OpenClaw 2026.3.28은 중요한 권한 상승을 포함한 8개의 보안 취약점을 패치했습니다.
OpenClaw에 대한 중요한 보안 패치
OpenClaw 2026.3.28에는 Ant AI Security Lab의 3일간 감사 중 발견된 8개의 보안 취약점에 대한 패치가 포함되어 있습니다. 이 감사에서는 총 33개의 문제가 발견되었으며, 이 중 8개가 확인되어 최신 안정 버전에서 수정되었습니다.
패치된 주요 취약점
가장 중요한 문제는 다음과 같습니다:
- 심각한 권한 상승 취약점: 낮은 권한의 운영자가
/pair approve경로를 통해 관리자 접근을 승인할 수 있었음 - 높은 심각도 샌드박스 탈출 취약점:
message도구가 별칭 매개변수를 사용하여 임의의 로컬 파일을 읽도록 속일 수 있었음 - 높은 심각도 노드 페어링 승인 우회 취약점
- 높은 심각도 WebSocket 세션 하이재킹 취약점
영향을 받는 시스템
이러한 취약점은 다중 노드 OpenClaw 설정과 message 또는 fal과 같은 내장 도구 사용자에게 영향을 미칩니다.
보안 권고사항
자세한 정보는 GitHub 보안 권고에서 확인할 수 있습니다:
- 심각 - /pair approve 권한 상승: GHSA-hc5h-pmr3-3497
- 높음 - message 도구 샌드박스 탈출: GHSA-v8wv-jg3q-qwpq
- 높음 - 노드 페어링 승인 우회: GHSA-2x4x-cc5g-qmmg
- 높음 - WebSocket 세션 하이재킹: GHSA-2pr2-hcv6-7gwv
아직 업데이트하지 않았다면 즉시 OpenClaw 2026.3.28로 업데이트하세요.
📖 전체 원문 읽기: r/openclaw
👀 See Also
A2A 보안: 개발자가 OpenClaw 에이전트 간 암호화 통신을 구축한 방법
새로운 프로토콜이 Ed25519 서명을 사용하여 공유 API 키 없이도 OpenClaw 에이전트 간의 안전한 통신을 가능하게 합니다.
Gemini-Cli 및 Gemini Pro 구독과 함께 Google 계정 사용의 위험성 탐구
Gemini-Cli와 Gemini Pro 구독이 Google 계정에 일부 위험을 초래할 수 있습니다. 이러한 AI 도구를 사용할 때 발생할 수 있는 취약점에 대해 알아야 할 사항은 다음과 같습니다.
악성 PyTorch Lightning 패키지, 자격 증명 탈취 및 npm 패키지 웜 공격
PyPI 패키지 'lightning' 버전 2.6.2 및 2.6.3에 Shai-Hulud 테마의 악성코드가 포함되어 자격 증명, 토큰, 클라우드 비밀을 탈취하고, 주입된 JavaScript 페이로드를 통해 npm 패키지로 확산됩니다.
OpenClaw Security: AI 에이전트를 보호하는 13가지 실용적인 단계
레딧 게시물에서 OpenClaw 설치를 위한 13가지 보안 조치를 설명합니다. 여기에는 별도의 머신에서 실행하기, 네트워크 격리를 위해 Tailscale 사용하기, Docker에서 서브에이전트 샌드박싱하기, 사용자 접근을 위한 허용 목록 구성하기 등이 포함됩니다.