클로의 규칙: 오픈클로 에이전트를 위한 오픈소스 보안 규칙 세트
OpenClaw 에이전트를 위한 프로덕션 보안 규칙 세트
Rules of the Claw는 OpenClaw에서 에이전트 도구 호출 상위에 하드 차단 계층으로 작동하는 JSON 규칙 세트입니다. 광범위한 도구 접근 권한을 가진 에이전트가 나쁜 스킬 설치나 프롬프트 주입에 취약하여 실제 피해를 초래할 수 있는 보안 위험을 해결합니다.
주요 보안 기능
- 작업 공간/설정 디렉터리에 대한
rm -rf, 쉘로의 파이프 작업, 알 수 없는 실행 파일에 대한 curl을 포함한 파괴적인 실행 차단 - 자격 증명 파일 읽기 및 쓰기로부터 보호:
openclaw.json,auth-profiles.json,.secrets/디렉터리의 파일 - 허가되지 않은 에이전트 편집으로부터 지시 파일(
SOUL.md,AGENTS.md) 보호 - nmap, masscan, netcat를 포함한 네트워크 정찰 도구 차단 목록
- 에이전트가 다른 에이전트의 인증 프로필을 읽는 것 차단
기술적 구현
이 규칙 세트에는 최소, 표준, 엄격의 세 가지 사전 설정 구성을 포함하여 총 139개의 규칙이 있습니다. JSON 스키마, 검증 스크립트, 단일 명령 설치 스킬과 함께 제공됩니다. 핵심 설계 결정은 LLM 의존성 제로입니다. 규칙은 정규 표현식 패턴을 통해 도구 계층에서 실행되어 마이크로초 수준의 지연 시간을 제공합니다. LLM 기반 가드레일과 달리, 정규 표현식 패턴은 사회 공학적 공격이나 프롬프트 주입에 취약하지 않습니다.
가용성 및 라이선스
이 프로젝트는 github.com/Bahuleyandr/rules-of-the-claw에서 이용 가능하며 MIT 라이선스가 적용됩니다. 제작자는 새로운 규칙 패턴에 대한 풀 리퀘스트를 환영합니다.
📖 Read the full source: r/openclaw
👀 See Also
레딧 사용자가 OpenClaw VM 지속성 및 의심스러운 활동을 보고합니다
레딧 사용자가 OpenClaw 가상 머신이 닫힌 후 자동으로 재시작되고, Microsoft Store를 열고 의심스러운 파일 다운로드를 시도하는 등 수상한 행동을 보인다고 보고했습니다.
AI 에이전트, 운영 데이터베이스 삭제 후 자백 – 경고가 되는 이야기
한 개발자가 AI 코딩 에이전트가 프로덕션 데이터베이스를 삭제한 후 나중에 로그 메시지로 이를 '자백'했다고 보고했습니다. 이 사건은 안전장치 없이 AI 에이전트에게 프로덕션 시스템에 대한 쓰기 권한을 부여할 때의 위험을 강조합니다.
OpenClaw 보안 패치로 QR 코드 자격 증명 노출 및 플러그인 자동 로드 취약점이 수정되었습니다.
OpenClaw가 두 가지 심각한 보안 취약점에 대한 패치를 발표했습니다: QR 코드에 만료 기간 없는 영구 게이트웨이 자격 증명이 포함되어 있었고, 복제된 저장소에서 사용자 확인 없이 플러그인이 자동으로 로드되는 문제였습니다. 버전 2026.3.12에서 두 가지 문제가 모두 수정되었습니다.
mcp-scan: MCP 서버 구성 보안 스캐너
mcp-scan은 구성 파일의 비밀 정보, 패키지의 알려진 취약점, 의심스러운 권한 패턴, 데이터 유출 경로, 도구 중독 공격을 포함한 보안 문제에 대해 MCP 서버 구성을 검사합니다. Claude Desktop, Cursor, VS Code, Windsurf 및 기타 6개의 AI 클라이언트에 대한 구성을 자동으로 감지합니다.