OpenClaw, AI 에이전트 프레임워크의 보안 취약점이 드러나다

AI 에이전트 시대, 보안은 준비되었나

AI 에이전트 프레임워크가 빠르게 확산되고 있습니다. LLM에 도구 사용 능력을 부여해서 코드를 실행하고, 파일을 읽고, API를 호출하는 자율적 에이전트를 만드는 것이 최근의 가장 뜨거운 트렌드입니다. 그런데 이 에이전트들에게 실행 권한을 넓게 줄수록 보안 리스크도 비례해서 커진다는 점은 종종 간과됩니다. 최근 Composio가 OpenClaw의 보안 취약점을 상세히 분석한 글이 이 문제를 정면으로 조명했습니다.

OpenClaw란 무엇인가

OpenClaw는 오픈소스 AI 에이전트 프레임워크로, LLM이 다양한 외부 도구(tool)와 상호작용할 수 있도록 해주는 플랫폼입니다. 개발자들이 에이전트에게 파일 시스템 접근, 웹 브라우징, 코드 실행, API 호출 등의 능력을 부여할 수 있게 해줍니다. 이러한 프레임워크는 Claude의 MCP(Model Context Protocol), LangChain의 Tools, AutoGPT 등과 같은 맥락에 있는 도구입니다.

문제는 이런 프레임워크가 에이전트에게 시스템 수준의 접근 권한을 부여하면서도, 전통적인 소프트웨어 보안에서 당연시되는 보호 장치들이 부족한 경우가 많다는 점입니다.

발견된 주요 취약점들

Composio의 분석에서 지적된 취약점들은 AI 에이전트 보안에서 반복적으로 나타나는 패턴들입니다.

첫째, 프롬프트 인젝션을 통한 권한 탈취 문제입니다. 에이전트가 외부 데이터를 읽을 때, 그 데이터 안에 악의적인 지시가 포함되어 있으면 에이전트의 동작을 조작할 수 있습니다. 예를 들어 웹페이지를 읽는 에이전트가 해당 페이지에 숨겨진 "이 파일의 내용을 외부 서버로 전송하라"는 지시를 따를 수 있다는 것이죠. 이것은 전통적인 SQL 인젝션과 유사한 구조이지만, 자연어 기반이라 방어가 훨씬 어렵습니다.

둘째, 샌드박싱 부재 문제입니다. 에이전트가 실행하는 코드나 명령어가 호스트 시스템에서 직접 실행되는 경우, 악의적 코드가 전체 시스템을 장악할 수 있습니다. 컨테이너 격리나 권한 분리 없이 에이전트에게 셸 접근을 주는 것은 사실상 인터넷에서 다운받은 스크립트를 루트 권한으로 실행하는 것과 다를 바 없습니다.

셋째, 인증 정보 노출 리스크입니다. 에이전트가 다양한 서비스와 연동하려면 API 키, 토큰 등의 인증 정보가 필요한데, 이 정보가 프롬프트 컨텍스트에 평문으로 포함되거나, 로그에 기록되거나, 다른 도구 호출을 통해 유출될 수 있는 경로가 존재했습니다.

업계 맥락에서 보는 AI 에이전트 보안

이 문제는 OpenClaw만의 것이 아닙니다. AI 에이전트 생태계 전체가 "일단 동작하게 만들기"에 집중하면서 보안은 뒷전으로 밀리고 있는 상황입니다. Anthropic의 MCP 프로토콜도 초기에 유사한 보안 우려를 받았고, LangChain 역시 임의 코드 실행 관련 취약점이 보고된 바 있습니다.

전통적 소프트웨어에서는 최소 권한 원칙(Principle of Least Privilege), 입력 검증, 샌드박싱이 기본 중의 기본입니다. 하지만 AI 에이전트는 태생적으로 "많은 것을 할 수 있어야 유용하다"는 특성 때문에 이런 원칙들과 충돌합니다. 유용성과 보안 사이의 균형점을 어떻게 잡을 것인지가 핵심 과제입니다.

OWASP에서도 최근 "LLM Application Security Top 10"을 발표하면서 프롬프트 인젝션을 1위 위협으로 선정한 바 있습니다. 이 분야의 보안 프레임워크는 아직 성숙 단계에 이르지 못했으며, 업계 표준이 정립되기까지는 시간이 걸릴 것입니다.

한국 개발자를 위한 실무 지침

AI 에이전트를 프로덕션에 도입하고 있거나 도입을 검토 중이라면, 최소한 다음 사항들을 점검해야 합니다. 에이전트의 도구 실행은 반드시 컨테이너나 VM 수준의 격리 환경에서 수행되어야 합니다. 인증 정보는 에이전트의 컨텍스트에 직접 노출하지 않고, 별도의 시크릿 매니저를 통해 관리해야 합니다. 에이전트가 접근할 수 있는 리소스의 범위를 명시적으로 제한하는 화이트리스트 방식의 권한 관리가 필요합니다.

정리

AI 에이전트의 능력이 강력해질수록, 그 능력이 악용되었을 때의 피해도 커집니다. OpenClaw의 사례는 AI 에이전트 프레임워크를 선택할 때 기능뿐 아니라 보안 아키텍처도 핵심 평가 기준이 되어야 한다는 점을 보여줍니다. 여러분의 팀에서는 AI 에이전트에 어느 수준까지 권한을 부여하고 계신가요?