A Systematic Taxonomy of Security Vulnerabilities in the OpenClaw AI Agent Framework

1. 문제 정의 (Problem)

기존의 애플리케이션은 코드가 행동을 결정하지만, AI 에이전트 프레임워크에서는 모델의 출력 자체가 제어 신호가 됩니다. LLM 이 생성한 툴 호출 (Tool Call) 은 쉘 명령어 실행, 파일 입출력, 브라우저 제어 등을 직접 수행합니다. 이로 인해 공격 표면 (Attack Surface) 이 다음과 같이 확장되었습니다:

• 실행 correctness: 런타임의 구현 오류뿐만 아니라,
• 모델의 취약성: 컨텍스트 윈도우에 도달하는 모든 데이터 경로를 통한 적대적 영향 (프롬프트 인젝션 등).

OpenClaw 는 2026 년 초에 출시되어 급격히 확산되었으며, 이 과정에서 190 건의 보안 권고 (Advisories) 가 제출되었습니다. 기존 연구들은 개별 공격 기법을 다루었을 뿐, 이러한 방대한 취약점들을 아키텍처 계층과 신뢰 위반 유형에 따라 체계적으로 매핑한 연구는 부재했습니다.

2. 방법론 (Methodology)

저자들은 OpenClaw 의 190 건 보안 권고 데이터를 분석하기 위해 이중 축 (Two-Axis) 분류 체계를 도입했습니다.

1. 시스템 축 (System Axis): 취약한 연산이 아키텍처의 어느 계층에서 발생하는지 분류합니다.
   • 10 가지 계층: 채널 입력 인터페이스, 플러그인/스킬 배포, 에이전트 컨텍스트 윈도우, 게이트웨이 WebSocket, 툴 디스패치, 실행 정책 엔진, 컨테이너 경계, 호스트 OS 인터페이스, LLM 제공자 인터페이스, 에이전트 간 통신.
2. 공격 축 (Attack Axis): 적용된 적대적 기법과 사이버 킬 체인 (Cyber Kill Chain) 단계를 매핑합니다.
   • 기존 MITRE ATT&CK 의 5 가지 전술에 **Context Manipulation(컨텍스트 조작)**이라는 새로운 단계를 추가하여 AI 에이전트 고유의 LLM 추론 계층을 공격 표면으로 반영했습니다.

이 분류 체계를 기반으로 190 건의 권고를 매핑하고, 패치 차이 (Patch-differential) 를 분석하여 아키텍처적 근본 원인을 도출했습니다.

3. 핵심 기여 (Key Contributions)

1. AI 에이전트 프레임워크를 위한 이중 축 보안 분류 체계: OpenClaw 의 190 건 전체 권고 데이터를 아키텍처 계층과 공격 기법에 따라 체계적으로 조직화했습니다.
2. OpenClaw 특화 킬 체인 (Kill Chain) 정의: 기존 침입 프레임워크에 없던 Context Manipulation(컨텍스트 조작) 단계를 도입했습니다. 이는 코드 실행 없이 LLM 의 추론을 조작하여 악의적인 툴 호출을 유도하는 AI 고유의 공격 단계를 설명합니다.
3. 다계층 취약점 분석 및 아키텍처적 근본 원인 규명: 190 건의 데이터를 10 가지 아키텍처 계층에 매핑하여 다음과 같은 구조적 결함을 발견했습니다.
   • 채널 입력 인터페이스의 신원 변조 (Identity Spoofing).
   • 실행 정책 엔진의 어휘적 파싱 실패 (Lexical Parsing Failure).
   • 플러그인/스킬 배포 경로를 통한 신뢰 위배.

4. 주요 결과 및 발견 (Key Findings)

A. 3 단계 공격 체인을 통한 무인증 원격 코드 실행 (RCE)

게이트웨이 (Gateway) 와 노드 - 호스트 (Node-Host) 서브시스템에 존재하는 3 개의 독립적인 중대/고위험 취약점이 결합되어 무인증 원격 코드 실행 경로가 완성됨을 발견했습니다.

