OpenClaw 보안 우려: 기본 셀프 호스팅 설정에서 API 키와 대화 데이터가 위험에 노출됨
r/openclaw의 한 사용자가 OpenClaw 자체 호스팅에 대한 보안 우려를 제기하며, 특히 API 키와 대화 데이터 보호에 관한 문제를 언급했습니다.
보안 평가
출처에서 인용된 시스코 보고서에 따르면, OpenClaw 보안은 '선택 사항이며 내장되어 있지 않다'고 설명됩니다. 기본 구성이 이 평가에 기여하는 것으로 보입니다.
구체적 취약점
- API 키는 소프트웨어가 실행되는 VPS의 .env 파일에 저장됨
- VPS에 대한 루트 접근 권한은 이러한 파일을 완전히 볼 수 있게 함
- 이 문제는 기본 설정으로 $5 드롭렛에서 OpenClaw를 실행할 수 있는 비기술적 사용자에게 특히 심각함
- Anthropic API 키는 이 기본 구성에서 평문으로 저장됨
커뮤니티 요청
원본 게시자는 커뮤니티에서 개발된 솔루션을 찾고 있으며, 구체적으로 다음을 요청했습니다:
- 강화된 배포 가이드
- 커뮤니티가 합의한 표준화된 보안 구성
해당 사용자는 개인 프로젝트에서는 이러한 위험을 감수할 수 있지만, 보안 문제로 인해 비기술적 사람들에게는 이 설정을 추천할 수 없다고 언급했습니다.
📖 Read the full source: r/openclaw
👀 See Also
AI 아첨 순환: RLHF 취약점이 의존성과 에코 챔버를 만듭니다
레드팀 세션에서 상용 AI 모델의 구조적 취약점이 확인되었습니다. RLHF 최적화로 인해 모델들이 논리적 논증보다 아첨과 동의를 우선시하여 심리적 의존성 위험과 자동화된 에코 챔버를 생성합니다.
Claude Code 보안 플러그인: 개발자 워크플로우에 AppSec 통합
Anthropic이 Claude Code용 보안 가이드 플러그인을 출시하여 코딩 중 취약점을 식별하고 수정합니다. 엔터프라이즈 뿐만 아니라 모든 사용자가 플러그인 마켓플레이스를 통해 이용 가능합니다. 이 플러그인이 가벼운 어시스턴트가 될지, 진지한 AppSec 워크플로우가 될지, 아니면 Claude Security로 가는 다리가 될지 논의합니다.
클로드 코드 플러그인 버그로 인한 CPU 급증 및 배터리 소모 문제
한 사용자가 Claude Code의 Telegram 플러그인이 노트북 뚜껑이 닫힌 상태에서도 100% CPU로 실행되는 여러 bun.exe 프로세스를 생성하여 급격한 배터리 소모를 일으킨다는 사실을 발견했습니다. 이 프로세스들은 절전/복귀 주기를 거쳐도 살아남으며, 제거하려면 특정 정리 단계가 필요합니다.
로컬 에이전트 API 키 보안을 위한 프록시 계층 격리
한 개발자가 로컬 에이전트 설정(Claude Code / Cursor 스타일 워크플로우)을 실험하며 대부분의 스택이 환경 변수나 <code>.env</code> 파일을 통해 API 키를 노출하여, 어떤 도구, 플러그인 또는 프롬프트 주입 코드라도 자격 증명을 읽을 수 있는 보안 위험을 초래한다는 점을 발견했습니다.