IronClaw AI 리뷰: NEAR AI의 Rust 에이전트, 셀프 호스팅 또는 TEE에서

IronClaw는 NEAR AI가 만든 개인 AI 에이전트로, Rust로 작성되었으며 보안에 초점을 맞춘 OpenClaw로 소개됩니다. 버전 0.1.0은 2026년 2월 12일에 출시되었고, 재작성된 1.0이 2026년 7월 27일에 뒤따랐습니다(릴리스). 2026년 11월 8일에 확인했을 때 GitHub 스타는 12,716개였습니다. 이 리뷰는 nearai/ironclaw 저장소의 에이전트를 다룹니다.

흥미로운 부분은 시크릿을 다루는 방식입니다. 걸리는 점은 샌드박스가 확장 기능을 다룰 뿐, 에이전트가 여러분의 머신에서 실행하는 셸 명령은 다루지 않는다는 것입니다.

설치하기

Node나 Python 스택 없이 바이너리 하나만 설치합니다. 퀵스타트는 macOS와 Linux용 셸 설치 프로그램과 Windows용 PowerShell 설치 프로그램을 제공합니다(최신 릴리스에는 MSI도 포함됩니다). 그런 다음 ironclaw onboard가 모델 제공업체를 묻고, ~/.ironclaw를 만들고, 마스터 암호화 키를 OS 키체인에 넣고, 127.0.0.1:3000의 웹 UI 로그인 링크를 출력합니다.

사용자가 한 명이라면 별도로 실행할 데이터베이스 서버가 없습니다. 상태는 임베디드 데이터베이스 파일에 저장됩니다. 다중 사용자 구성은 PostgreSQL로 옮겨 갑니다. macOS와 Linux에서는 ironclaw service install이 launchd 또는 systemd 서비스를 등록하므로 터미널을 닫아도 에이전트가 계속 실행됩니다(서비스 문서). Windows에는 서비스 옵션이 없어 ironclaw serve를 포그라운드에서 계속 실행해 두어야 하므로, 상시 가동 에이전트의 호스트로는 적합하지 않습니다.

ZeroClaw처럼 TOML 파일을 직접 편집하는 것과 비교하면, 셀프 호스팅 에이전트 중 첫 실행이 쉬운 편에 속합니다.

자격 증명: 가장 강한 부분

에이전트의 모델이 여러분의 API 키를 읽을 수 있다면, 프롬프트 인젝션으로 키를 출력하도록 유도할 수 있습니다. IronClaw는 시크릿을 AES-256-GCM으로 암호화하고, 마스터 키를 OS 키체인에 보관하며, 자격 증명을 네트워크 프록시에서 주입합니다. 샌드박스 도구 문서에 따르면 자격 증명은 “are never passed into the WASM module’s memory”(WASM 모듈의 메모리로 절대 전달되지 않습니다). 도구는 인증되지 않은 요청을 보내고 프록시가 헤더를 추가합니다. 모델은 원시 토큰을 보지 못하므로 유출할 수도 없습니다. 이는 Gmail, Calendar, Drive, GitHub 확장 기능에서 특히 중요합니다.

샌드박스가 다루는 것과 다루지 않는 것

확장 기능은 WebAssembly 샌드박스에서 실행됩니다. 같은 문서에 따르면 WASM 도구는 경로를 선언하지 않는 한 파일 시스템에 접근할 수 없고, 프로세스를 생성하거나 셸 명령을 실행할 수 없으며, capabilities.json에 나열된 호스트에만 접속할 수 있습니다. 그 외의 접속은 연결이 열리기 전에 프록시가 거부합니다.

이는 실제 경계이지만, 에이전트 자체가 아니라 확장 기능에 적용됩니다. 기본 프로필인 local-dev는 호스트 워크스페이스와 로컬 호스트 프로세스로 해석됩니다(소스). 셸 명령과 파일 편집은 여러분의 머신에서 직접 실행되며, 에이전트는 파괴적인 작업 전에만 확인을 요청합니다. Docker 격리에는 다른 프로필이 필요하며, 설정 문서는 프로필이 “is a security boundary, not a preset”(프리셋이 아니라 보안 경계)라고 말합니다. 그래서 이 페이지의 체크리스트는 IronClaw를 기본적으로 샌드박싱되지 않음으로 표시합니다. 에이전트의 셸을 격리하고 싶다면 VM이나 별도 사용자 계정에서 실행하거나, NanoClaw나 NemoClaw처럼 기본적으로 격리하는 에이전트를 고르세요.