• 공격 경로: LLM 툴 호출 → 게이트웨이 URL 조작 (SSRF) → 인증 토큰 탈취 → node.invoke 를 통한 실행 승인 정책 우회 → 호스트 프로세스 실행.
• 이는 개별 취약점이 중대하지 않더라도, 계층 간 정책이 통합되지 않을 때 치명적인 공격 체인이 될 수 있음을 보여줍니다.

B. 실행 Allowlist 의 '폐쇄적 세계 가정' 실패

OpenClaw 의 주요 명령어 필터링 메커니즘인 exec allowlist 는 명령어 식별이 **어휘적 파싱 (Lexical Parsing)**으로 가능하다는 폐쇄적 가정을 기반으로 합니다. 이는 다음과 같은 방식으로 무효화되었습니다:

• 라인 컨티뉴이션 (Line Continuation): 백슬래시와 줄바꿈을 이용한 명령어 연결.
• Busybox/Toybox 멀티플렉싱: 래퍼 바이너리를 통한 내부 명령어 우회.
• GNU 장옵션 약어 (Long-option Abbreviation): --compress-prog 와 같은 약어가 허용되지 않은 플래그로 해석되는 오류.
• 결론: 정적 텍스트 매칭이 아닌, 런타임 쉘 해석 (Semantic Interpretation) 을 고려해야 함을 시사합니다.

C. 플러그인/스킬 배포 경로의 신뢰 위배

yahoofinance 라는 이름의 악성 스킬이 LLM 컨텍스트 윈도우 내에서만 작동하여 실행 파이프라인을 완전히 우회했습니다.

• 공격 방식: 스킬의 SKILL.md 파일에 악성 설치 명령어를 포함시켜, 에이전트가 이를 사용자에게 전달하도록 유도 (Social Engineering).
• 영향: 런타임 정책 (Exec Policy) 이 적용되기 전, LLM 의 추론 단계에서 악성 코드가 실행됨. 이는 스킬 배포 표면이 런타임 정책 원시 (Primitive) 밖의 공격 벡터임을 증명합니다.

D. 구조적 패턴: 계층별 신뢰 강화의 실패

전체 취약점의 지배적인 패턴은 통합된 정책 경계 (Unified Policy Boundaries) 부재입니다. 각 계층 (Layer) 마다 개별적으로 신뢰를 검증하는 방식은 계층 간 결합 공격 (Cross-layer Composition Attacks) 에 취약하며, 이는 단일 계층의 수정만으로는 해결할 수 없는 구조적 문제입니다.

5. 의의 및 시사점 (Significance)

1. AI 에이전트 보안의 새로운 패러다임 제시: 전통적인 소프트웨어 보안 (메모리 안전, 논리 버그) 과는 다른, **신뢰 모델 (Trust Model)**과 컨텍스트 조작을 중심으로 한 보안 접근법의 필요성을 강조합니다.
2. 아키텍처적 교훈:
   • 신원 불변성 (Identity Immutability): 플랫폼별 가변적 이름 (Display Name) 이 아닌 불변 ID 를 기반으로 한 접근 제어 필요.
   • 의미론적 명령어 해석: 어휘적 필터링이 아닌, 쉘이 명령어를 어떻게 해석할지 고려한 시맨틱 검증 필요.
   • 공급망 보안: LLM 컨텍스트에 로드되는 외부 콘텐츠 (스킬) 에 대한 암호학적 무결성 검증 및 출처 (Provenance) 추적 필요.
3. 방어 전략 제안:
   • 컨텍스트 출처 (Context Provenance): 메시지가 외부 사용자인지, 에이전트 간 통신인지, 시스템 내부인지 구분하는 메타데이터를 도입하여 LLM 이 이를 신뢰 수준에 따라 다르게 처리하도록 설계.
   • 통합 정책 경계: 계층 간 경계에서 통합된 정책 검증 (Unified Inter-Layer Policy Enforcement) 을 수행하여 공격 체인이 끊기도록 설계.

이 논문은 AI 에이전트 프레임워크의 보안을 강화하기 위해서는 단순한 패치가 아니라, 시스템의 신뢰 가정을 재정의하고 계층 간 통합된 정책 경계를 구축하는 아키텍처적 변화가 필수적임을 강력하게 주장합니다.