OpenClaw는 안전한가? OpenClaw와 Hermes Agent 보안, 바꿔야 할 설정

OpenClaw는 그 본질에 맞게 다룬다면 실행해도 충분히 안전합니다. 즉, 여러분의 메시지와 이메일을 읽고, 명령을 실행하고, 읽은 내용에 따라 행동할 수 있는 프로그램으로 다뤄야 합니다. 기본 상태에서는 기능 쪽으로 기울어 있습니다. 샌드박싱이 기본적으로 꺼져 있어 명령이 호스트에서 실행되고, 매일 프로젝트 서버에 접속합니다. 둘 다 몇 분이면 고칠 수 있습니다. 기본값은 다르지만 Hermes Agent도 마찬가지입니다.

실제로 무엇이 잘못될 수 있나

• 호스트에서 실행되는 명령. 샌드박스가 없으면 잘못된 명령이 여러분 사용자 계정의 파일 접근 권한으로 실행됩니다.
• 프롬프트 인젝션. 에이전트가 읽는 모든 것, 즉 이메일, 웹 페이지, 공유 문서에 에이전트를 노린 지시가 담길 수 있습니다. 에이전트가 다룰 수 있는 계정이 많을수록 주입된 지시가 할 수 있는 일도 많아집니다.
• 서드파티 스킬. 스킬은 여러분이 설치하는 코드입니다. 2026년 1월 Cisco의 AI 보안 팀은 사용자 모르게 데이터를 유출하고 프롬프트 인젝션을 실행한 서드파티 OpenClaw 스킬을 보고했습니다(Wikipedia 요약).
• 노출된 게이트웨이. 제어 인터페이스가 인증 없이 인터넷에서 접근 가능하다면 누구나 여러분의 에이전트를 조종할 수 있습니다.
• 저장된 시크릿. 같은 Wikipedia 문서는 OpenClaw 2.0에 대한 2026년 8월 리뷰를 요약하는데, 이 리뷰는 시크릿이 암호화되지 않은 채 저장된다는 점을 비판했습니다.

10개 에이전트의 기본값

위의 체크리스트 표는 어떤 에이전트가 기본적으로 샌드박싱하고 어떤 에이전트가 텔레메트리를 보내는지 보여 줍니다. 실제로 그것이 무엇을 의미하고 어떻게 바꾸는지 정리했습니다.

에이전트	기본 격리	텔레메트리와 끄는 방법
OpenClaw	꺼짐; Docker 샌드박스 사용 가능	매일 업데이트 확인; update.checkOnStart: false
Hermes Agent	꺼짐; smart 승인, Docker 백엔드 사용 가능	옵트인하지 않으면 없음
NemoClaw	켜짐: 외부 연결 승인이 있는 OpenShell 샌드박스	CLI 텔레메트리; NEMOCLAW_DISABLE_TELEMETRY=1
NanoClaw	켜짐: 에이전트마다 컨테이너 하나	설정 진단; NANOCLAW_NO_DIAGNOSTICS=1
ZeroClaw	켜짐: Balanced 프로필의 OS 샌드박스와 승인	없음
Rakazo	켜짐: 봇마다 샌드박스 컴퓨터	셀프 호스팅 서버에서는 없음; 데스크톱 앱은 업데이트 확인
Agent Zero	켜짐: 에이전트가 자체 Docker 컨테이너에서 작업	업데이트 확인; 설정에서 끄기
nanobot	꺼짐; bubblewrap 또는 Seatbelt 사용 가능, Windows에서는 없음	없음
PicoClaw	경로 검사만; 프로세스 격리 꺼짐, Linux와 Windows 전용	없음
QwenPaw	꺼짐; Docker 내부 격리 없음	--defaults 사용 시 설치 데이터 전송; 대화형 qwenpaw init에서 거부

“켜짐” 행에 대한 두 가지 주의 사항이 있습니다. Agent Zero는 코드를 Agent Zero 자체와 같은 컨테이너에서 실행하므로, 컨테이너는 여러분의 컴퓨터를 보호하지만 에이전트를 자신의 코드로부터 보호하지는 않습니다. 그리고 ZeroClaw의 YOLO 프로필은 모든 것을 끄므로, 어떤 프로필을 골랐는지 확인하세요.

OpenClaw를 잠그는 방법

OpenClaw의 보안 문서를 바탕으로, 대략 영향이 큰 순서대로 정리했습니다.

