Microsoft: 일반 업무용 PC에서 OpenClaw를 실행하지 마세요

2026년 2월 19일 Microsoft Defender 보안 연구팀은 "Running OpenClaw safely: identity, isolation, and runtime risk"라는 제목의 게시물을 발표했으며, 그 안에서 Orca AI Incident Archive가 다른 어떤 항목에도 기록하지 않은 권고를 내놓았다. OpenClaw는 "영구 자격 증명을 지닌 신뢰할 수 없는 코드 실행으로 취급해야 하며", "일반 개인용 또는 기업용 워크스테이션에서 실행하는 것은 적절하지 않다."라고 했다. OpenClaw는 자체 호스팅 에이전트 런타임이다. 사용자가 자신의 머신에 설치하고 계정과 토큰을 부여하며, 공개 레지스트리에서 스킬을 설치하고 어디서든 읽은 텍스트를 기반으로 행동하도록 허용한다. Microsoft의 논거는 버그 보고서가 아니라 아키텍처에 관한 것이다. 이 런타임은 실행 지점을 정적 애플리케이션 코드에서 런타임에 공급되는 콘텐츠로 옮기지만, 신원, 입력 처리, 권한을 둘러싼 통제는 그에 맞춰 바뀌지 않았다. 이 게시물은 어떤 CVE, 캠페인, 피해자도 지목하지 않으며 어떤 침해 사례도 기록하지 않는다. 전체 기록은 다음에 수록되어 있다: Orca AI Incident Archive, 여기서 해당 기록은 신뢰도 등급 A의 이정표적 정책 항목으로 분류되며 기록된 실제 피해는 없다.

그 게시물이 말한 것, 그리고 말하지 않은 것

이 게시물은 읽는 데 약 12분이 걸리며, 공개 절차를 전혀 갖추지 않았습니다. CVE 식별자도, 영향을 받는 버전 범위도, 수정된 빌드도, 실제 배포와 연결된 침해 지표도 없습니다. Microsoft Defender Security Research는 Idan Hen을 기여자로 명시합니다. 대신 이 게시물이 담고 있는 것은 위협 모델과 배포 규칙이며, 그래서 아카이브는 이를 사건이 아니라 정책 기록으로 분류합니다 — 심각도 정보, 신뢰도 등급 A, 기록된 실제 피해 없음, 일 단위 정밀도의 날짜 하나.

추론은 서두 한 문단으로 압축된다. OpenClaw는 "제한적인 내장 보안 제어 기능을 포함"한다고 팀은 쓴다. 그 이유는 런타임이 "신뢰할 수 없는 텍스트를 수용하고, 외부 소스에서 스킬(즉, 코드)을 다운로드해 실행하며, 자신에게 할당된 자격 증명을 사용해 작업을 수행"할 수 있기 때문이다. 그 결과는 같은 문장에서 바로 밝혀진다. 이는 "정체성, 입력 처리, 권한 범위 설정에 대한 동등한 제어 없이 실행 경계를 정적 애플리케이션 코드에서 동적으로 제공되는 콘텐츠와 타사 기능으로 사실상 이동시킨다."

세 가지 위험이 뒤따르며, 이후 대부분의 보도가 이를 모호하게 바꿔 표현했기 때문에 마이크로소프트 자신의 말로 읽어볼 가치가 있습니다:

• "자격 증명과 접근 가능한 데이터가 노출되거나 유출될 수 있습니다."

• "에이전트의 지속 상태 또는 '메모리'가 수정되어, 시간이 지나면서 공격자가 제공한 지시를 따르게 될 수 있습니다."

• "에이전트가 악성 코드를 가져와 실행하도록 유도되면 호스트 환경이 손상될 수 있습니다."

그 목록에서 빠져 있는 점에 주목하라. 악용된 결함도, 취약한 함수도, 배포할 패치도 없다. 마이크로소프트는 OpenClaw에 보안 버그가 있다고 말하는 것이 아니다. 그것은 실행 시점에, 가져온 텍스트로부터, 부여받은 자격 증명을 사용해 무엇을 할지 결정하는 프로그램이, 운영자의 실제 업무도 함께 보관하는 머신에서 구성만으로 안전해질 수 없다고 말하는 것이다. 뒤따르는 권고는 그에 걸맞게 직설적이다. 대부분의 환경에서는 "적절한 결정은 이를 배포하지 않는 것일 수 있다."

