기술 요약: OpenClaw 의 보안, 개인정보 보호 및 윤리적 위험

문제 제기

실제 환경에서 복잡한 다단계 작업을 수행할 수 있는 자율형 AI 에이전트의 등장은 기존 대화형 시스템의 한계를 넘어선 중대한 위험을 초래합니다. OpenClaw는 대규모 언어 모델 (LLM) 을 영속적 세션, 브라우저 상호작용, 메시징 채널 및 확장 가능한 기능 (skills) 과 연결하는 오픈소스 로컬 실행형 AI 에이전트 플랫폼으로, 이러한 전환을 잘 보여줍니다. OpenClaw 는 개인 비서, 사무 자동화 및 크로스 플랫폼 작업 관리 분야에서 상당한 유용성을 제공하지만, 그 아키텍처는 높은 권한을 가진 공격 표면을 생성합니다.

본 논문이 다루는 핵심 문제는 OpenClaw 의 설계가 에이전트 보안의 "두 가지 규칙 (Rule of Two)"을 위반한다는 점입니다. 즉, 신뢰할 수 없는 입력을 동시에 처리하고, 민감한 시스템 (파일 시스템, 인증된 세션) 에 접근하며, 되돌릴 수 없는 외부 상태 변화를 생성합니다. 본 논문은 이러한 구성이 에이전트를 조작하여 해로운 행위를 수행하게 하거나, 민감한 데이터를 유출하게 하거나, 의미 있는 사용자 동의 없이 행동하게 만드는 고유한 취약점을 생성한다고 주장합니다. 또한, 서드파티 기능 (skills) 과 영속적 메모리의 통합은 공급망 위험과 사용자들이 예상하는 것보다 훨씬 광범위한 개인정보 보호 경계를 초래합니다.

방법론

본 논문은 보안, 개인정보 보호, 윤리, 추적 가능성이라는 네 가지 차원을 중심으로 OpenClaw 를 조사하기 위한 체계적인 분석 프레임워크를 사용합니다. 방법론은 다음과 같습니다:

1. 아키텍처 분해: OpenClaw 의 다섯 가지 핵심 구성 요소를 분석합니다: 게이트웨이 (라우팅 및 접근 제어), 에이전트 런타임 (상태 유지 실행), 도구 계층 (외부 리소스와의 상호작용), 기능 메커니즘 (서드파티 모듈을 통한 확장성), 그리고 영속적 세션 (장기 상태 저장).
2. 위협 모델링: 적대자 신원 (외부 사용자, 콘텐츠 제공자, 기능 개발자), 능력 (간접 프롬프트 주입, 상태 오염, 공급망 공격), 그리고 목표 (목표 장악, 데이터 유출, 파괴적 실행) 를 기반으로 위협 모델을 정의합니다.
3. 위험 매핑: 기존 보안 감사 (예: Chen 등, Ying 등) 및 벤치마크 연구 (예: InjecAgent, AgentDojo) 에서의 실증 데이터를 활용하여 특정 아키텍처 특징과 대표적인 공격 시나리오를 상관관계로 분석하고 취약점 발생률을 정량화합니다.
4. 맥락 분석: 이론적 위험이 실제 워크플로우에서 어떻게 나타나는지 보여주기 위해 대표적인 응용 시나리오 (의사소통 조정, 정보 검색, 기술 작업 실행) 를 검토합니다.

주요 기여

1. OpenClaw 및 신뢰 경계에 대한 구조적 개요

본 논문은 OpenClaw 의 아키텍처를 종합적으로 분해하여 위험이 발생하는 특정 신뢰 경계를 식별합니다. 플랫폼의 가치인 채널 간 원활한 통합, 영속적 메모리, 도구 실행이 동시에 주요 보안 및 개인정보 보호 취약점을 정의한다는 점을 강조합니다.

2. 포괄적인 보안 위험 분석

저자들은 주요 보안 위험을 식별하고 분류합니다:

• 간접 프롬프트 주입: 웹 페이지, 문서, 메시징 채널에서 신뢰할 수 없는 콘텐츠를 수신하는 시스템의 능력은 검색된 콘텐츠에 포함된 악성 지시가 에이전트 행동을 변경하는 간접 주입에 매우 취약하게 만듭니다.
• 도구 및 권한 위험: 도구 계층은 세분화된 권한 분리를 결여하여 최소 권한 원칙을 위반합니다. 도구들은 오해된 의도나 주입된 지시에 기반하여 되돌릴 수 없는 작업 (파일 삭제, 메시지 발송 등) 을 수행할 수 있습니다.
• 기능 공급망 취약점: ClawHub 를 통한 기능의 공개 배포는 악성 코드 및 버전 관리되지 않은 API 변경으로 인한 인터페이스 불안정성을 포함한 공급망 위험을 초래합니다.
• 다중 세션 전염: 영속적 상태는 적대적 영향이 세션과 사용자 간에 전파되도록 허용하여, 침해된 세션이 향후 상호작용에 영향을 미치는 "전염" 효과를 생성합니다.

