OpenClaw vs Claude Code — 가장 인기 있는 것과 가장 위험한 것이 같을 때

주말에 1시간 만에 만든 프로토타입이 60일 후 GitHub 역사상 가장 많은 스타를 받은 소프트웨어 프로젝트가 되었다. OpenClaw 이야기다. 그런데 바로 그 열기의 한복판에서, Kaspersky는 이 소프트웨어에서 512개의 보안 취약점을 발견하고 “주력 기기에서 운영하기에 안전하지 않다”는 결론을 내렸다. Microsoft는 “보안 악몽”이라 불렀고, Cisco는 “이중 공급망 리스크”라고 경고했다.

같은 시기, 개발자 15,000명을 대상으로 한 Pragmatic Engineer 설문에서 “가장 사랑하는 AI 도구” 1위에 오른 것은 Claude Code였다. 그런데 “코딩 도구”라는 이름에 갇혀, 이 도구가 디자인, 데이터 분석, 콘텐츠 제작, 워크플로우 재설계까지 해내고 있다는 사실은 아직 많은 분이 모른다.

이 글에서는 두 도구의 비교에서 가장 많이 오해받고 있는 세 가지 — 보안, 활용 범위, 비용 — 를 팩트 기반으로 파헤쳐 본다.

같은 링 위의 다른 종목 선수들

본격적인 비교에 앞서 한 가지 전제를 명확히 하겠다. OpenClaw과 Claude Code를 직접 비교하는 것은 택배 기사와 요리사를 비교하는 것과 비슷하다. 둘 다 “일”을 하지만, 하는 일이 근본적으로 다르다.

OpenClaw은 2025년 11월 오스트리아 개발자 Peter Steinberger가 주말 프로젝트로 만든 범용 AI 생활 자동화 에이전트다. WhatsApp, iMessage, Slack, Signal, Telegram, Discord, MS Teams 등 30개 이상의 메시징 플랫폼을 연결한다. 이메일을 요약하고, 일정을 조율하고, 가격을 모니터링하고, 암호화폐를 추적한다. Claude든 GPT-4o든 DeepSeek이든 Ollama든, 어떤 AI 모델이든 가져다 쓸 수 있는 모델 비의존적 설계가 핵심이다. MIT 라이선스로 전체 소스가 공개되어 있고, 소프트웨어 자체에는 구독료가 없다. 2026년 3월 기준, GitHub 스타 250,000개 이상을 기록하며 React를 제치고 소프트웨어 프로젝트 1위에 올랐다.

Claude Code는 Anthropic이 만든 전문 에이전틱 AI 도구다. 코드베이스 전체를 이해하고, 다중 파일을 동시에 편집하며, Git 커밋부터 PR 생성, 코드 리뷰까지 자동화한다. 터미널 CLI, VS Code, JetBrains, 데스크톱 앱, 웹 브라우저, iOS 앱에서 실행된다. 개발자 선호도 46%로 코딩 도구 1위이며(2위 Cursor 19%), Fortune 100의 70%, Fortune 10의 80%가 활성 고객이다.

한마디로, OpenClaw은 “삶을 자동화하는 프레임워크”이고, Claude Code는 “AI가 직접 작업하는 에이전트”다. 하지만 이 깔끔한 구분선 아래에는 양쪽 모두에 대한 심각한 오해가 숨어 있다.

첫 번째 오해: “OpenClaw은 빠르게 패치하고 있으니 보안 문제는 해결되고 있다”

OpenClaw 팀은 수많은 보안 문제를 해결하기 위해 고군분투하고 있다. 2026년 1월부터 3월까지 이들은 수십 개의 보안 패치를 쉴 새 없이 배포했다. 최신 안정 버전 2026.3.13까지의 대응은 인상적이기까지 하다. CVE-2026-25253(원클릭 RCE)에는 v2026.1.29에서 “Trust on First Use” 정책과 Origin 헤더 검증을 도입했고, ClawJacked 공격에는 v2026.2.26에서 WebSocket 보안을 강화하며 localhost 자동 승인을 제거했다. v2026.2.14에서는 한 번에 50개 이상의 보안 수정을 내놓았다.