텔레메트리와 모델

README는 텔레메트리, 분석, 데이터 공유가 없다고 말합니다. 크레딧을 받는 대가로 수정된 실행 트레이스를 보내는 Trace Commons는 옵트인하지 않으면 꺼져 있습니다(문서). 프롬프트는 여전히 여러분이 선택한 제공업체로 전송되며, 문서가 권장하는 기본값은 NEAR AI입니다. Anthropic, OpenAI, OpenRouter 및 약 20개의 다른 제공업체로 바꿀 수 있고, Codex 제공업체를 통해 ChatGPT 구독을 사용하거나, Ollama, vLLM, LM Studio로 모든 것을 로컬에 둘 수 있습니다(제공업체).

소프트웨어는 MIT 또는 Apache-2.0 이중 라이선스입니다.

1.0 재작성과 채널

1.x 재작성에서 Discord, Signal, WhatsApp이 빠졌습니다. 남은 채팅 채널은 Slack과 Telegram뿐이며(채널), 그 외에 웹 UI, 터미널, OpenAI 스타일 Responses API가 있습니다. 두 채널 모두 웹훅으로 전달하므로, 가정용 라우터 뒤의 노트북이라면 Telegram이 접근할 수 있도록 공개 호스트나 터널이 필요합니다. 1.0 이후 마이너 릴리스 사이에도 설정과 채널이 바뀌었으므로, 업그레이드 전에 변경 로그를 읽어 보세요.

자리를 비운 동안의 작업

자격 증명 다음으로 IronClaw가 가장 강한 부분입니다. cron, 이벤트, 웹훅 루틴, 백그라운드 서브에이전트, 그리고 30분마다 검토하는 HEARTBEAT.md 체크리스트가 있습니다(하트비트). 메모리는 디스크의 검색 가능한 워크스페이스에 저장됩니다.

NEAR AI의 호스팅 인스턴스

직접 운영하고 싶지 않다면, NEAR AI는 Agent Hub를 통해 NEAR AI Cloud의 Trusted Execution Environment에서 실행되는 호스팅 인스턴스를 제공합니다. 플랜은 인스턴스 하나가 포함된 무료 Starter 등급부터 월 200달러까지 있으며, 이 페이지의 가격표에 나와 있습니다. SSH 로그인과 브라우저 게이트웨이가 제공되고, 업데이트는 NEAR AI가 처리합니다.

누구에게 맞을까

IronClaw는 모델이 읽을 수 없는 API 키를 갖춘 상시 가동 에이전트를 원하고, 주로 Slack, Telegram 또는 브라우저로 작업하며, Mac이나 Linux 머신을 쓰는 사람에게 적합합니다. WhatsApp, Discord, iMessage가 필요하거나, 셸 명령이 기본적으로 격리되기를 원하거나, Windows에서 호스팅하려 한다면 덜 적합합니다.

비교

• ZeroClaw도 MIT 또는 Apache-2.0 라이선스의 단일 Rust 바이너리이지만, 도구를 기본적으로 샌드박싱하고 더 많은 채널을 제공합니다.
• OpenClaw는 훨씬 많은 채널과 훨씬 큰 커뮤니티를 갖추고 있지만, 기본적으로 텔레메트리를 보내고 기본 샌드박싱도 하지 않습니다. OpenClaw는 안전한가?를 참고하세요.
• 저희가 만드는 Rakazo는 기본적으로 샌드박싱되고 텔레메트리가 없으며 WhatsApp, iMessage, 모바일 앱을 추가로 지원하지만, 단일 바이너리가 아니라 Docker Compose에서 실행됩니다.

더 많은 선택지는 OpenClaw 대안과 최고의 셀프 호스팅 AI 에이전트를 참고하세요.