3. 개인정보 보호 경계 및 아키텍처 분석

본 논문은 실행 가능한 에이전트의 맥락에서 개인정보 보호를 재정의하며, 개인정보 보호는 단순히 호스팅 선택의 문제가 아니라 아키텍처적 문제라고 주장합니다. 주요 발견 사항은 다음과 같습니다:

• 확장된 데이터 도달 범위: 좁은 사용자 요청 (예: "이메일에 답장") 이 과도하게 광범위한 도구 권한으로 인해 광범위한 데이터셋 (메일함 기록, 연락처, 로컬 파일) 에 대한 접근을 유발할 수 있습니다.
• 영속적 메모리 위험: 메모리를 평문 파일 (예: MEMORY.md) 에 장기 저장하는 것은 사용자 습관, 건강 데이터, 사회적 패턴에 대한 영구 기록을 생성하여 로컬 침해나 의도하지 않은 맥락 재사용을 통한 노출 위험을 증가시킵니다.
• 플러그인 및 교차 맥락 유출: 프로세스 내에서 실행되는 네이티브 플러그인과 공유 환경에서의 약한 세션 격리는 사용자 및 맥락 간 데이터 유출을 허용합니다.

4. 윤리적 책임성 도전

분석은 대리권 위임에서 비롯된 윤리적 우려로 확장됩니다:

• 인지 부채 및 과도한 위임: 에이전트가 우선순위 설정 및 행동과 관련된 의사결정 역할을 맡으면서 사용자가 점차 감시를 잃게 되어, 사용자가 접근하는 데이터나 행동을 주도하는 논리를 인지하지 못하는 "인지 부채"가 발생합니다.
• 책임 확산: 에이전트 실행의 분산된 성격 (사용자 지시 + 모델 추론 + 도구 실행 + 플러그인 행동) 은 해로운 결과에 대한 책임 소재를 규명하기 어려운 "책임 공백"을 생성합니다.
• 비대칭적 동의: 한 사용자의 에이전트가 공유 환경 (예: 팀용 Slack) 에 접근하도록 승인하는 행위는 동의하지 않는 제 3 자의 데이터와 일정을 노출시킬 수 있습니다.

5. 신뢰성 및 추적 가능성 평가

본 논문은 실행 가능한 에이전트의 경우 신뢰성 (일관된 실행 간 성능) 과 추적 가능성 (실행 경로 재구성 능력) 이 중요하다고 강조합니다. 현재 시스템은 세분화된 기원 추적 (provenance) 이 부족하여 실패를 진단하거나 사후에 행동을 감사하기 어렵다고 지적합니다.

결과 및 증거

본 논문은 최근 연구들의 실증 데이터를 종합하여 이러한 위험의 심각성을 정량화합니다:

• 프롬프트 주입: 벤치마크에 따르면 최첨단 LLM 은 간접 주입에 대해 높은 실패율을 보이며 (특정 설정에서 공격자의 성공률 47%), OpenClaw 는 궤적 기반 보안 감사에서 57% 의 견고성만 달성했습니다.
• 의도 오해: 보안 감사에서 의도 오해에 대한 통과율은 0% 였으며, 이는 모호한 사용자 의도가 포함된 모든 테스트 사례가 안전하지 않은 결과로 이어졌음을 의미합니다.
• 도구 취약점: OpenClaw 의 커뮤니티 기여 도구의 약 26% 가 보안 취약점을 포함하는 것으로 발견되었습니다.
• 방어 미흡: 현재 방어 메커니즘 (훈련 기반, 탐지 기반, 프롬프트 엔지니어링) 은 불충분하며, 대부분의 제안된 방어책에 대한 공격 성공률은 90% 를 초과합니다.
• 공급망 불안정성: OpenClaw 의 최근 아키텍처 리팩토링은 기존 기능 인터페이스의 일괄 실패를 초래하여 생태계의 하위 호환성 보장 부재를 강조했습니다.

중요성 및 주장

본 논문은 OpenClaw 와 관련된 위험이 단순히 이론적인 것이 아니라, 계획, 메모리, 도구 사용을 통합하는 실행 가능한 에이전트의 아키텍처 설계에 내재되어 있다고 주장합니다. 이 연구의 중요성은 다음과 같습니다:

1. 초점 이동: "모델 환각"에서 "행동 가능한 해악"으로 담론을 이동시켜, 에이전트의 경우 되돌릴 수 없는 행위를 수행할 수 있는 능력이 텍스트 전용 시스템보다 보안과 개인정보 보호를 더 중요하게 만든다는 점을 강조합니다.
2. 아키텍처 결정론: 로컬 배포가 본질적으로 개인정보 보호나 보안을 보장하지 않으며, 오히려 권한, 저장소, 격리의 구체적인 구성이 위험 프로파일을 결정함을 입증합니다.
3. 시스템적 해결책 요구: 고립된 안전 장치는 불충분하다고 주장합니다. 저자들은 연구자, 개발자, 규제 기관의 공동 노력을 통해 다음을 갖춘 시스템을 구축할 것을 요구합니다:
   • 권한 분리: 도구와 기능에 대한 엄격한 최소 권한 접근.
   • 샌드박스 실행: 고위험 작업 격리.
   • 인간 개입 (Human-in-the-Loop): 되돌릴 수 없는 작업에 대한 필수 승인.
   • 추적 가능성: 감사 및 디버깅을 위한 구조화된 기원 추적.
   • 윤리적 거버넌스: 동의, 책임성 보장 및 과도한 의존 방지를 위한 메커니즘.

본 논문은 신뢰할 수 있는 AI 에이전트를 구축하려면 아키텍처, 배포, 사용 간의 결합을 해결하여 이러한 시스템이 설계 단계에서 보안을 갖추고, 운영 시 개인정보 보호를 유지하며, 인간의 이익과 윤리적으로 정렬되도록 해야 한다고 결론지었습니다.