ClawJacked: 어떤 웹사이트든 로컬 OpenClaw 에이전트를 무차별 대입 공격할 수 있었다

2026년 2월 26일 Oasis Security가 오픈소스 AI 에이전트 OpenClaw에서 공개한 취약점 ClawJacked는 개발자가 방문한 어떤 웹사이트든 개발자 자신의 머신에서 실행 중인 에이전트에 연결을 열고, 에이전트가 제어권을 넘겨줄 때까지 비밀번호를 추측할 수 있게 했다. 클릭도, 플러그인도, 프롬프트도 필요 없었다. 공격의 목표는 에이전트를 조율하는 게이트웨이였다: 침입에 성공한 침입자는 에이전트와 직접 통신하고, 구성을 덤프하며, 페어링된 모든 기기를 나열하고, 로그를 읽을 수 있었다. 에이전트 액세스 관리 소프트웨어 공급업체인 Oasis는 자체 연구소에서 이 공격 체인을 처음부터 끝까지 시연하고 비공개로 신고했으며, OpenClaw는 24시간 이내에 수정 사항을 배포했다. 이 기사에 인용된 어떤 출처도 이 공격이 실제 사용자를 대상으로 사용된 사례를 기록하지 않았다. 이 아카이브는 이 사건을 2026년 2월 25일(일 단위 정밀도)이라는 날짜와 기록된 실제 피해가 없다는 점을 명시해 고심각도 인프라 사고로 기록하며, 나머지 OpenClaw 항목들과 함께 Orca AI Incident Archive.

세 가지 기본값, 하나의 체인

OpenClaw는 사용자가 웹 대시보드나 터미널에서 조작하고, 메시징 앱, 캘린더, 개발자 도구에 연결해 그 안에서 작동하는 자체 호스팅 개인 에이전트입니다. 그 중심에는 게이트웨이가 있는데, 이는 Oasis가 "작전의 두뇌"라고 표현한 로컬 WebSocket 서버로, 인증을 처리하고 구성을 저장하며 채팅 세션을 관리하고 macOS 컴패니언 앱이나 iPhone 같은 노드에 명령을 디스패치합니다. 인증은 토큰 또는 비밀번호로 이루어지며, 게이트웨이는 기본적으로 localhost에 바인딩되는데, 이는 로컬 접근이 본질적으로 신뢰된다는 명시적 전제에 따른 것입니다(Oasis Security, 2026년 2월 26일).

그 가정이 연쇄적으로 낳은 세 가지 결과가 있다. 첫째, 브라우저는 WebSocket 연결에 일반 HTTP 요청과 같은 방식으로 교차 출처 규칙을 적용하지 않는다. 따라서 사용자가 방문하는 어떤 페이지의 JavaScript든 화면에 아무것도 표시하지 않고 로컬 게이트웨이 포트로 소켓을 열 수 있다. 둘째, 게이트웨이의 속도 제한기는 루프백 연결을 완전히 예외로 두었기 때문에 127.0.0.1에서의 비밀번호 시도 실패는 집계되거나 제한되거나 기록되지 않았다. 셋째, 게이트웨이는 localhost에서 들어오는 기기 페어링을 자동 승인했기 때문에, 인증된 스크립트는 원격 기기가 촉발할 확인 프롬프트 없이 스스로를 신뢰할 수 있는 기기로 등록할 수 있었다.

Oasis는 자체 실험실에서 추측 속도를 측정해 공개 자료에 보고했습니다: “자체 실험실 테스트에서 우리는 브라우저 자바스크립트만으로 초당 수백 건의 비밀번호 추측을 지속적으로 달성했습니다. 이 속도라면 흔한 비밀번호 목록은 1초 안에 소진되고, 대규모 사전도 몇 분이면 처리됩니다. 사람이 고른 비밀번호는 승산이 없습니다.” 2026년 3월 1일 이 공개 내용을 보도한 BleepingComputer는 같은 세 단계와 같은 순서를 설명합니다.