두 개의 공급망, 하나의 실행 루프

이 글이 설명하는 메커니즘은 자체 호스팅 에이전트의 이른바 두 공급망, 즉 스킬과 확장을 뜻하는 신뢰할 수 없는 코드와 외부 텍스트를 뜻하는 신뢰할 수 없는 지시가 수렴하는 지점이다. 대부분의 소프트웨어는 둘 중 하나만 갖는다. 패키지 관리자는 신뢰할 수 없는 코드를 가져오지만 인터넷을 읽고 다음에 무엇을 실행할지 결정하지는 않으며, 채팅 모델은 신뢰할 수 없는 텍스트를 읽지만 무엇도 설치할 수 없다. OpenClaw는 이 둘을 하나의 루프 안에서 수행하며, 그 루프는 사용자 자신의 신원 아래에서 돌아간다.

"스킬을 설치하는 것은 기본적으로 권한 있는 코드를 설치하는 것과 같다"라고 그 게시물은 말한다. 스킬은 "흔히 OpenClaw의 공개 스킬 레지스트리인 ClawHub를 통해 발견되고 설치되며", 관대한 배포 환경에서는 "런타임이 사람의 승인 없이 설치 흐름을 실행하도록 허용될 수 있다." 두 번째 공급망은 Moltbook이 담당하는데, 게시물은 이를 에이전트가 API를 통해 게시하고 읽고 인증하는 에이전트 중심 플랫폼이자 신원 계층이라고 설명하며, 따라서 그 표현대로 "에이전트가 일정에 따라 수집하는, 공격자가 영향을 미칠 수 있는 대량 콘텐츠 스트림"이라고 한다. 압축이 핵심이다: "따라서 악성 게시물 하나가 여러 에이전트에 도달할 수 있다."

그런 다음 이 문서는 신뢰 경계를 세 가지 구성 요소로 나누는데, 이는 전체 문서에서 가장 재사용 가능한 부분입니다. 아이덴티티는 에이전트가 SaaS API, 리포지토리, 메일, 클라우드 제어 평면 전반에서 작업을 수행하기 위해 사용하는 토큰을 의미하고, 실행은 파일, 셸, 인프라, 메시지를 포함해 상태를 변경할 수 있는 도구를 의미하며, 지속성은 작업, 구성, 일정을 통해 실행 간 변경 사항을 유지할 수 있는 방식을 의미합니다. 이 세 가지를 모두 갖춘 에이전트는 권한 프롬프트가 있는 애플리케이션이 아닙니다. 그것은 보안 주체입니다.

독이 든 기술, 다섯 단계로

마이크로소프트는 사례 보고서가 아니라 대표적인 시나리오라고 명시한 하나의 구체적인 침해 체인을 제시하는데, 마지막 두 단계가 바로 일반적인 엔드포인트 방어를 무력화하는 단계이기 때문에 짚어볼 가치가 있다. 이 글은 외부 세계에 대한 주장으로 시작한다 — "공개 보고서들은 공개 레지스트리에 악성 스킬이 등장한 사례를 기록해 왔다", 그리고 일부 경우 "레지스트리 콘텐츠는 교묘한 유사품이 아니라 스킬로 포장된 노골적인 멀웨어였다" — 그러나 레지스트리 항목, 캠페인, 행위자, 피해자 중 어느 것도 특정하지 않으므로, 이 체인은 재구성이 아니라 개연성 주장으로 남는다.

• 배포. 공격자는 ClawHub에 악성 스킬을 게시하는데, 때로는 유틸리티로 위장하고 때로는 노골적으로 악성인 채로 게시하며 커뮤니티 채널을 통해 홍보합니다. 다른 경우에는 검색을 통해 자연스럽게 발견되어 설치되기도 하는데, 설치는 진입 장벽이 낮기 때문입니다.

• 설치. 개발자 또는 에이전트 자체가 해당 스킬이 작업과 관련 있어 보이기 때문에 설치를 시작합니다. 허용적인 배포 환경에서는 사람이 승인하지 않습니다.

• 상태 접근. 공격자는 토큰, 캐시된 자격 증명, 구성 데이터, 대화 기록과 더불어 향후 실행을 조종하는 지속적 지시 채널 — 작업 파일, 예약된 작업, 에이전트 구성 — 을 노린다.

