. 이와 관련된 취약점은 현재까지 약 60건의 보안 공지로 보고된 상태다.
실행 계층에서는 정책 검증과 실제 실행 간의 불일치가 존재하는 것으로 나타났다. 강제 실행 메커니즘이 명령어 해석 이후의 최종 형태를 검증하지 않기 때문에 공격자는 파라미터 축약 등을 통해 정확한 매칭 기반의 차단 목록을 우회할 수 있으며 이로 인해 사전에 설정된 보안 경계가 실제 운영 환경에서는 무력화되는 문제가 발생한다.
로컬 작업 공간은 고가치 자산이 집중적으로 저장되는 영역임에도 불구하고, 파일 시스템 경계에 대한 통제는 일관되지 않은 것으로 분석됐다. 각 모듈이 공통된 검증 체계를 공유하지 않고 개별적으로 검증 로직을 구현하면서, 경로 탐색 취약점과 샌드박스 결함이 여러 모듈에서 독립적으로 발생했다. 이러한 문제는 과거 취약점 사례에서도 반복적으로 확인됐다. 결과적으로 잠재적 공격 표면을 더욱 확대시키는 요인으로 작용하고 있다는 설명이다.
보고서는 클로우허브(ClawHub) 플러그인 마켓에서 이미 수백 개의 악성 스킬이 발견됐으며 이와 함께 위장 설치 프로그램 및 npm 패키지 문제도 확인됐다고 밝혔다. 기존의 공급망 공격과 달리 AI 에이전트의 스킬은 자연어를 통해 시스템 동작에 영향을 미칠 수 있어, 전통적인 보안 탐지 방식으로는 식별이 더욱 어렵다는 설명이다.
배포 설정에 따른 보안 리스크 역시 중요한 문제로 지적됐다. 데이터에 따르면 전 세계 82개 국가에서 13.5만 개 이상의 인스턴스가 외부 네트워크에 노출된 상태로 확인됐다. 샌드박스 비활성화, 과도하게 넓은 권한 정책, 신뢰 경계를 넘는 배포 구성 등은 코드 취약점이 없더라도 심각한 보안 위험을 초래할 수 있는 요인으로 분석됐다.
프롬프트 인젝션(Prompt Injection)은 여전히 해결되지 않은 근본적인 보안 과제로 남아 있다. 간접 인젝션, 토큰 위·변조 등 다양한 공격 방식이 존재한다.
보고서는 모델 자체의 개선만으로 해결될 수 없다고 보았다. 이에 다층적인 시스템 수준의 방어 체계 구축, 엄격한 권한 및 기능 통제, 그리고 지속성 저장 영역에 대한 보호 강화가 필수적이라고 지적했다.
회원가입 후 이용바랍니다.
댓글
0