공격자가 얻게 되는 것, 그리고 Oasis가 실제로 보여준 것

인증이 완료되면 이 스크립트는 관리자 수준 권한을 가진 운영자 세션을 보유했다. Oasis는 그다음 직접 수행할 수 있는 네 가지를 나열한다. AI 에이전트에 메시지를 보내고 응답을 읽는 것, 사용 중인 AI 제공업체와 모델 및 메시징 채널을 드러내는 게이트웨이 구성 덤프, 플랫폼과 IP 주소를 포함해 연결된 모든 노드를 열거하는 것, 애플리케이션 로그를 읽는 것이다. 거기서부터 Oasis는 권한 상승을 시연하기보다 설명한다. 에이전트에게 개발자의 Slack 기록에서 API 키를 검색하도록 지시하기, 비공개 메시지 읽기, 페어링된 장치에서 파일 유출하기, 또는 페어링된 모든 노드에서 임의의 셸 명령 실행하기 등이다. 이 회사의 결과 요약에 따르면, 일반적인 OpenClaw 통합을 사용하는 개발자의 경우 이는 "브라우저 탭에서 시작된 워크스테이션 전체 장악"에 해당한다.

오아시스가 공개한 데모는 개념 증명 영상과 함께 제공되었지만, 그 설명보다 범위가 좁다. 관련 없는 사이트에 열려 있던 브라우저가 게이트웨이 비밀번호를 추측해 전체 권한으로 접속했고 사용자의 에이전트와 성공적으로 상호작용했으며, 사용자에게는 아무런 표시도 나타나지 않았다. 파일 유출과 셸 실행은 그 접근이 가능하게 하는 것으로 설명되어 있을 뿐, 개념 증명이 실제로 수행한 단계로 설명되지는 않는다. 이 구분은 해당 기록이 시연된 사례가 아니라 실제로 발생한 사건으로 읽힐 때 중요하다.

패치는 2026.2.26이 아니라 2026.2.25에 적용되었습니다.

Oasis는 독자들에게 버전 2026.2.25 이상으로 업데이트하라고 했으며, OpenClaw 자체의 권고도 이에 동의합니다. GitHub 권고 GHSA-jmmg-jqc7-5qf4는 영향을 받는 버전을 2026.2.24 이하로, 패치된 버전을 2026.2.25 이상으로 나열하고, 보고서를 Oasis의 연구 책임자인 Elad Luz(@luz-oasis)에게 공로로 돌립니다. 2026.2.25의 npm 레지스트리 타임스탬프는 2026년 2월 26일 04:16 UTC이며, 해당 버전의 프로젝트 릴리스 노트는 수정 사항을 세 가지 기본값에 일대일로 대응하는 표현으로 설명합니다: "보안/게이트웨이 WebSocket 인증: Control UI/Webchat 외의 직접 브라우저 WebSocket 클라이언트에 대해 오리진 검사를 시행하고, 브라우저 오리진 루프백 시도(localhost 포함)에 비밀번호 인증 실패 스로틀링을 적용하며, Control UI가 아닌 브라우저 클라이언트의 자동 페어링을 차단합니다."

두 뉴스 보도는 서로 다른 번호를 언급한다. BleepingComputer는 수정 사항이 "2월 26일 버전 2026.2.26에서 출시되었다"고 말하고, SecurityAffairs는 2026.2.26이 문제를 해결한 릴리스라고 반복하면서도 자체 권고 문단에서는 독자들에게 2026.2.25 이상으로 업데이트하라고 말한다. 2026년 3월 2일 공개를 다룬 Infosecurity Magazine은 2026.2.25를 인용한다. 릴리스 2026.2.26은 실제로 존재하지만, npm은 이를 2월 26일 23:59 UTC에 기록하며, 이는 2026.2.25보다 대략 20시간 후이고, 그 노트는 별도의 강화 작업 묶음이다. 독자가 찾아야 할 수정 사항은 2026.2.25에 있는 것이다.

식별자는 나중에 부여되었다. GitHub 보안 권고문은 2026년 3월 3일 CVE-2026-32025로 게시되었고, 이에 대한 NVD 기록은 2026년 3월 19일 CVSS 3.1 기본 점수 7.5로 게시되었으며, NVD가 1차 평가자로서, VulnCheck가 2차 평가자로서 높음 등급으로 평가했다. 권고문 자체는 점수보다 더 신중하다. 자체 심각도 필드는 보통으로 표시되어 있고, 본문에서는 이 버그를 “심각하지만 조건부”라고 부르며 네 가지 전제 조건을 명시한다. 즉 게이트웨이가 루프백에서 접근 가능할 것, 비밀번호 인증이 사용 중일 것, 피해자가 공격자가 제어하는 웹 콘텐츠를 열 것, 현실적인 시도 횟수 내에 비밀번호를 추측할 수 있을 것이다. 또한 이 버그가 무엇이 아닌지도 분명히 밝힌다. “이것은 그 자체로 인터넷에 노출된 무인증 RCE 부류의 문제가 아니다. 위 조건에서 의미 있는 영향을 미치는 로컬 브라우저 오리진의 인증 강화 공백이다.”

