엔도어랩스, 오픈소스 AI 에이전트 프레임워크 오픈클로에서 중고위험 취약점 6건 발견. SSRF, 인증 우회 등 웹 보안 취약점 드러나.
엔도어랩스, 오픈클로 AI 취약점 6건 발견
엔도어랩스 연구팀이 ‘AI 에이전트를 위한 소셜 미디어’로 알려진 오픈소스 AI 에이전트 프레임워크 오픈클로(OpenClaw)에서 중고위험 취약점 6건을 발견했습니다. 이는 엔도어랩스가 AI 기반 정적 애플리케이션 보안 테스트(SAST) 엔진으로 플랫폼을 분석하는 과정에서 확인되었습니다.
해당 엔진은 에이전틱 AI 소프트웨어 내부에서 데이터가 실제로 어떻게 이동하는지 추적하도록 설계되었으며, 이번에 확인된 취약점은 서버사이드 요청 위조(SSRF), 웹훅 인증 누락, 인증 우회, 경로 조작(Path Traversal) 등 여러 웹 보안 범주에 걸쳐 있습니다.
LLM과 도구 실행 결합 시스템 영향
이번 취약점들은 LLM과 도구 실행, 외부 연동을 결합한 복합적인 에이전트형 시스템 전반에 영향을 미칩니다. 연구팀은 각 취약점에 대해 실제 동작하는 개념증명(PoC) 익스플로잇도 공개해 현실 환경에서 악용 가능성을 입증했습니다. 오픈클로 측은 해당 문제에 대한 패치와 보안 권고문을 발표했습니다.
SSRF 경로 인증 우회 파일 경로 이탈 포함
엔도어랩스는 CVE 식별자 대신 취약점 유형과 개별 심각도 기준으로 오픈클로 취약점 6건을 분류해 공개했습니다. 여러 취약점은 서로 다른 도구에서 발생한 SSRF 문제입니다. 이 가운데 하나는 사용자 입력 URL을 받아 외부 웹소켓(WebSocket) 연결을 설정하는 게이트웨이 컴포넌트로, CVSS 점수 7.6을 받았습니다.
또 다른 SSRF는 ‘어빗 인증(Urbit Authentication)'(CVSS 6.5)과 이미지 도구(Image Tool, CVSS 7.6)에서 확인됐습니다. 배포 환경에 따라 내부 서비스나 클라우드 메타데이터 엔드포인트에 접근할 수 있어 중~고위험으로 평가되었습니다.
웹훅 인증 누락 및 인증 우회
접근 통제 실패도 주요 문제로 지적되었습니다. 외부 이벤트를 수신하는 웹훅 핸들러 ‘텔닉스(Telnyx)’는 웹훅 검증 절차가 미흡해 신뢰할 수 없는 출처에서 위조 요청을 보낼 수 있었습니다(CVSS 7.5). 별도로 확인된 인증 우회 취약점(CVSS 6.5)에서는 인증을 거치지 않은 사용자가 보호된 웹훅 기능 ‘트윌리오(Twilio)’를 유효한 자격 증명 없이 호출할 수 있었습니다.
파일 경로 조작 취약점
공개 내용에는 브라우저 업로드 처리 과정에서 발생하는 경로 조작 취약점도 포함되었습니다. 파일 경로에 대한 정제 처리가 충분하지 않아 의도한 디렉토리를 벗어난 위치에 파일을 기록할 수 있는 문제입니다. 해당 항목에는 CVSS 점수가 부여되지 않았습니다.
연구팀은 “AI 기반 분석과 체계적인 수동 검증을 결합하면 AI 인프라를 보호할 수 있는 현실적인 해법이 된다”라며 “기업 환경에서 AI 에이전트 프레임워크 도입이 확대되는 만큼, 기존 취약점뿐 아니라 AI 특화 공격 표면까지 함께 다루는 방향으로 보안 분석이 발전해야 한다”라고 밝혔습니다.
데이터 흐름 추적으로 드러난 위험
엔도어랩스는 기존의 ‘전통적 정적 분석’ 도구가 최신 소프트웨어 스택에서 한계를 보인다고 지적했습니다. 입력값이 여러 단계를 거쳐 변환된 뒤 위험한 연산에 도달하는 구조에서는 맥락을 유지하기 어렵다는 설명입니다. 이를 보완하기 위해 데이터 변환 전반에서 문맥을 유지하는 AI 기반 SAST 방식을 적용했다고 밝혔습니다.
이 접근 방식은 “위험한 연산이 어디에 있는지뿐 아니라 공격자가 제어할 수 있는 데이터가 실제로 해당 지점까지 도달하는지”까지 파악하는 데 도움을 줬다고 연구팀은 설명했습니다. 테스트 엔진은 HTTP 파라미터, 설정값, 외부 API 응답 등 다양한 진입 지점에서 시작한 ‘신뢰할 수 없는 데이터’가 네트워크 요청, 파일 작업, 명령 실행과 같은 보안 민감 지점까지 이동하는 전체 경로를 매핑했습니다.
엔도어랩스는 해당 취약점을 오픈클로 유지관리자에게 책임 공개 방식으로 전달했다고 밝혔습니다. 이후 오픈클로 측이 문제를 수정하면서 연구팀은 기술 세부 내용을 공개했습니다. 이번 공개에는 구체적인 완화 가이드는 포함되지 않았지만, 영향받은 구성 요소 전반에 걸쳐 수정이 이뤄졌다고 설명했습니다.
