결론부터 말한다. OpenClaw 보안에서 가장 널리 퍼진 안전 수칙 — “로컬에서만 돌리니까 안전하다” — 은 이 취약점 앞에서 통하지 않았다. 게이트웨이가 루프백(127.0.0.1)에만 묶여 있어도, 피해자의 브라우저가 안에서 바깥으로 연결을 걸면 그대로 뚫렸다. 문은 잠갔는데 우편함을 안 잠근 셈이다. 이 글은 그 사고가 실제로 얼마나 컸는지 날짜가 붙은 숫자로, 커뮤니티가 진짜 못 믿는 게 뭔지, 떠도는 자가호스팅 조언 중 뭐가 맞고 뭐가 틀렸는지, 그리고 이 운영 방식이 거기서 어디쯤 서 있는지를 정리한다.
🔴 무슨 일이 있었나 — 날짜가 붙은 숫자로
2026년 1월 29일, OpenClaw는 CVE-2026-25253(CVSS 8.8)을 패치했다. Control UI가 쿼리 문자열의 gatewayUrl 값을 검증 없이 받아 자동으로 WebSocket 연결을 걸고, 그 과정에서 인증 토큰을 함께 보내는 구조였다. 공격자가 악성 링크 하나만 보내면 끝이었다.
중요한 건 그다음이다. 공식 보안 권고문은 이렇게 적어놨다 — “이 취약점은 루프백으로만 바인딩된 인스턴스에서도 그대로 통한다. 피해자의 브라우저가 바깥으로 연결을 거는 쪽이기 때문이다.” 게이트웨이가 외부에 노출되지 않았어도, 브라우저가 안과 밖을 잇는 다리가 돼버리면 소용없다는 뜻이다.
패치 직후, 노출 규모를 재는 조사가 쏟아졌다. 숫자만 따로 보면 서로 다른 조사처럼 보이지만, 실제로는 같은 이야기가 시간에 따라 불어난 것이었다.
| 시점 | 노출/취약 인스턴스 | 출처 |
|---|---|---|
| SecurityScorecard 초기 검색(타이틀 매칭 기준) | 24,034대 | SecurityScorecard |
| SecurityScorecard 최종 발행 수치(파비콘 핑거프린팅 기준, 2026-02-09) | 40,214대 (고유 IP 42.9K, 82개국) · RCE 취약 15.2K · 과거 침해 이력 연관 53.3K | SecurityScorecard |
| The Register 보도 시점 (같은 날, 기사 작성 몇 시간 전 STRIKE 리포트 발행 대비) | 135,000대+ · RCE 취약 12,812 → 50,000대+로 증가 | The Register |
The Register는 이 증가를 직접 짚었다 — 기사 작성 시점 기준 13만 5천 대라는 수치는, 같은 날 앞서 STRIKE 리포트가 발행됐을 때의 4만 대 수준에서 불과 몇 시간 만에 벌어진 격차라고 지적했다. RCE 취약 인스턴스도 같은 기간 12,812대에서 5만 대 이상으로 늘었다고 전했다. “OpenClaw는 기본 설정으로 0.0.0.0:18789에 바인딩된다. 즉 모든 네트워크 인터페이스, 공인 인터넷을 포함해서 듣고 있다는 뜻이다” — SecurityScorecard 리포트 본문에 명시된 내용이다. 노출이 예외가 아니라 기본값이었다는 얘기다.
😤 커뮤니티가 실제로 못 믿는 것
이미 패치된 CVE 하나 때문에 신뢰가 무너진 게 아니다. 세 가지가 겹쳤다.
첫째, 기본 설정이 노출이었다는 설계 자체. 둘째, 마켓플레이스 신뢰가 무너졌다. 보안 업체 Koi는 ClawHub(OpenClaw의 스킬 마켓플레이스)에서 악성 스킬을 찾아냈고, 그 수가 341개에서 824개로 늘었다고 후속 보고했다. AMOS 키체인 스틸러, 리버스 셸, 타이포스쿼팅까지 섞여 있었다.
셋째, “패치했으니 끝”이 아니었다는 점. 2026년 4월, CVE-2026-44112가 나왔다 — 샌드박스 파일시스템 쓰기 작업에서 심볼릭 링크를 조작해 경계 밖에 쓰기가 가능해지는 TOCTOU(time-of-check/time-of-use) 경쟁 조건이다. 2026.4.22에서 패치됐다. CVSS 점수는 출처마다 다르다 — NIST는 6.3(MEDIUM)으로, VulnCheck는 3.1 기준 9.6(CRITICAL), 4.0 기준 8.4(HIGH)로 매겼다. 어느 쪽이 맞는지 이 글이 판정할 문제는 아니지만, 하나의 숫자로 뭉개서 인용하지 않는 게 정직하다.
🧭 떠도는 자가호스팅 조언, 뭐가 맞고 뭐가 틀렸나
깨진 신화부터 보자. “로컬에서만 돌리니까 안전하다”는, 위에서 본 것처럼 이 취약점 앞에서 그냥 틀렸다. 브라우저가 다리가 되는 공격 앞에서는 루프백 바인딩이 의미가 없다.