1. openclaw security audit를 실행하세요. 설정이 안전한 기본값에서 벗어난 곳을 보고하고, 지원되는 수정 사항을 적용할 수 있습니다.
2. 게이트웨이를 루프백에 두세요. 일반 설치는 루프백에 바인딩되지만 컨테이너 이미지는 기본적으로 외부에 노출된 바인딩을 사용하므로, Docker로 배포하기 전에 인증을 추가하거나 사설 네트워크 뒤에 두세요.
3. DM 페어링을 켜 두세요. 기본적으로 대부분의 채널에서 모르는 발신자는 답장 대신 페어링 코드를 받습니다. 채널을 open으로 바꾸지 마세요.
4. 샌드박스를 켜세요. agents.defaults.sandbox.mode를 all로 설정하세요. non-main은 에이전트의 메인 세션을 호스트에 남겨 둡니다(샌드박스 모드). Docker가 기본 백엔드입니다. 샌드박싱되는 것은 도구 실행뿐이며, 게이트웨이는 호스트에 남습니다.
5. 필요 없는 것은 거부하세요. exec에 대한 도구 정책 deny는 셸 접근을 완전히 비활성화합니다. 샌드박스 밖에서 명령을 실행하는 tools.elevated는 피하세요.
6. 별도 계정을 사용하세요. 문서는 WhatsApp, Signal, Telegram에 별도 번호를 쓰고, 신뢰 경계마다 게이트웨이를 하나씩 두라고 권장합니다. 서로 신뢰하지 않는 사람들끼리 게이트웨이 하나를 공유하지 마세요.
7. 스킬은 설치하기 전에 읽어 보고, 공식 플러그인을 우선하세요.
8. 매일 접속을 원하지 않는다면 update.checkOnStart: false를 설정하세요(텔레메트리 문서).

이 모든 것을 에이전트 외부에서 강제하고 싶다면, 샌드박스, 외부 연결 승인, 자격 증명 보관을 추가하는 NemoClaw 안에서 OpenClaw를 실행하세요.

Hermes Agent는 안전한가?

Hermes Agent는 개인정보(텔레메트리 없음)와 채팅 접근 측면에서 더 나은 위치에서 시작합니다. 허용 목록이 설정되지 않으면 모든 사용자를 거부하고, 모르는 DM에는 페어링 절차가 적용됩니다(보안 문서). 약점은 OpenClaw와 같습니다. 터미널 백엔드의 기본값이 local입니다.

잠그는 방법은 다음과 같습니다.

• terminal.backend: docker를 설정하세요. 컨테이너는 몇 가지를 제외한 모든 Linux capabilities를 제거하며, 호스트 시크릿은 docker_forward_env에 나열하지 않는 한 전달되지 않으므로 비워 두세요.
• 승인을 켜 두세요. 기본 smart 모드는 보조 모델이 위험을 판단하게 하고, manual은 위험한 명령마다 확인을 요청합니다. --yolo와 같은 off는 절대 쓰지 마세요.
• TELEGRAM_ALLOWED_USERS 같은 허용 목록을 설정하고, GATEWAY_ALLOW_ALL_USERS=true는 절대 쓰지 마세요.
• chmod 600 ~/.hermes/.env를 실행하고, Hermes가 여러분의 Codex CLI나 Claude Code 로그인을 사용하지 않기를 원한다면 auth.adopt_external_logins: false를 설정하세요.

모든 에이전트에 적용되는 규칙

• 전용 머신이나 OS 사용자를 주세요. 남는 컴퓨터나 작은 서버는 어떤 설정으로도 불가능한 방식으로 피해 범위를 제한합니다.
• 자격 증명의 범위를 좁히세요. 가능하면 별도의 이메일이나 캘린더 계정을 연결하고, 지출 한도가 있는 API 키를 사용하세요.
• 모든 채널에서 에이전트와 대화할 수 있는 사람을 허용 목록으로 관리하세요.
• 예약 작업을 검토하세요. 여러분이 없는 동안 일하는 에이전트는 여러분이 없는 동안 실수도 합니다.

안전이 최우선이라면

직접 보안을 강화해야 하는 에이전트보다 기본적으로 격리하는 에이전트를 고르세요. 개인 에이전트 하나라면 ZeroClaw나 NanoClaw, 특별히 OpenClaw나 Hermes Agent를 원한다면 NemoClaw입니다. 저희의 셀프 호스팅 순위는 안전한 기본값에 큰 비중을 두며, OpenClaw란 무엇인가에서 나머지 트레이드오프를 다룹니다.