[이슈]OpenClaw(MoltBot) 긴급 보안 경보: 230여 개 악성 스킬 유포 주의

OpenClaw(MoltBot) 긴급 보안 경보: 230여 개 악성 스킬 유포 주의 🚨

최근 개인형 AI 에이전트 플랫폼인 OpenClaw(구 MoltBot, ClawdBot)를 노린 대규모 악성 스킬 유포 사태가 발생했습니다.
보안 전문가로서 이번 사태의 심각성과 사용자가 반드시 지켜야 할 보안 수칙을 긴급히 공유합니다.

---

1. 개요 및 주요 위협 내용 📋

이번 사태는 OpenClaw의 확장 기능인 '스킬(Skill)' 시스템의 개방성을 악용한 사례입니다.
공격자들은 사용자가 유용한 도구로 오인하여 설치하도록 유도하는 방식으로 악성 코드를 심었습니다.

주요 공격 지표

항목	내용
발견된 악성 패키지 수	230개 이상
주요 유포 경로	공식 스킬 레지스트리 및 GitHub 저장소
주요 공격 목적	브라우저 쿠키, 세션 토큰, 저장된 비밀번호 탈취
위험 수준	치명적(Critical) - 워크스페이스 내 모든 데이터 노출 위험

---

2. 보안 분석: 어떻게 공격하는가? 🔍

악성 스킬은 주로 다음과 같은 방식으로 동작하여 사용자의 민감 정보를 탈취합니다.

1. 위장(Deception): youtube-video-analyst나 google-calendar-sync와 같이 유용해 보이는 이름으로 위장합니다.
2. 데이터 수집(Exfiltration): 설치 및 실행 시, 백그라운드에서 시스템의 환경 변수(env), 브라우저 저장소, 혹은 특정 설정 파일을 읽어들입니다.
3. 외부 전송(C&C): 수집된 정보를 공격자가 제어하는 외부 서버(Command & Control)로 전송합니다.

★ Insight: "AI 에이전트는 사용자의 시스템에 높은 권한을 가지고 동작하는 경우가 많습니다.
따라서 검증되지 않은 외부 스크립트를 포함한 스킬을 설치하는 것은 시스템의 열쇠를 넘겨주는 것과 같습니다."

---

3. 긴급 보안 수칙 및 대응 가이드 🛡️

OpenClaw 사용자는 다음의 3단계 보안 검증 원칙을 반드시 준수해야 합니다.

[보안 검증 3단계]

단계	검증 항목	상세 내용
1단계	코드 투명성	소스 코드가 공개되어 있고, 직접 읽고 분석할 수 있는가?
2단계	최소 권한	기능 수행에 불필요한 시스템 영역(파일 시스템 전체 등) 접근을 요구하는가?
3단계	데이터 무결성	정보 수집 시 목적이 명확하며, 외부 전송 로직이 포함되어 있지 않은가?

즉시 조치 사항

1. 스킬 목록 점검: openclaw skills list 명령어를 사용하여 현재 설치된 스킬 중 출처가 불분명하거나 의심스러운 항목이 있는지 확인합니다.
2. 의심 스킬 삭제: 조금이라도 의심되는 스킬은 openclaw skills remove [skill-name] 명령어로 즉시 제거합니다.
3. 검증된 스킬만 사용: 가급적 공식 번들(openclaw-bundled)이나 신뢰할 수 있는 유지관리자가 배포한 스킬만 사용하세요.

---

4. 참고 자료 (References) 🔗

• BleepingComputer: Malicious MoltBot skills used to push password-stealing malware
• Cybersecurity News: AI 에이전트 대상 공급망 공격 트렌드 분석
• KISA 보호나라: 침해사고 예방을 위한 소프트웨어 보안 강화 권고

---

5. 결론 🚀

AI 에이전트 기술이 발전함에 따라 이를 노린 보안 위협도 더욱 정교해지고 있습니다.
편리함에 매몰되어 기본적인 보안 원칙을 잊어서는 안 됩니다.
항상 "검증되지 않은 도구는 설치하지 않는다"는 원칙을 고수하여 소중한 워크스페이스 정보를 보호하시기 바랍니다.

---

⚠️ 면책 조항

본 가이드를 따르면서 발생하는 모든 결과에 대한 책임은 전적으로 사용자 본인에게 있습니다. 이 문서는 참고용으로 제공되며, 작성자는 어떠한 손해나 문제에 대해 책임지지 않습니다.

금지 사항:

• 본 내용을 악의적인 목적으로 사용하는 것을 엄격히 금지합니다.
• 타인의 권리를 침해하거나 불법적인 활동에 사용하는 것을 금지합니다.
• 상업적 목적의 무단 복제나 재배포를 금지합니다.

본 가이드의 내용은 학습 및 교육 목적으로만 사용해야 합니다.