메신저 한 줄로 내 PC를 부리는 AI 비서, 오픈클로(OpenClaw) — 깃허브 스타 24만 개를 받고도 중국이 금지한 이유와 안전하게 써먹는 활용 방안 6가지

텔레그램에 "어제 받은 메일 중 답장 안 한 거 정리해줘"라고 한 줄 보냈더니, 내 PC가 메일함을 뒤져 목록을 만들어 보내줍니다. 퇴근길 지하철에서 "서버 로그에 500 에러 있는지 봐줘"라고 보내면 집에 있는 PC가 로그를 읽고 요약해 줍니다. 공상이 아닙니다. 2026년 상반기 깃허브에서 가장 빠르게 별을 모은 프로젝트, 오픈클로(OpenClaw)가 지금 하고 있는 일입니다.

그런데 같은 프로젝트를 두고 마이크로소프트 CEO는 "바이러스 같다"고 했고, 중국은 국유기업과 은행에서 사용을 막았습니다. 깃허브 스타 24만 개짜리 오픈소스가 왜 이렇게 양극단의 평가를 받는 걸까요. 오늘은 오픈클로가 정확히 무엇인지, 실무에서 어디에 써먹을 수 있는지, 그리고 쓰기 전에 반드시 막아야 할 구멍이 무엇인지 정리합니다.

오픈클로, 이름이 네 번 바뀐 사연

오픈클로는 오스트리아 개발자 피터 슈타인버거(Peter Steinberger)가 2025년 11월 공개한 오픈소스 AI 에이전트입니다. 처음 이름은 Warelay였고, 이후 Clawdis, Clawdbot을 거쳐 2026년 1월 말 Moltbot이 됐다가 사흘 만에 다시 OpenClaw로 바뀌었습니다. 중간의 개명은 Anthropic의 상표 문제 제기 때문이었고, 마지막 개명은 "Moltbot이 입에 안 붙어서"였습니다. MIT 라이선스로 완전히 무료이고, 2026년 3월 기준 깃허브 스타 24만 7천 개, 포크 4만 7천 개를 기록했습니다. 2월에는 창시자가 OpenAI에 합류하면서 프로젝트는 비영리 재단(OpenClaw Foundation)이 맡게 됐고, 8월 말에는 설치를 쉽게 하고 UI를 새로 짠 OpenClaw 2.0이 나왔습니다.

기존 챗봇과 결정적으로 다른 점은 하나입니다. 오픈클로는 내 PC(또는 내 서버)에서 돌아가며, 내 파일과 셸과 브라우저를 직접 만집니다. 클라우드 서비스에 질문을 던지는 게 아니라, 내 컴퓨터에 상주하는 비서에게 메신저로 지시를 내리는 구조입니다.

구조는 단순합니다: 메신저 → 게이트웨이 → LLM → 도구

오픈클로의 핵심은 내 PC에서 실행되는 게이트웨이 프로세스입니다. 이 게이트웨이가 텔레그램, 디스코드, 시그널, 왓츠앱 같은 메신저 채널을 열어 두고, 메시지가 오면 외부 LLM(Claude, GPT, DeepSeek, 또는 로컬 모델)에 보내 판단을 받은 뒤, 필요한 도구를 실행합니다. 셸 명령, 파일 읽기와 쓰기, 브라우저 조작, 캘린더와 메일 연동, 외부 API 호출까지 모두 가능합니다.

도구를 어떻게 쓰는지는 스킬(Skill)이라는 단위로 정의합니다. 스킬은 디렉터리 하나에 SKILL.md 파일을 두고, 그 안에 "이 작업은 이렇게 하라"는 절차를 적어 두는 방식입니다. 클로드 코드(Claude Code)의 스킬 개념과 거의 같습니다. 공개 레지스트리인 ClawHub에서 남이 만든 스킬을 받아올 수도 있고, 직접 작성할 수도 있습니다. 실무에서 가장 유용한 팁은 이것입니다. 어떤 작업을 봇과 함께 손으로 한 번 해 본 뒤, "방금 한 걸 스킬로 만들어"라고 시키는 것. 그러면 다음부터는 한 줄 지시로 재현됩니다.

실무 활용 방안 6가지

해외 사용자들의 사례와 제가 직접 검토한 내용을 바탕으로, 당장 써먹을 수 있는 영역을 여섯 가지로 추렸습니다. 공통된 원칙은 하나입니다. 결과를 눈으로 바로 확인할 수 있는 일부터 맡길 것.

1. 아침 브리핑 비서. 매일 아침 정해진 시간에 메일함, 캘린더, 구독 중인 뉴스를 훑어 "오늘 챙길 것 5개"를 텔레그램으로 보내게 합니다. 읽기 전용이라 사고 위험이 가장 낮고, 효과는 바로 체감됩니다. 오픈클로를 처음 설치했다면 이것부터 시작하길 권합니다.

2. 리서치와 모니터링. 경쟁사 공지, 관심 기술의 릴리즈 노트, 특정 제품 가격 변동을 주기적으로 확인하고 바뀐 것만 알려주게 합니다. 사람이 하면 매일 30분씩 새는 일인데, 봇은 지치지 않습니다.

3. 문서와 지식 탐색. 노트 앱, 위키, 로컬 폴더에 흩어진 자료에서 "작년 AKS 업그레이드 때 뭐가 문제였지?" 같은 질문에 답하게 합니다. 사내 문서 RAG를 따로 구축하지 않아도, 폴더 접근 권한만 주면 1차 검색 비서 역할을 합니다.

