사용자의 컴퓨터나 클라우드에서 직접 실행되는 오픈소스 AI 에이전트 프레임워크 오픈클로(OpenClaw)가 2026년 8월 31일 버전 2026.8.1, 이른바 오픈클로 2.0을 발표했다. 프로젝트 역사상 최대 규모인 이번 업데이트의 핵심은 복잡했던 설치 절차를 줄이고, 개인용 자동화 도구를 여러 사람이 함께 쓰는 협업 환경으로 확장하며, 초기 버전에서 지적된 보안 문제를 제품 구조 안에서 다루기 시작했다는 데 있다.
오픈클로는 질문에 답하는 브라우저 챗봇과 달리 사용자의 환경에서 작업을 수행하는 에이전틱 AI에 가깝다. 에이전틱 AI란 모델이 답변 생성에 머물지 않고 도구와 파일, 외부 서비스를 이용해 여러 단계의 업무를 실행하는 방식을 뜻한다. 이번 발표는 OpenAI Group PBC가 창립자 Peter Steinberger를 영입한 뒤 나온 첫 메이저 업데이트이기도 하다.
설치 장벽을 낮추고 협업을 전면에 세웠다
가장 즉각적인 변화는 초기 설정이다. 새 버전은 사용자 컴퓨터에 이미 있는 ChatGPT·Claude 구독과 API 키, 로컬에 설치된 모델을 자동으로 감지한다. 특정 모델 공급자에 종속되지 않는 구조도 유지해 호스팅형·구독형·API·로컬 모델을 모두 지원한다.
브라우저 인터페이스는 보조 도구가 아니라 주 인터페이스로 다시 만들어졌다. 채팅 중심의 제어 센터에서 대화와 설정, 작업 모니터링, 워크플로우 관리를 처리할 수 있고 새 위젯과 대화 검색도 추가됐다. 검색은 정확한 텍스트뿐 아니라 단어와 구문을 대상으로 한다. WhatsApp·Telegram·Discord·Slack 등 여러 메신저 채널을 지원하면서도, 운영의 중심은 브라우저 대시보드로 모으는 구성이다.
협업의 중심에는 공유 클라우드 세션이 있다. 여러 사용자가 진행 중인 에이전트 세션에 기존 맥락을 유지한 채 참여하는 기능이다. 기업 측 설명대로 그룹이 동일한 AI 에이전트로 함께 작업할 수 없었던 이전 제약을 없애는 변화다. 개인 자동화 도구를 팀·가족이 함께 쓰는 워크플로우로 넓힌 것이다.
933명과 1만6000건이 보여주는 전환 규모
InfoQ에 따르면 이번 릴리스에는 933명의 기여자가 참여했고 1만6000건 이상의 풀 리퀘스트가 병합됐다. 약 두 달간 진행된 안정화 사이클에서 프로젝트 창립 이후 전체 풀 리퀘스트의 절반이 한꺼번에 반영됐다. 수석 아키텍트 Vincent Koc은 “이번 한 릴리스에 프로젝트 창립 이후 전체 PR의 50%가 담겼다”고 설명했다.
InfoQ가 전한 창립자 Peter Steinberger의 발언은 “노드와 클라우드 세션으로 가능해진 멀티플레이어 코딩과 무한한 컴퓨팅이 우리가 개발하는 방식을 완전히 바꿔 놓았다”는 것이다.
다만 변화의 폭이 큰 만큼 커뮤니티 반응은 엇갈렸다. 순조로운 업그레이드를 반기는 사용자들이 있는 반면 마이그레이션 문제, 게이트웨이 오류, 기존 자동화 손실, 인증 문제를 보고한 사례도 있었다. 게이트웨이는 사용자와 에이전트, 외부 서비스 사이의 요청과 접근을 통제하는 관문이다.
보안을 정면에 내세운 이유
초기 오픈클로에는 루트 권한 동작과 부족한 샌드박싱 등 심각한 보안 취약점이 지적됐다. 샌드박싱은 프로그램이 접근할 수 있는 파일과 자원을 제한해 문제가 생겨도 피해 범위를 가두는 방식이다. 파일과 자격증명을 다루는 에이전트에서는 답변의 정확성뿐 아니라 무엇을 읽고 실행할 수 있는지가 핵심 위험이 된다.
2.0은 명시적 신뢰 경계, 최소 권한 원칙, 역할 기반 권한 관리와 게이트웨이 접근 통제를 강화했다. 파일시스템 접근은 사전에 등록한 작업공간으로 고정되며 승인 범위 밖의 파일에는 접근할 수 없다. 세션 권한 모드를 통해 팀 운영자는 사용자별로 접근 가능한 에이전트를 제한하고 자동화 작업의 승인 상태를 지속적으로 관리할 수 있다.
자격증명 처리도 달라졌다. 에이전트는 마스크된 프롬프트로 시크릿을 요청해 실제 값이 채팅 기록이나 모델 컨텍스트에 드러나지 않게 할 수 있다. SQLite 기반 팀 시크릿 관리, 서비스 계정 인증과 감사 기록을 포함한 1Password 연동도 지원한다. 선택적 프록시는 승인된 목적지에만 외부 요청을 허용해 유출 경로를 좁힌다.
외부 플러그인을 설치할 때는 기능과 출처, 버전, 아티팩트 세부사항을 먼저 보여준다. 신뢰할 수 없는 출처는 --force 플래그가 필요하고, 공식 저장소 ClawHub의 검수를 거친 소스는 경고를 생략할 수 있다. 어느 경우든 플러그인이 요구하는 기능에는 사용자가 동의해야 한다.
기업용 보안 제품은 2.0보다 먼저 나왔다
오픈클로는 2025년 11월 처음 공개됐다. 초기 보안 공백이 드러나자 미국 뉴욕의 스타트업 런레이어(Runlayer)는 2.0보다 앞선 2026년 2월 기업용 보안 솔루션을 내놓았다. 8월 31일 발표에 대한 대응이 아니라 그 전에 나온 제품이다.
런레이어는 SOC 2와 HIPAA 인증을 획득했다. 핵심 기능 ToolGuard는 위험한 명령을 0.1초 안에 차단하고 AWS 키와 데이터베이스 자격증명 같은 민감정보 유출을 90% 이상 탐지하며, Okta·Entra 등 기업 인증 시스템과 연동된다. 앤디 버먼 CEO는 내부 테스트에서 프롬프트 인젝션 방어율이 8.7%에서 95%로 높아졌다고 밝혔다.
버먼 CEO는 AI타임스에 “보안 엔지니어 한명이 40번의 메시지 교환만으로 오픈클로를 완전히 장악했다”며 “API 키만 가진 일반 사용자 환경에서도 한 시간 만에 침해가 가능했다”고 밝혔다. 또 “직원들에게 쓰지 말라고 통제하는 단계는 이미 2024년 끝났다”고 강조했다.
오픈클로, 새 통제 기능은 격리 수단이 아니라고 경고
오픈클로는 이번 통제 기능이 협업 기능이며 적대적인 멀티테넌트 격리 수단으로 취급해서는 안 된다고 경고했다. 멀티테넌트 격리는 서로 신뢰하지 않는 사용자나 조직의 데이터와 실행 환경을 강하게 분리하는 체계다.