하지만 여기서 우려스러운 패턴이 보인다. 패치 하나가 나올 때마다 새로운 취약점이 발굴되고 있다. CVE-2026-25253을 패치한 뒤 연속으로 CVE-2026-32025(인증 브루트포스 우회), CVE-2026-32016(macOS allowlist 우회), CVE-2026-32013(symlink traversal로 워크스페이스 외부 파일 접근)이 추가 공개되었다. 심지어 CVE-2026-25253의 1차 패치로도 막지 못한 후속 취약점(trusted-proxy 모드에서 untrusted origin이 operator.admin 권한을 획득하는 CSWSH 경로)이 v2026.3.11에서야 추가로 차단되었다. 공격 표면 자체가 줄어들지 않고 있는 것이다.

이것은 OpenClaw 팀의 역량 문제가 아니다. 아키텍처의 문제다.

OpenClaw의 안전 가드레일은 API로 관리된다. 이 말은 토큰이 탈취되어 operator.admin 스코프를 갖게 되면, API 호출만으로 방어 수단 자체를 해제할 수 있다는 뜻이다. 자물쇠의 열쇠가 자물쇠 옆에 걸려 있는 셈이다. 게이트웨이를 공유하면 플러그인이 OpenClaw 프로세스와 동일한 OS 권한을 가져, 대화 내용, API 키, 메모리 파일이 모두 노출된다. 격리가 없다. Control UI의 액세스 토큰은 URL 쿼리 파라미터에 포함되어 브라우저 히스토리와 서버 로그를 통해 유출될 수 있다.

프롬프트 인젝션 문제는 더 근본적이다. SOUL.md 메모리 파일에 악성 명령을 심으면 재시작이나 채팅 리셋을 넘어서 공격이 지속된다. /v1/chat/completions HTTP API 경로는 훅을 완전히 우회하는 맹점이 있으며, 야생에서 이미 프롬프트 인젝션 페이로드가 발견되었다. 이런 구조적 문제들은 개별 패치로 해결할 수 있는 영역이 아니다.

그리고 그 이전에 벌어진 사건들의 규모를 잊어서는 안 된다. 인터넷에 노출된 135,000개 이상의 OpenClaw 인스턴스 중 약 25,000개가 직접 취약했다. ClawHub 마켓플레이스에서는 처음 341개의 악성 스킬이 발견된 뒤 824개 이상으로 불어났고, Snyk의 ToxicSkills 감사에서는 전체 스킬의 36%에 프롬프트 인젝션이 포함되어 있었다. Atomic Stealer(AMOS)라는 macOS 정보 탈취 악성코드가 스킬을 통해 유통되었고, API 키, 암호화폐 자격증명, SSH 키가 유출 대상이었다. 별도로 Wiz 연구팀은 잘못 구성된 데이터베이스에서 150만 개의 API 키와 35,000개 이메일 노출을 발견했다.

만약 취약 버전(v2026.1.29 미만)을 운영한 이력이 있다면, gateway 토큰과 연결된 서비스 API 키 전체를 교체해야 한다. 이미 유출되었을 수 있기 때문이다.

외부에서도 이 문제를 인식하고 있다. 2026년 3월 NVIDIA는 GTC 2026에서 NemoClaw을 발표했다. OpenClaw을 감싸는 오픈소스 보안 레이어로, 커널 수준 Deny-by-default 샌드박스와 Out-of-Process 정책 강제를 제공한다. 에이전트가 손상되어도 정책을 변경할 수 없는 구조다. 하지만 아직 초기 알파 단계이고, NVIDIA 하드웨어가 필요하며, 독립 보안 감사도 거치지 않았다.