• 권한 재사용. 유효한 신원 자료를 확보한 공격자는 표준 API와 도구를 통해 활동하며, 이러한 활동은 "강력한 모니터링 및 로깅 제어가 마련되어 있지 않다면 종종 정상적인 자동화와 유사하게 보인다."

• 구성을 통한 영속성. 남는 것은 영속적인 구성 변경입니다: "새로운 OAuth 동의, 예약된 실행, 수정된 에이전트 작업, 또는 영구적으로 승인된 상태로 유지되는 도구."

다섯 번째 단계에는 게시물에서 가장 날카로운 문장이 담겨 있으며, 이것이 왜 악성코드 문제가 아니라 정책 문제인지를 가장 잘 설명해 줍니다: “목표는 악성코드를 배포하는 것이라기보다 자동화 경로에 대한 장기적인 통제를 유지하는 것입니다.” 페이로드를 찾는 보안 도구는 아무것도 발견하지 못할 것입니다. 그들이 잡아내야 하는 것은 동의 부여, cron 항목, 또는 조용히 승인된 상태로 남겨진 도구입니다.

마이크로소프트가 받아들일 최소한의 태도

Microsoft는 독자에게 "하지 마라"만 남기지 않는다. 그래도 런타임을 평가하기로 결정한 조직을 위한 최소 기준을 제공하며, 그 기준은 샌드박스보다 엄격하다. 환경은 "일상 업무에 사용되지 않는 전용 가상 머신 또는 별도의 물리적 장치"여야 하며, 일회용으로 취급해야 한다. 자격 증명은 에이전트의 목적만을 위해 생성되어야 하고, 비권한이어야 하며, 이미 침해되었다고 가정하고 교체해야 한다. 민감하지 않은 데이터만 접근 가능해야 한다. 에이전트의 저장된 지침과 상태는 예상치 못한 지속 규칙, 새로 신뢰하게 된 소스 또는 실행 간에 달라지는 동작이 있는지 정기적으로 검토해야 한다. 그리고 재구축은 비상 상황이 아니라 예상된 통제 수단이어야 한다. 정기적으로 재설치하고, 이상 동작이 발생하면 즉시 재구축하라.

게시물에 나오는 한 세부 사항은 분량이 시사하는 것보다 더 유용하다. 백업하는 .openclaw/workspace/은 자격 증명을 포함하지 않으면서 에이전트의 작업 상태를 담는다. 전체 .openclaw/ 디렉터리를 백업하는 것은 복원하기 더 간단하지만 토큰과 자격 증명도 함께 담으며, 게시물은 자격 증명이 침해된 것으로 의심될 때 이는 부적절할 수 있다고 경고한다. 전체 디렉터리를 백업해 놓고 그것을 재해 복구라고 부르는 팀은 공격자가 원했던 것을 보관해 둔 셈이다.

이 안내는 제품 지도이기도 합니다.

게시물의 후반부는 각 권장 제어를 Microsoft 제품에 매핑합니다. 최소 권한 및 에이전트 ID에 대한 조건부 액세스에는 Microsoft Entra ID, OAuth 인벤토리 및 동의 드리프트에는 Microsoft Defender for Cloud Apps App Governance, 에이전트 호스트에는 Microsoft Defender for Endpoint, 상관 분석에는 Microsoft Defender XDR, 엔드포인트 데이터 손실 방지에는 Microsoft Purview, 네트워크 이그레스에는 Microsoft Defender for Cloud, 더 긴 보존이나 자동화가 필요한 경우에는 Microsoft Sentinel입니다. 이는 벤더 보안 블로그의 일반적인 관행이며, 또한 분명히 짚고 넘어갈 가치가 있습니다. 제3자 에이전트 런타임을 격리하도록 권장하는 문서가 바로 그 격리 솔루션을 판매하는 회사에 의해 게시되었다는 점입니다.