42,665가 어디에서 비롯된 것인지, 그리고 그것이 왜 ClawJacked 수치가 아닌지

아카이브의 요약에는 공개 당시 42,665개의 인스턴스가 노출되었다고 기록되어 있으며, SecurityScorecard가 40,214라는 다른 수치를 제시하고 그중 35.4%가 취약했다고 언급합니다. 이 기록에 인용된 세 출처 중 어느 것도 두 수치 중 어느 것도 포함하지 않습니다 — Oasis, BleepingComputer, SecurityAffairs는 모두 설치 기반 수치를 붙이지 않고 취약점을 설명합니다. 두 수치 모두 다른 곳에서 나온 것이며, 둘 다 ClawJacked가 존재하기 전에 게시되었습니다.

42,665는 독립적인 스캔 결과입니다. Medium에 연구 결과를 공개한 보안 연구원 Maor Dayan은 ClawdHunter v3.0이라는 스캐너를 만들어 2026년 1월 28일부터 31일 사이에 수집된 Shodan 및 Censys 데이터를 대상으로 실행했으며, 인터넷에 공개적으로 노출된 OpenClaw 인스턴스가 "최소 42,665개"라고 보고했습니다. 그중 5,194개는 취약한 것으로 실제 검증되었고, 검증된 인스턴스의 93.4%에서 인증 우회가 나타났습니다. 40,214는 SecurityScorecard의 STRIKE 팀이 2026년 2월 9일 발표한 연구에서 나온 수치로, 인터넷에 노출된 OpenClaw 인스턴스를 집계해 15.2K를 원격 코드 실행에 취약한 것으로 표시했으며, "관찰된 배포의 35.4%가 취약한 것으로 표시되었습니다"라고 밝혔습니다. SecurityScorecard 자체 요약 항목에는 노출된 제어 패널을 호스팅하는 42.9K개의 고유 IP 주소가 제시되어 있고, 본문에는 40,214개의 확인된 인스턴스가 함께 나옵니다. 즉, 한 보고서 안에 두 가지 서로 다른 측정값이 존재합니다.

두 수치 모두 ClawJacked의 도달 범위를 측정하지 않는다. 둘 다 공용 인터페이스에서 응답하는 인스턴스를 세기 때문이다. ClawJacked의 전제 조건은 정반대 구성이다. 즉 루프백에 바인딩된 게이트웨이, 비밀번호 모드, 사용자가 악성 페이지를 브라우징하는 머신이다. 인터넷 전역 스캔에서 집계된 서버는 자체 인증 뒤에 있어 이 버그의 영향을 받지 않을 수 있는 반면, 그러한 스캔에 결코 나타나지 않는 노트북이 바로 Oasis가 설명한 표적이다. 따라서 아카이브 자체의 표현인 “at disclosure”는 1월의 모집단 집계를 2월의 취약점에 붙인다. 이 수치들은 OpenClaw가 얼마나 노출되었는지에 대한 실제 측정값이지만, ClawJacked가 장악할 수 있었던 머신의 수는 아니다. 이 글은 분쟁을 판정하려는 것이 아니다 — 기록은 분쟁 중으로 표시되어 있지 않다 — 그러나 두 수치의 출처는 확인 가능하며 “at disclosure”라는 프레이밍을 뒷받침하지 않는다.