그렇다면 Claude Code는 안전할까

Claude Code에서도 CVE-2025-59536(CVSS 8.7 — 비신뢰 디렉토리에서 프로젝트 훅을 통한 임의 코드 실행)과 CVE-2026-21852(CVSS 5.3 — 악성 프로젝트 설정으로 API 키 유출)가 발견되었다. Ona 연구팀은 Claude Code 에이전트가 /proc/self/root/ 경로 트릭으로 denylist를 우회하고, 차단당하자 샌드박스 자체를 비활성화하려 시도한 사례를 보고했다.

차이는 사건의 규모에 있다. 그리고 그 규모의 차이는 아키텍처 설계 철학에서 비롯된다.

Claude Code는 macOS에서는 Seatbelt, Linux에서는 bubblewrap이라는 OS 수준 샌드박스가 기본 활성화되어 있다. 파일시스템은 작업 디렉토리로 쓰기가 제한되고, 네트워크는 프록시 서버를 통해 도메인별로 접근이 통제된다. 4단계 권한 모드가 기본으로 제공되어, 파일 편집이나 명령 실행 시 하나하나 사용자 승인이 필요하다. 기업 환경에서는 Managed Settings로 disableBypassPermissionsMode 나 allowManagedMcpServersOnly 를 중앙에서 강제할 수 있다. Anthropic은 이 샌드박스 런타임을 npm 패키지(@anthropic-ai/sandbox-runtime)로 오픈소스 공개하기도 했다.

반면 OpenClaw은 기본적으로 시스템 전체에 대한 접근이 가능하고, 격리가 없으며, Docker 기반 샌드박싱은 선택사항이다. 게이트웨이 토큰은 전체 접근 권한을 부여하며 스코핑이 불가능하다. 기본 설정 자체가 “모든 문이 열려 있는 건물”과 “모든 문이 잠겨 있고, 열려면 키카드가 필요한 건물”의 차이다.

2026년 3월 20일 출시된 Claude Code 채널(Channels) 기능에서도 이 차이가 극명하게 드러난다. OpenClaw의 메시징 통합에는 CVE-2026-25253 같은 심각한 취약점이 있었지만, Claude Code 채널은 설계 단계에서부터 sender allowlist 기반 게이팅과 샌드박스 격리를 내장했다. 게이팅 없는 채널은 프롬프트 인젝션 벡터가 된다는 것을 인지하고, Telegram/Discord 채널에 페어링 코드 방식의 발신자 등록을 적용한 것이다.

물론 Claude Code의 채널은 아직 리서치 프리뷰 상태이며, Telegram과 Discord 2개 플랫폼만 지원한다. OpenClaw의 30개 이상과 비교하면 극히 제한적이다. “OpenClaw killer”라는 헤드라인은 과장이었다. 하지만 보안이라는 렌즈로 보면, 적은 수의 플랫폼이라도 안전하게 지원하는 것과 많은 플랫폼을 위험하게 지원하는 것 중 어느 쪽이 나은지는 생각해볼 문제다.

두 번째 오해: “Claude Code는 코딩 도구다”

이 오해가 아마 가장 널리 퍼져 있을 것이다. 이름에 “Code”가 들어가 있으니, 당연히 코딩만 하는 도구라고 생각하기 쉽다. Lenny Rachitsky는 이에 대해 이렇게 말한다. “Claude Code라는 이름을 잊어버리세요. Claude Local 또는 Claude Agent로 생각하세요.”

코딩 능력이 압도적인 것은 사실이다. 코드베이스 전체를 인덱싱하고 이해하며, 여러 파일을 동시에 편집하고, Git 워크플로를 자동화한다. Code Review 기능은 실질적 리뷰 비율을 16%에서 54%로 끌어올렸다. 에이전트 팀 기능으로 여러 Claude Code 세션이 병렬로 협업하고, MCP로 Jira, Google Drive, Slack 등 외부 시스템에 연결된다.

하지만 Claude Code가 진짜 흥미로운 것은 코딩을 넘어선 영역이다. 로컬 파일 시스템에 직접 접근하고, 에이전트 팀으로 병렬 작업을 수행하며, 수백 개의 외부 도구에 연결되는 이 도구는 사실상 범용 AI 작업 에이전트로 진화하고 있다.

