OpenClaw의 노출된 제어판: 원격 코드 실행으로 15,200개 호스트 플래그 지정

SecurityScorecard의 STRIKE 위협 인텔리전스 팀은 2026년 2월 초 하루 동안 공용 인터넷에서 OpenClaw 제어 패널을 스캔했고, 2월 9일에는 82개국에서 응답한 42,900개의 고유 IP 주소를 발견했으며 그중 15,200개가 원격 코드 실행에 취약한 것으로 보인다고 보고했습니다. Cyber Security News는 기록에 기재된 날짜인 2026년 2월 10일에 이 결과를 보도했습니다. 이 패널들은 소유자의 파일 접근 권한으로 실행되는 자체 호스팅 AI 에이전트의 게이트웨이 콘솔이므로, 같은 연구에 따르면 침해된 인스턴스는 SSH 키, 클라우드 자격 증명 및 활성 브라우저 세션을 넘겨줍니다. 이 기사를 위해 검토한 출처에는 이름이 밝혀진 피해자도, 확인된 대규모 장악도 나타나지 않습니다. 전체 기록은 심각도 및 신뢰도 등급과 함께 Orca AI Incident Archive 안에서 같은 달의 다른 OpenClaw 항목들 옆에 있습니다.

이 수치를 주의 깊게 읽을 가치가 있는 이유는 그것이 헤드라인에 나온 수치가 아니기 때문이다. 15,200이라는 숫자는 STRIKE가 악용 가능하다고 판단한 하위 집합이지, 노출된 것으로 확인한 전체 규모가 아니다. 같은 팀은 총계를 42,900개의 고유 IP 주소로 제시했으며, 자체 실시간 대시보드인 declawed.io에서는 여전히 집계가 계속되고 있었다.

스캔이 집계한 것과 그 숫자들이 왜 서로 맞지 않는지

STRIKE의 방법은 로그인 시도가 아니라 핑거프린팅이었다. 팀은 OpenClaw가 세 가지 브랜딩 시기에 걸쳐 제공하는 favicon 파일을 대조하고, TLS 인증서 일반 이름, 역방향 DNS 및 인증서 투명성 로그를 교차 참조했으며, SecurityScorecard 자체의 침해 및 위협 행위자 데이터를 끌어왔다. 공개된 진행 과정은 상황이 얼마나 빠르게 움직였는지를 보여주는 유용한 척도다: 제목 기반 검색으로 24,034개 인스턴스를 찾았고, favicon 핑거프린팅으로 40,214개를 확인했으며, 그중 23,505개는 활성 제어판 인터페이스를 보여주었다(SecurityScorecard, 2026년 2월 9일).

보고서의 경영진 요약이 제시하는 헤드라인 수치는 다음과 같다. 82개국에 걸친 42.9K개의 고유 IP 주소, RCE에 취약한 것으로 표시된 15.2K개 인스턴스(보고서는 이를 관측된 배포의 35.4%로 표현한다), 알려진 CVE와 연관된 24K+개 인스턴스, 그리고 이전 침해 활동과 상관관계가 있다고 주장된 53.3K개 인스턴스다. 마지막 수치는 그것이 포함되어야 할 42.9K 총계보다 크며, SecurityScorecard는 게시물에서 이 불일치를 설명하지 않는다. 보고서는 또한 수치가 15분마다 갱신된다고 말하는데, 이는 단일 스냅샷이 움직이는 표적임을 의미한다.

같은 연구에 대한 두 번째 독립적 해석이 같은 날 나왔으나 서로 일치하지 않는다. {{KEEP}}Infosecurity Magazine{{/KEEP}}은 28,663개의 고유 IP 주소와 연관된 40,214개의 노출 인스턴스, RCE를 통해 익스플로잇 가능한 12,812개(관측된 배포의 63%로 제시), 이전 침해 활동과 연관된 549개 인스턴스, 알려진 취약점이 있는 1,493개를 보도했다(Phil Muncaster, 2026년 2월 9일). 두 보도는 침해 연관성에서 거의 100배 차이로 엇갈리고, 실제로 익스플로잇 가능한 호스트 수에 대한 추정치는 거의 두 배 차이가 난다. 둘 다 같은 모집단을 같은 분모로 설명하고 있을 수는 없으며, 어느 출처도 어떤 분모를 사용했는지 밝히지 않는다. 아카이브 자체의 수치인 15,200은 이 중 첫 번째 보도에서 나온 것이다.

에이전트의 제어판은 웹 페이지가 아닙니다.