4. 콘텐츠 제작 파이프라인. 주제를 던지면 초안 작성, 카드 이미지 생성, 블로그 발행까지 이어서 처리하게 합니다. 이 글 역시 비슷한 파이프라인으로 만들어졌습니다. 반복되는 포맷의 콘텐츠일수록 효과가 큽니다.

5. DevOps 운영 보조. "방금 배포 정상이야?"라고 물으면 파드 상태와 최근 로그를 확인해 요약하고, 알림이 울렸을 때 1차 진단 리포트를 만들어 둡니다. 단, 여기서는 읽기 권한만 줍니다. 재시작이나 롤백 같은 쓰기 작업까지 맡기는 건 뒤에 나올 보안 체계를 갖춘 다음의 이야기입니다.

6. 영업과 고객 응대. 해외 소규모 사업자와 프리랜서들이 가장 많이 쓰는 영역입니다. 잠재 고객 조사, 웹사이트 점검, CRM 입력, FAQ 응답, 후속 메일 초안 작성을 봇에게 넘깁니다.

그런데 왜 중국은 금지했고, 메인테이너는 "쓰지 말라"고 했을까

오픈클로의 강점이 곧 약점입니다. 내 메일, 캘린더, 파일, 셸에 접근할 수 있다는 건 잘못 설정하면 그 모든 것이 외부에 노출된다는 뜻입니다. 2026년 들어 나온 보고들을 보면 가볍게 넘길 수준이 아닙니다.

보안 연구자들은 인터넷에 직접 노출된 오픈클로 인스턴스를 100만 개 이상 찾아냈고, 그중 10만 개 이상은 원격 코드 실행이 가능한 상태였습니다. CVSS 8.8점짜리 취약점(CVE-2026-25253)과 여러 건의 커맨드 인젝션 권고가 나왔습니다. 더 심각한 건 스킬 생태계입니다. 공개 레지스트리 ClawHub의 스킬 중 약 17%에서 자격 증명 탈취나 데이터 유출 코드가 발견됐다는 분석이 있고, 시스코 보안팀은 사용자 모르게 데이터를 빼돌리고 프롬프트를 주입하는 서드파티 스킬을 실제로 확인했습니다. 한 대학생은 자기 봇이 시키지도 않은 데이팅 앱 프로필을 만들어 상대를 고르고 있는 걸 발견하기도 했습니다.

그래서 프로젝트 메인테이너 중 한 명은 "커맨드라인을 다룰 줄 모른다면 이 프로젝트는 당신에게 너무 위험하다"고 공개적으로 말했고, 중국 당국은 3월에 국유기업과 정부기관, 은행의 사용을 제한했습니다. 2.0 버전에서도 Secret Store가 저장 시 암호화되지 않고 샌드박스가 기본으로 꺼져 있다는 지적이 나왔습니다.

이 모든 사고의 공통점은 도구 자체가 아니라 설정에서 비롯됐다는 점입니다. 위 체크리스트 여섯 가지만 지켜도 알려진 사고 대부분은 피할 수 있습니다. 특히 게이트웨이를 localhost에만 묶고, 관리자 계정이 아닌 전용 계정으로 돌리고, 스킬을 설치하기 전에 SKILL.md와 소스를 열어 네트워크 호출이 있는지 직접 보는 것, 이 세 가지는 타협하면 안 됩니다.

도입은 3단계로: 개인 실험 → 스킬 축적 → 업무 확장

개인이든 팀이든 권하는 순서는 같습니다. 1단계는 격리된 VM이나 컨테이너에서 읽기 전용 작업(요약, 검색, 브리핑)만 1~2주 돌려 보는 것입니다. 봇이 어떤 식으로 판단하고 어디서 헛발질하는지 감을 잡는 기간입니다. 2단계는 손으로 해 본 작업을 하나씩 스킬로 저장하면서, 허용된 스킬 목록을 관리하기 시작하는 단계입니다. 3단계에 가서야 전용 계정과 로그, 감사 체계를 갖추고 업무 도구를 연결합니다. 기업이라면 이 단계에서 오픈클로를 권한 있는 서비스 계정처럼 취급해 발급, 정기 권한 검토, 회수 절차를 두어야 합니다.

흥미로운 건 마이크로소프트의 태도 변화입니다. 2월에 "바이러스"라고 불렀던 그 회사가 5월에는 오픈클로 기반 데스크톱 환경 "ClawPilot"을 내부에서 테스트하고 있다는 보도가 나왔습니다. 금지보다 통제가 현실적이라는 판단이 업계 전반에 퍼지고 있는 셈입니다. 직원들은 어차피 쓸 것이고, 막는 것보다 안전하게 쓰는 틀을 주는 편이 낫다는 결론입니다.

정리

오픈클로는 "LLM에게 내 컴퓨터를 맡긴다"는 아이디어를 가장 빠르게 현실로 만든 프로젝트입니다. 메신저 한 줄로 PC를 부리는 경험은 한번 맛보면 돌아가기 어렵습니다. 동시에, 권한을 넘기는 만큼 책임도 넘어옵니다. 권한은 나중에 얼마든지 늘릴 수 있지만, 유출된 데이터는 되돌릴 수 없습니다. 읽기 전용 작업 하나로 작게 시작하고, 체크리스트를 지키며 넓혀 가시길 권합니다.

참고: Wikipedia "OpenClaw" 항목(2026.9 기준), TechTarget "OpenClaw security best practices for CISOs", Cisco AI Security 보고, GeekNews의 Addy Osmani 2026 AI 코딩 트렌드 정리, MyClaw 블로그. 수치는 2026년 상반기 보도 기준이며 이후 변동될 수 있습니다.