vCard와 이메일을 통한 프롬프트 인젝션이 OpenClaw Agent에서 RCE 및 데이터 유출을 가능하게 함

요약

자체 호스팅 AI 에이전트 OpenClaw가 vCard, 이메일 등 공유 연락처를 통해 전달되는 프롬프트 인젝션 공격에 취약하다는 연구 결과가 발표되었습니다. 이는 공격자가 코드 실행(RCE) 및 민감한 데이터 유출을 일으킬 수 있음을 입증했습니다. 특히 에이전트가 메시지 객체를 신뢰하지 않고 LLM에 전달하는 과정의 보안 결함이 핵심 위험 요소로 지적됩니다.

핵심 포인트

• OpenClaw 에이전트는 vCard 및 이메일을 통한 프롬프트 인젝션 공격에 취약합니다.
• 공격 성공 시 RCE(원격 코드 실행)와 민감 데이터 유출이 가능합니다.
• 패치되지 않은 동작 수준의 위험은 여전히 존재하며, 메시지 객체 신뢰도가 문제입니다.