또 하나 자주 도는 조언 — “에이전트한테 자기 설정을 점검시키면 된다.” 이건 안심시키는 척하는 거짓 안전이다. 점검을 맡기는 대상(에이전트)이 바로 신뢰 여부가 걸려 있는 그 대상이기 때문이다. 자기가 자기를 감사하는 구조는 검증이 아니다.
반대로 맞는 조언도 있다. 보안 컨설팅 업체 Oso가 정리한 자가호스팅 하드닝 원칙은 이렇다: 별도 머신·VM·컨테이너로 격리할 것, 프로덕션 네트워크에 두지 않을 것, 제어 평면을 인터넷에 직접 노출하지 말고 VPN·강한 인증·엄격한 방화벽 규칙을 쓸 것(Tailscale 언급), 모든 도구를 화이트리스트 뒤에 두고 기본은 거부, 읽기 전용을 기본값으로, 서드파티 스킬 자동 설치·자동 로드는 끌 것, 그리고 “즉시 멈출 방법”을 반드시 갖출 것.
🔧 강화 운영 방식 — 어디쯤 서 있나
기존에 WSL2 게이트웨이와 Mac Mini 원격 노드를 SSH 터널로 연결해 OpenClaw를 운영해 왔다. 이번에 점검하면서 위 목록과 하나씩 맞춰봤다.
게이트웨이는 루프백에만 바인딩돼 있고, 인증 토큰도 걸려 있다. macOS LaunchDaemon이 SSH 터널을 자동으로 유지해서, Mac Mini 노드가 WSL2 게이트웨이의 WAN IP로 직접 접속하는 경로 자체가 없다. 여기까지는 Oso 목록의 “격리”와 “WAN 미노출” 항목을 충족한다. 다만 이 구조도 위에서 확인한 사실 앞에서는 완전하지 않다 — 루프백 바인딩은 브라우저-다리 공격을 막지 못한다. 이번 개정에서 인증 토큰 로테이션 주기를 줄이고, 서드파티 스킬 자동 설치를 껐다. “즉시 멈출 방법”은 아직 수동이라 다음 정리 대상으로 남겨둔다.
🤔 그렇다면 OpenClaw는 정말 못 쓸 물건인가
정직하게 짚어야 할 반론이 셋 있다.
첫째, “돌이킬 수 없이 망가졌다”는 2월 공포를 과대해석한 것이다. 2026.1.29 패치는 실제로 나갔고, 2026년 5월 15일 발행된 공식 로드맵(코어 메인테이너 Jesse Merhi 서명)에는 경계 침범을 막는 fs-safe 패턴 라이브러리, 네트워크 아웃바운드를 통제하는 Proxyline, 악성으로 확인된 릴리스를 자동 격리하는 ClawHub 격리 시스템, Slack·Telegram·iMessage로 승인을 라우팅하는 exec 승인 체계, 어드바이저리에 연결된 148개 규칙의 OpenGrep 룰팩까지 구체적으로 나와 있다. 입 닫고 버티는 게 아니라 공개된 로드맵이 실제로 돌아가고 있다.
둘째, 격리에는 한계가 있다. VM이든 컨테이너든 네트워크 경계를 아무리 좁혀도, 에이전트가 신뢰하고 가져온 외부 콘텐츠(웹 페이지, 이메일, 문서) 안에 숨은 악성 지시를 실행하는 간접 프롬프트 인젝션은 막지 못한다. 격리는 “이 프로세스가 시스템의 다른 부분을 건드리지 못하게” 막는 것이지, “이 에이전트가 속지 않게” 막는 게 아니다.
셋째, VM급 격리는 공짜가 아니다. 컨테이너보다 부팅 지연이 확실히 늘어난다 — 정확한 배수를 인용할 만큼 검증된 자료를 이번 조사에서 찾지 못해서, 숫자는 밝히지 않는다. 다만 이 대가를 감당할 가치가 있는 프로필과, 컨테이너 격리로 충분한 프로필은 다르다는 것만은 분명하다.
✅ 그래서, 어떤 격리 등급을 골라야 하나
업계 조언과 실제 운영 사례를 겹쳐보면, 프로필별로 필요한 등급이 갈린다.
| 자가호스팅 프로필 | 권장 격리 등급 | 핵심 조치 |
|---|---|---|
| 캐주얼 1인 홈랩 (외부 접속 불필요) | 프로세스/컨테이너 격리 + 루프백 바인딩 | 인증 토큰 필수, ClawHub 자동 설치 끔, 브라우저-다리 공격은 별도로 의식할 것 |
| 상시 노출 서비스 (원격 접속 필요) | 컨테이너/VM 경계 + VPN 터널 | WAN 직접 바인딩 금지, Tailscale·SSH 터널, 킬 스위치 마련 |
| 소규모 팀 / 프로덕션 | 전용 머신 또는 VM 전체 분리 | 최소권한 API, 서명된 스킬만 허용, 이상 탐지 로깅 |
어느 등급을 고르든 하나는 공통이다 — “로컬이니까 안전하다”는 문장을 보안 근거로 쓰지 말 것. 그 문장이 지켜주지 못한 사고가 이미 한 번 있었다. 검증되지 않은 건 검증되지 않았다고 써야 한다 — VM 지연 배수도, 44112의 정확한 심각도도, 이 글은 억지로 결론 내리지 않았다.