여기서 포트가 잘못 바인딩된 것이 중요한 이유는 그 뒤에 무엇이 있는지에 달려 있습니다. OpenClaw 게이트웨이는 에이전트가 행동할 때 사용하는 자격 증명을 보관합니다. ~/.openclaw/credentials의 자격 증명 디렉터리, ~/.ssh의 SSH 키, 활성 세션이 있는 브라우저 프로필, 그리고 에이전트가 대화하는 메시징 계정이 그것입니다. SecurityScorecard의 목록은 공격자가 지속성을 위해 악용할 수 있는 cron 작업과 하트비트 훅으로 이어지며, 이 회사가 에이전트의 메모리 컨텍스트라고 부르는 것, 즉 에이전트가 소유자에 대해 아는 모든 것으로 이어집니다.

그 상속이 바로 실제 발견 사항이며, 보고서는 그것을 꾸밈없이 명시한다: "에이전틱 AI는 새로운 종류의 취약점을 만들지 않는다. 그것은 오래된 취약점을 상속하고 그 영향을 증폭시킨다." 에이전트는 취약점이 아니다. 그것은 평범하게 노출된 관리자 패널이 이제 지니게 되는 권한이다.

기본 바인딩 주장, 그리고 그것이 들리는 것보다 좁은 부분

SecurityScorecard의 인과적 주장은 단도직입적입니다. "OpenClaw는 기본 설정 상태에서 0.0.0.0:18789에 바인딩되며, 이는 공용 인터넷을 포함한 모든 네트워크 인터페이스에서 수신 대기한다는 뜻이다. 이렇게 강력한 도구라면 기본값이 127.0.0.1(로컬호스트 전용)이어야 한다. 그러나 그렇지 않다."

그것은 한 배포 경로에는 해당하지만 다른 경로에는 해당하지 않으며, 이 차이는 자신이 영향을 받는지 판단하려는 사람에게 중요하다. 태그 v2026.1.29의 프로젝트 자체 docker-compose.yml에서 게이트웨이 컨테이너는 --bind ${OPENCLAW_GATEWAY_BIND:-lan} 플래그로 시작되는데, 이는 기본값이 LAN 주소임을 뜻하며, 같은 파일이 호스트의 18789 포트를 주소 접두사 없이 게시하므로 모든 호스트 인터페이스에 바인딩된다. 네이티브 명령줄 게이트웨이는 다르다. 같은 태그의 src/cli/gateway-cli/run.ts에서 바인드 값은 플래그도 구성 설정도 없을 때 "loopback"으로 폴백하며, 프로세스는 공유 비밀 없이 비루프백 주소에서 시작하는 것을 거부한다. explain-openclaw 저장소에 게시된 커뮤니티 코드 리뷰도 같은 구분을 지적하며, "즉시 사용 가능한(out of the box)"이라는 표현이 compose 기본값과 네이티브 CLI 기본값을 혼동한다고 주장한다.

이것이 스캔이 발견한 노출 범위를 줄여 주지는 않습니다. 프로젝트 자체의 compose 파일로 클라우드 호스트에 배포된 컨테이너는 파비콘 스캔이 정확히 포착할 만한 배포 형태이며, 보고서가 다수로 집계한 이름 변경 이전의 오래된 빌드는 현재의 두 기본값 중 어느 것보다도 더 관대했을 가능성이 큽니다. 다만 이는 운영자에게 실질적인 질문이 OpenClaw가 본질적으로 공개 접속 가능한지 여부가 아니라, 그 두 경로 중 어느 것을 사용했는지라는 점을 의미합니다.

CVE 3개, 패치 릴리스 1개, 그리고 누가 세느냐에 따라 달라지는 점수

STRIKE가 언급한 세 가지 취약점은 모두 버전 2026.1.29에서 수정되었으며, 해당 버전의 GitHub 릴리스는 2026년 1월 30일 05:26 UTC로 타임스탬프가 찍혀 있습니다. CVE-2026-25253은 gatewayUrl 매개변수를 통한 원클릭 RCE로, NVD 기록에서 8.8점을 받았으며 이 점수는 MITRE가 제공한 것입니다. CVE-2026-24763은 PATH 조작을 통한 Docker 샌드박스 탈출로, 역시 8.8점이며 GitHub의 권고에서 점수가 매겨졌습니다. CVE-2026-25157은 macOS 앱의 SSH 명령 주입입니다.

세 번째 점수에서 유통되는 숫자들이 서로 갈라진다. SecurityScorecard의 게시물과 Cyber Security News의 보도는 모두 이를 7.8로 제시한다. 2026년 11월 5일에 확인한 NVD 기록에는 해당 이슈의 CNA 역할을 하는 GitHub 권고에서 나온 7.7이, 그리고 주 평가 기관인 NIST에서 나온 7.5가 실려 있다. 점수들은 서로 가깝지만 같은 숫자는 아니며, 업계 보도와 함께 유통되는 7.8은 현재 NVD 항목 두 곳 어디에도 없는 값이다.