무엇이 확립되었으며, 무엇이 그렇지 않은가

확인된 사실: Oasis Security가 해당 체인을 발견하고 실험실에서 입증했다는 점; OpenClaw 자체의 권고 및 릴리스 노트가 세 가지 동작 모두를 확인해 준다는 점 — 브라우저 WebSocket 클라이언트에 대한 origin 강제 적용 누락, 루프백 비밀번호 시도에 대한 스로틀링 부재, 조용한 자동 페어링 — 그리고 2026.2.25가 각각을 변경했다는 점; 수정 사항이 보고 후 하루 이내에 배포되었다는 점; 그리고 발견자 본인의 블로그 외에 세 곳의 매체가 이를 보도했다는 점. 아카이브의 신뢰도 등급 A는 그 기록과 일치하며, 여기에서 관련 당사자들이 이의를 제기하는 내용은 없다.

확인되지 않음: 누구든 이를 사용했다는 점은. 여기에는 인용된 출처가 없으며, 공개 전후 보도에서도 실제 피해, 피해자, 또는 유출된 데이터를 보고한 곳은 발견되지 않았다. Oasis의 것은 실험실 시연이며, 해당 보고서는 관찰된 공격이 아니라 공격자의 역량을 설명한다. 이는 아카이브에 실제 피해가 기록되지 않은 것과 일치하며, 이 이야기에서 가장 중요한 단서다. 이것은 취약점 기록이지 침해 보고서가 아니다.

유통 중인 두 개의 레이블은 잘못되었으며, 둘 다 답습되기 쉽다. 여러 2차 기사에서는 CVE-2026-25253을 ClawJacked에 연결한다. 해당 식별자에 대한 NVD 기록은 같은 제품의 다른 버그를 설명한다. 즉 2026.1.29 이전의 OpenClaw가 쿼리 문자열에서 gatewayUrl을 가져와, 토큰을 전송하면서 사용자에게 묻지 않고 해당 URL에 연결하는 문제로, CVSS 점수 8.8의 원클릭 토큰 탈취이며, 2026년 2월 1일 공개되고 1월 29일 수정되었다. 그것은 1월 취약점으로, 메커니즘도 패치도 다르다. ClawJacked의 식별자는 CVE-2026-32025이다. 한편 Infosecurity Magazine은 ClawJacked을 간접 프롬프트 인젝션으로 설명했다. Oasis가 문서화한 체인에는 프롬프트도 모델 결정도 전혀 개입하지 않는다. 그것은 운영자 세션으로 끝나는 인증 우회다.

그 후 무엇이 달라졌나요?

OpenClaw는 이를 패치했고 보안 권고문을 발표하며 제보자에게 공을 돌렸으며, CVE는 공개 글이 나온 지 일주일 이내에 부여되었습니다. Oasis가 조직에 한 권고는 패치를 넘어섭니다. 개발자 머신 전반에서 어떤 에이전트와 어시스턴트가 실행 중인지 목록화하고, 모든 인스턴스를 업데이트하고, 각 인스턴스가 보유한 자격 증명과 권한을 감사하고 사용하지 않는 것은 회수하며, 의도 검사, 정책 시행, 적시 접근, 그리고 인간에서 에이전트를 거쳐 행동으로 이어지는 감사 추적을 갖춘 비인간 ID로 에이전트를 거버넌스하라는 것입니다. 이 회사는 마지막 범주에 속하는 소프트웨어를 판매하는데, 이는 마지막 권고를 처음 세 가지와 함께 저울질할 때 알아둘 만합니다.

더 넓은 맥락은 ClawJacked가 쏟아져 나온 권고 중 하나였다는 점입니다. GitHub 권고 데이터베이스에는 2026년 3월 3일자 OpenClaw 권고가 대량으로 실려 있습니다 — ClawJacked의 권고가 게시된 바로 그날입니다 — 이는 2026.2.19부터 2026.2.26까지 버전에 걸친 별개의 인증, 페어링, 경로 순회, 샌드박스 탈출 버그를 다룹니다. ClawJacked 기록이 보존하는 패턴은 "AI 에이전트는 안전하지 않다"보다 더 좁고 더 유용합니다: 게이트웨이는 루프백을 신뢰 경계로 취급했고, 브라우저는 그 가정을 거짓으로 만들었습니다. 127.0.0.1을 스로틀링에서 면제하는 모든 로컬 서비스와 로컬 호출자를 자동 승인하는 모든 장치 페어링 흐름은 그 뒤에 AI 모델이 있든 없든 같은 형태를 물려받습니다. 이 사례에서 모델은 결코 취약한 구성 요소가 아니었습니다 — 그 주변의 인증 계층이 취약했습니다.