OpenClaw 위협 모델 기여하기

개발을 하다 보면 보안이 중요하다는 건 잘 알지만, 막상 어디서부터 손을 대야 할지 막막할 때가 많아요. 내가 발견한 작은 허점이 정말 위협이 될지 확신이 서지 않아 머뭇거리게 되기도 하죠.

OpenClaw는 보안 전문가가 아니더라도 누구나 위협 모델링에 참여할 수 있는 환경을 만들고 있어요. 복잡한 프레임워크를 몰라도 괜찮아요. 여러분의 시각에서 본 위험 요소를 공유해 주는 것만으로도 큰 도움이 됩니다.

필요한 것

5분 안에 위협 모델에 기여하는 방법이에요.

openclaw/trust 이슈 페이지로 이동하세요.
새로운 이슈를 만드세요.
발견한 공격 시나리오를 본인의 언어로 자유롭게 설명해 주세요.
(선택 사항) 해당 위협이 OpenClaw의 어떤 부분(CLI, Gateway, ClawHub 등)에 영향을 주는지, 심각도는 어느 정도인지 적어주면 더 좋아요.

아직 문서화되지 않은 공격 벡터나 리스크를 발견했나요? openclaw/trust에 이슈를 열고 설명해 주세요. ATLAS 매핑이나 위협 ID 부여 같은 복잡한 작업은 리뷰 과정에서 저희가 처리할게요.

주의: 이 과정은 위협 모델을 개선하기 위한 것이지, 실제 취약점을 보고하는 창구가 아니에요. 실행 가능한 취약점을 발견했다면 Trust 페이지의 안내에 따라 제보해 주세요.

기존 위협을 해결할 아이디어가 있다면 이슈나 PR을 보내주세요. “Rate limiting 구현”처럼 모호한 제안보다는 “Gateway에서 발신자당 분당 10개 메시지로 제한”처럼 구체적이고 바로 적용 가능한 제안이 좋아요.

여러 위협이 합쳐져 실제 공격으로 이어지는 시나리오를 그려보세요. 공격자가 각 단계를 어떻게 연결하는지 설명하는 짧은 서술형 시나리오가 형식적인 템플릿보다 훨씬 가치 있어요.

오타 수정, 설명 보강, 오래된 정보 갱신 등은 이슈 없이 바로 PR을 보내주셔도 괜찮아요.

이 위협 모델은 AI 시스템을 위한 프레임워크인 MITRE ATLAS를 기반으로 해요. Prompt injection이나 도구 오용 같은 AI 특화 위협을 다룹니다.

리뷰 과정에서 다음과 같은 카테고리에 따라 ID(예: T-EXEC-003)가 부여돼요.

실제 취약점을 발견했어요: 위협 모델 이슈로 올리지 마세요. Trust 페이지를 통해 책임 있는 공개(Responsible Disclosure) 절차를 따라주세요.
ATLAS 매핑을 어떻게 하는지 모르겠어요: 걱정 마세요. 시나리오만 설명해 주시면 메인테이너가 리뷰 단계에서 직접 매핑을 진행해요.

궁금한 점이 있다면 Discord의 #security 채널에서 대화하거나 GitHub 이슈를 활용해 주세요. 기여해주신 내용은 OpenClaw 보안 명예의 전당과 릴리스 노트에 기록됩니다.

OpenClaw Expert

이 문서에서 답을 못 찾았다면 OpenClaw Expert에게 바로 물어보세요.