오픈클로 2.0 업그레이드 전 확인할 5가지, 백업 없이 올리면 되돌리기 어렵습니다
오픈클로(OpenClaw) 2.0이 공개됐습니다. 세션 저장 방식이 SQLite로 바뀌고 자격증명·플러그인 통제가 강화됐지만 '보안 기본값'은 아닙니다. 바뀐 점과 업그레이드 전 점검 항목을 정리했습니다.
오픈클로 2.0은 설치·속도·자격증명 관리가 크게 개선된 대형 업데이트지만, 켜기만 하면 안전해지는 ‘보안 기본값’은 아닙니다. 특히 세션 저장 방식이 바뀌어 백업 없이 올리면 되돌리기가 까다롭습니다.
AI 에이전트를 내 PC에서 돌리는 오픈소스 프로젝트 오픈클로(OpenClaw)가 프로젝트 역사상 가장 큰 규모의 업데이트인 2.0(v2026.8.1)을 내놨습니다. “보안이 대폭 강화됐다”는 소식에 이제 설치해도 되는지 궁금해하는 분들을 위해, 무엇이 바뀌었고 무엇은 그대로인지 정리했습니다.
오픈클로가 뭔가요
2025년 11월 오스트리아 개발자 페터 슈타인베르거가 처음 공개한 자체 호스팅형 AI 비서입니다. 클라우드 서비스에 가입하는 방식이 아니라 내 컴퓨터(또는 내가 빌린 서버)에서 직접 돌아가고, 왓츠앱·텔레그램·디스코드 같은 메신저나 브라우저 화면을 창구 삼아 지시를 받습니다. 공개 초기에는 이름이 여러 차례 바뀌어 클로드봇(Clawdbot)·몰트봇(Moltbot) 등으로 불리다 2026년 1월 지금의 이름으로 정착했습니다.
문제는 이 에이전트가 내 파일·브라우저 세션·계정에 실제로 손댈 수 있는 권한을 갖는다는 점입니다. 편리함과 위험이 같은 뿌리에서 나오고, 그래서 공개 이후 줄곧 보안 논란이 따라다녔습니다.
2.0에서 실제로 바뀐 것
| 영역 | 변경 내용 |
|---|---|
| 세션 저장 | 파일 기반 → SQLite 데이터베이스로 이전 (다운그레이드 까다로움) |
| 초기 설정 | 기기에 이미 있는 AI 로그인·API 키를 찾아주고, 저장 전에 실제로 작동하는지 검증 |
| 자격증명 | 가려진 입력창으로 비밀값을 요청해 대화 기록·모델 입력에 노출되지 않게 처리 |
| 플러그인 | 설치 시 출처·권한을 확인하도록 절차 강화. 비대화형 설치에서 새 출처(npm·git·로컬 경로·마켓플레이스 등)를 추가하려면 --force 필요 |
| 권한 | 세션별 권한 모드(deny·allowlist·ask·auto·full), auto 사용 시 작업 폴더 범위로 쓰기 제한, 공유 세션의 소유자·관리자 역할 구분 |
| 화면·속도 | 브라우저 제어 화면 재작성. JS 요청 140개→45개, 시작 약 1.6초→575ms (모의 게이트웨이 환경에서 프로젝트가 자체 측정한 값) |
“보안 강화”를 오해하면 안 되는 지점
가장 중요한 대목입니다. 2.0의 공유 클라우드 세션은 여러 사람이 함께 쓰는 기능이지만, 개발진은 이 접근 권한 설정이 테넌트 격리도 보안 경계도 아니라고 직접 못박았습니다. 게이트웨이 하나 = 신뢰 경계 하나라는 구조여서, 같은 게이트웨이에 붙은 사람은 사실상 같은 울타리 안에 있습니다.
시크릿 모드도 마찬가지입니다. 대화를 디스크에 남기지 않을 뿐, 메시지는 모델 제공사로 가고 도구는 여전히 파일을 쓰고 외부에 접속합니다. 즉 2.0은 “단단하게 잠글 수 있는 재료”를 준 것이지, 잠가 준 것이 아닙니다. 잠그는 결정은 사용자가 의식적으로 해야 합니다.
흔히 하는 실수
- 백업 없이 바로 업그레이드 — 설정 자동 복사본은 전체 상태 백업이 아닙니다. 되돌릴 때 가장 후회하는 지점입니다.
- 플러그인 경고를 습관적으로 넘김 — 2.0이 출처·권한을 보여주게 만든 이유가 여기 있습니다. 읽지 않으면 개선 효과가 0입니다.
- 작업 폴더를 홈 디렉터리 전체로 지정 — 폴더 제한 기능을 무력화합니다. 필요한 폴더만 좁게 지정하세요.
- 운영 중인 계정 자격증명을 그대로 연결 — 실계정 대신 권한을 줄인 별도 계정·키부터 시험하는 편이 안전합니다.
정리 — 업그레이드 전 체크리스트
- 업그레이드 전에 검증된 백업 만들기(복원까지 한 번 확인)
- 쓰던 플러그인·모델 연결이 2.0에서 지원되는지 확인
- 디스크 여유 공간과 게이트웨이 상태 점검(마이그레이션 중단 방지)
- 세션 권한 모드와 작업 폴더 범위를 좁게 재설정
- 팀·공유 세션은 “격리 아님”을 전제로, 민감 자료는 아예 올리지 않기
- 설치 명령·요구 사양·마이그레이션 절차는 자주 바뀌므로 공식 문서의 최신 안내 확인
새 기능보다 먼저 확인할 것은 “되돌릴 수 있는가”입니다. 백업 하나가 업그레이드 실패의 대부분을 막아 줍니다.
자주 묻는 질문
오픈클로 2.0으로 올리면 이전 버전으로 되돌릴 수 있나요?
쉽지 않습니다. 2.0에서 세션·대화 기록 저장 방식이 파일에서 SQLite 데이터베이스로 바뀌었고, 다운그레이드하려면 현재 CLI로 보관된 기존 기록을 먼저 복원하는 과정을 거쳐야 합니다. 마이그레이션 이후 새로 만든 세션은 예전 빌드에서 아예 보이지 않습니다. 그래서 프로젝트 측도 업그레이드 전 '검증된 백업'을 먼저 만들라고 안내합니다.
2.0이 나왔으니 이제 보안 걱정 없이 써도 되나요?
아닙니다. 개발진 스스로 공유 클라우드 세션의 접근 권한 설정이 '테넌트 격리(사용자 간 완전 분리)도 보안 경계도 아니다'라고 명시했습니다. 게이트웨이 하나가 곧 신뢰 경계 하나라는 구조여서, 안전하게 쓰려면 권한 모드·작업 폴더 제한·플러그인 검증을 사용자가 직접 설정해야 합니다.
시크릿(익명) 모드를 켜면 대화가 완전히 사라지나요?
디스크에 대화 기록을 남기지 않을 뿐입니다. 메시지는 여전히 모델 제공사로 전송되고, 에이전트가 쓰는 도구는 파일을 쓰거나 외부 서비스를 호출할 수 있습니다. 게이트웨이 운영자가 활동을 볼 수 있다는 점도 함께 고려해야 합니다. '흔적이 아예 안 남는다'는 뜻으로 이해하면 안 됩니다.