헌팅 콘텐츠는 그 프레이밍에서 살아남는 부분입니다. 구체적이기 때문입니다. 이 게시물은 Defender XDR 테이블 — DeviceProcessEvents, CloudProcessEvents, DeviceFileEvents, DeviceNetworkEvents, OAuthAppInfo — 에 대한 KQL 쿼리를 제공합니다. 이 쿼리는 "openclaw", "moltbot", "clawdbot"이 포함된 프로세스 명령줄과 파일 이름, clawhub install 호출(희귀 스킬 슬러그 사용), 개발자 엔드포인트의 확장 폴더 변동, 새 고권한 OAuth 애플리케이션, 에이전트 프로세스가 연 수신 대기 서비스, 그리고 에이전트 런타임이 cmd.exe, powershell.exe, pwsh.exe, bash, sh, curl, wget을 생성하는 경우를 찾습니다. 제품 매핑을 어떻게 생각하든, 이 쿼리들은 게시 당일 모든 Defender XDR 고객이 실행할 수 있으며, 어떤 호스트가 런타임을 실행 중인지에 대한 사전 지식을 전제로 하지 않습니다.

무엇이 확립되었으며, 무엇이 그렇지 않은가

확인되었고 교차 검증되었습니다. Microsoft는 2026년 2월 19일에 해당 게시물을 게시했으며, 위 인용문은 그 게시물에서 발췌한 것입니다. Cybernews는 2026년 2월 23일에, TechRadar는 2026년 2월 24일에 이 경고를 보도했지만, 두 매체 모두 이를 검증하기보다는 두 핵심 문장과 격리 지침을 되풀이했습니다. 반복 검색으로도 The Register, BleepingComputer, Wired, TechCrunch의 보도는 나타나지 않았으므로, 이 게시물을 둘러싼 언론 보도 물결은 작고 파생적이었습니다. 어떤 독립 주체도 Microsoft의 아키텍처 주장을 시험한 결과를 발표하지 않았으며, 이용 가능한 교차 검증은 Microsoft가 말한 내용을 확인할 뿐 그것이 옳은지는 확인하지 않습니다.

릴레이 또한 주목할 만한 오류를 하나 초래했는데, 이는 제3자 도구에 관한 벤더의 경고가 얼마나 빠르게 자사에 관한 경고로 변하는지를 보여주기 때문이다. Cybernews의 보고서는 OpenClaw를 "마이크로소프트의 AI 어시스턴트"라고 설명하며 시작하지만, 사실이 아니다. OpenClaw는 마이크로소프트의 Defender 연구원들이 조사한 자체 호스팅 런타임이며, 게시물 자체도 구조적으로 차이를 드러낸다. 즉 "영향 범위에 대한 책임은 사용자에게 있다"고 하며 호스트, 플러그인, 로컬 상태가 모두 신뢰 경계 안에 있는 자체 호스팅 런타임과, 런타임과 업데이트가 중앙에서 관리되고 통제가 ID 범위, 커넥터 거버넌스, 데이터 경계에 집중되는 관리형 어시스턴트 및 에이전트 플랫폼을 대조한다.

입증되지 않은 점: 특정 조직이 게시물이 설명하는 방식으로 침해를 당했다는 것. Microsoft는 공개 보고가 공개 레지스트리에서 악성 스킬을 문서화했다고 주장하지만, 게시물에는 캠페인 이름도, 수치도, 날짜도, 피해자도 첨부되지 않았으므로 이 기록은 실질적인 피해를 담고 있지 않다. 또한 그 권고는 구속력이 없다. 어떤 규제 기관도 이를 발표하지 않았고, 어떤 표준 기구도 채택하지 않았으며, 기록 어디에도 고객, 감사자 또는 보험사가 이를 요구 사항으로 취급했다는 내용이 없다. 이는 자사가 통제하지 않는 도구를 자사 고객이 어떻게 다뤄야 하는지에 대한 한 공급업체의 의견으로, 유난히 단정적이며 강제할 수 없다.

이 글이 실제로 바꾸는 것은 보안 팀이 답해야 하는 질문의 형태다. 2026년 2월 19일 이전에는 업무용 노트북에서 OpenClaw를 실행할지에 대한 결정을 구성 및 파일럿 승인 문제로 논할 수 있었다. 그 이후에는 런타임 자체의 설계가—설정이 아니라—해당 머신을 위험에 빠뜨린다고 명시하고, 업그레이드할 버전도, 적용할 패치도, 로드맵상의 수정도 제시하지 않는 문서에 맞서 논거를 펼쳐야 한다. 그 문서가 내놓는 해결책은 배포 패턴이다. 즉 런타임을 격리하고, 접근 가능한 범위를 제한하고, 지속적으로 모니터링하며, 지체 없이 재구축할 준비를 갖추는 것이다.