CVE-2026-25253의 한 가지 속성은 별도의 문장으로 다룰 가치가 있습니다. 그것이 완화 조치에 대한 조언을 바꾸기 때문입니다. SecurityScorecard는 토큰 탈취 연쇄가 {{1}}"인스턴스가 localhost에 바인딩되어 있더라도"{{/1}} 작동한다고 지적합니다. 127.0.0.1에 바인딩하면 스캔이 측정한 직접 접근 경로는 닫힙니다. 그러나 그 경로는 닫히지 않습니다.

수정 릴리스는 단지 일련의 CVE 패치만은 아니었다. 그 릴리스 노트에는 호환성을 깨뜨리는 변경 사항이 기록되어 있다. 게이트웨이 인증 모드 "none"이 제거되었고 게이트웨이가 이제 토큰 또는 비밀번호를 요구하며, 인증 없이 게이트웨이가 노출될 때 표시되는 doctor 경고도 함께 기록되어 있다. 아직 스스로를 Clawdbot 또는 Moltbot이라고 부를 만큼 오래된 빌드는 이 모든 변경보다 앞선다.

78%는 버전 문자열이 아니라 브랜딩 라벨입니다.

CVEs가 광범위하게 패치되지 않았다는 기록의 주장은 대리 지표에 기대고 있다. STRIKE는 23,505개의 활성 패널을 제공된 제목별로 분류했다. Clawdbot Control 9,280개(39.5%), Moltbot Control 9,048개(38.5%), OpenClaw Control 5,177개(22.0%)였다. 이로부터 보고서는 노출된 인스턴스의 78%가 "중요 보안 패치보다 앞선 이름을 가진 구버전을 실행해 왔다"고 결론 내리며, 다음 문장에서 "suggests"라는 단어를 덧붙인다.

그것은 합리적인 추론이며, 여전히 추론일 뿐이다. 패널 제목은 빌드가 스스로에 대해 기록하는 문자열이고, 보고서는 버전 히스토그램을 공개하지 않는다. 배포 환경이 현재 제목을 제공하면서도 여전히 몇 달 뒤처져 있을 수 있으며, 보고서 자체도 OpenClaw 브랜딩의 22%가 "여전히 오래된 빌드일 수 있다"고 말할 때 이를 인정한다. 노출된 배포 환경 대부분이 오래되었다는 발견의 방향은 패치 수준의 전수 조사가 아니라 생태계의 형태에 의해 뒷받침된다.

위협 행위자 관련 문구와 그에 딸린 유의사항

기록 중 맥락에서 벗어나 인용될 가능성이 가장 높은 부분이므로, 1차 출처가 정확히 무엇을 말하는지 밝혀 둘 가치가 있다. STRIKE는 일부 인스턴스 IP가 이전에 특정 그룹에 귀속된 인프라와 연관된다고 쓰며, Kimsuky, APT28, Salt Typhoon, Sandworm, APT41을 나열한다. 그런 다음 그 의미를 정의한다. 즉 해당 IP 주소 또는 그 호스팅 인프라가 이전에 그 그룹의 활동과 관련하여 관찰된 적이 있다는 뜻이며, 따라서 "Kimsuky와 연결된" 인스턴스는 그 호스팅이 위협 인텔리전스 피드에서 표시된 인스턴스이다. 그리고 요약본들이 빠뜨린 문장을 덧붙인다. "이것은 정보 신호이지, 직접 운영의 증거가 아니다."

비율은 분모가 별도인 별개의 측정치다. SecurityScorecard는 보강된 인스턴스 중 약 33.8%가 침해 상관관계를 보인다고 말하는데, 이는 호스팅 조직이 이전 데이터 침해 기록에 등장한 적이 있음을 뜻한다고 정의한다. 이는 해당 호스트의 보안 이력에 관한 진술이지, APT가 그 패널을 운영한다는 진술이 아니다. Cyber Security News 보도는 이를 "노출된 인프라의 약 33.8%가 알려진 위협 행위자 활동과 상관관계가 있다"라고 표현하며, 아카이브의 요약도 그런 프레이밍의 한 버전을 담고 있다. 원출처에 비추어 읽으면, 33.8%는 보강된 하위 집합 내의 침해 상관관계이고, 위협 행위자 상관관계는 공급업체가 명시적으로 증거로 취급하기를 꺼리는, 이름이 붙지 않은 더 작은 수치다.

실제로 무엇이 피해를 입었나요?

아카이브는 이 기록을 실제 피해가 발생한 사건으로, 심각도 높음 및 신뢰도 A로 평가한다. 인용된 출처가 문서화하는 것은 사상자 수가 아니라 노출이다. 공개 인터넷에서 접근 가능한 라이브 에이전트, 인증되지 않은 패널 뒤에 놓인 자격 증명, 그리고 운영자가 이미 유출 데이터에 등장한 호스트의 상당 비율이 그것이다. SecurityScorecard도 Infosecurity Magazine도 피해자, 몸값, 탈취된 데이터 세트, 또는 노출된 패널로 추적된 단 한 건의 확인된 장악을 지목하지 않는다. 기록된 피해는 대규모로 측정된 상존하는 기회이며, 여기에 보강된 호스트의 3분의 1이 이미 다른 곳에서 침해당했다는 벤더 자체의 상관관계가 더해진다.

그 구분은 읽는 과정에서도 유지되어야 한다. 이 정도 규모의 노출 발견은 해당 노출이 실제로 이용되었다는 증거가 아니며, 여기서 검토한 출처들도 그렇게 주장하지 않는다.

연구자들이 운영자들에게 하라고 지시한 것

SecurityScorecard의 교정 목록은 구체적이며 대부분 기본 설정을 되돌리는 것에 관한 것입니다. v2026.2.1 이상으로 패치하십시오. 이 버전은 세 가지 CVE를 수정한 릴리스보다 이후 버전입니다. gateway.bind를 "127.0.0.1"로 설정하십시오. 개방 포트 대신 Tailscale, WireGuard, Cloudflare Tunnel 또는 ngrok을 통해 패널에 접속하십시오. 에이전트에 저장된 모든 토큰과 API 키를 교체하고, 이미 침해된 것으로 간주하십시오. openclaw security audit deep을 실행하십시오. 프레임워크를 절대 root로 실행하지 마십시오. 보안 팀의 경우 경계에서 포트 18789를 차단하고 내부 워크스테이션에서 나가는 명령 및 제어(C2) 형태의 아웃바운드 트래픽을 감시하십시오.

그중 두 가지는 놓치기 쉬우므로 강조할 필요가 있습니다. 자격 증명 교체는 침해 증거에 조건부가 아닙니다. 키를 노출했을 패널이 바로 그 키를 인증하는 동일한 패널이기 때문입니다. 그리고 패치 최소 기준은 2026.1.29가 아닙니다. 세 CVE가 수정된 곳이 바로 그 버전이지만, STRIKE 자체의 권고는 2026.2.1 이상이기 때문입니다.

연구진은 카운터도 공개했다. declawed.io의 declawed 대시보드는 노출 건수, 인스턴스별 CVE 상태, 침해 상관관계를 15분마다 갱신해 보여주는데, 이처럼 빠르게 움직이는 수치를 헤드라인이 아니라 추세로 읽을 수 있는 유일한 방법이다.

확립됨, 보고됨, 미해결됨

여러 출처에서 일관되게 확인되는 부분은 다음과 같다. OpenClaw의 게이트웨이는 해당 에이전트가 행동할 때 사용하는 자격 증명을 보관한다. 이 프로젝트의 v2026.1.29 docker-compose 파일은 모든 호스트 인터페이스에서 포트 18789를 공개하고 기본적으로 LAN 바인딩을 허용한다. v2026.1.29에서는 이름이 지정된 세 가지 CVE가 수정되었으며, 이 버전은 2026년 1월 30일에 릴리스되었다. 또한 대규모 인터넷 전역 스캔에서 수만 개의 노출된 패널이 발견되었는데, SecurityScorecard와 Infosecurity Magazine은 모두 어떤 단위 기준으로는 이 수치를 40,000 이상으로 제시했다.

공급업체가 보고했으며 독립적으로 재현되지 않은 부분은 42.9K 및 15.2K 건수, 82개국 분포, 53.3K 유출 연관성 수치, 33.8%의 보강된 유출 비율, 78% 패치 전 추론입니다. Infosecurity Magazine의 다른 수치 집합은 동일한 연구에 대한 두 번째 해석일 뿐 독립적인 측정이 아니며, 제3자가 해당 스캔을 다시 실행한 적도 없습니다.

여전히 열려 있는 부분은 다음과 같다. 각 공개된 집계가 어떤 분모를 사용했는지, 벤더 자체 요약에서 침해 상관관계 총계가 IP 총계를 초과하는 이유, APT와 상관된 주소가 OpenClaw를 사용하는 운영자를 반영하는지 아니면 이를 우연히 호스팅하는 인프라를 반영하는지, 그리고 노출된 패널이 실제로 탈취되었는지. 이 글을 위해 읽은 출처들은 그중 어느 것도 답하지 않으며, 기록은 그렇다고 주장하지 않는다.