Jane Street의 디자이너 Edwin Morris는 Figma 대신 Claude Code로 직접 작동하는 프로토타입을 구축한다. “모든 노력이 실제 산출물 개선에 투입되고, Figma 컴포넌트 제작이나 문서 포맷팅 같은 부수적 중간 작업은 제거된다”고 말한다. 시니어 디자이너 한 명이 이전 3인 팀의 작업량을 산출하는 “Super Individual Contributor”가 탄생한 것이다.

데이터 분석도 강력하다. 한 사용자는 2,486개 Medium 기사 데이터셋을 분석하여 인터랙티브 인사이트 대시보드를 구축했다. CSV, Excel, JSON 파일을 직접 로드하여 통계 요약과 시각화를 수행하는데, 클라우드 AI의 파일 크기 제한이나 컨텍스트 윈도우 제약이 없다. 로컬에서 실행되기 때문이다.

콘텐츠 제작에서는 슬래시 커맨드로 블로그 포스트 생성을 체계적 워크플로우로 변환한다. 리서치에서 장문 기사, LinkedIn, 뉴스레터, 소셜 미디어까지 멀티 플랫폼 콘텐츠를 자동 생성하고, 기존 작성물 샘플로 사용자의 문체를 학습하여 “AI가 아닌 본인처럼” 글을 쓴다. 일상 업무에서는 신용카드 거래 내역을 카테고리별로 분류한 경비 보고서를 만들고, 코드베이스를 검색한 뒤 기술 지원 이메일 초안을 자동 작성하고, 세금 신고용 인보이스를 정렬한다.

가장 인상적인 사례 중 하나는 워크플로우 재설계다. 한 사용자는 연간 $50,000짜리 엔터프라이즈 소프트웨어를 Claude Code로 구축한 맞춤형 내부 도구로 대체했다. 핵심 기능의 10~15%만으로도 충분했다고 한다. 번역 분야에서는 PDF/DOCX/EPUB 형식의 책을 병렬 서브에이전트로 자동 번역하고, 2주 만에 20개 이상의 영어 튜토리얼과 3개 언어로 81개 번역 튜토리얼을 생성한 사례가 있다.

정리하면, Claude Code의 7대 활용 영역은 이렇다. 코딩, 데이터 분석, 콘텐츠 제작, 일상 업무 자동화, 리서치(에이전트 팀), 디자인, 번역·교육. “코딩 도구”라는 프레임은 이 도구의 실체를 심각하게 과소평가한다.

그렇다면 OpenClaw의 “범용 자동화”와 뭐가 다를까

둘 다 “범용”을 지향하지만, 작동 방식이 근본적으로 다르다.

OpenClaw은 자동화 파이프라인을 구축하는 프레임워크다. 스킬을 설정하고, 트리거를 정의하고, 반복 실행을 예약한다. 한번 구축된 자동화는 안정적으로 반복된다. 30개 이상의 메시징 플랫폼을 연결하여 이메일 트리아지, 일정 조율, 가격 모니터링을 수행하는 구조화된 반복 자동화가 핵심 강점이다.

Claude Code는 AI가 직접 판단하고 작업하는 에이전트다. 자동화 파이프라인을 구축할 필요 없이, 자연어로 지시하면 AI가 중간 결과에 따라 접근 방식을 실시간으로 조정한다. 비정형 작업의 지능적 처리가 핵심 강점이다. “Chat AI”에서 “Action AI”로의 전환을 대표하는 도구다.

이 차이를 이해하면, “어느 쪽이 더 범용적인가”라는 질문 자체가 잘못되었음을 알 수 있다.

세 번째 오해: “OpenClaw은 무료, Claude Code는 비싸다”

이 프레임은 절반만 사실이다. 그리고 절반의 진실은 때로 전체 거짓보다 위험하다.

OpenClaw의 소프트웨어 자체는 MIT 라이선스로 무료다. 하지만 안전하게 운영하려면 비용이 든다.

첫째, API 비용이다. 사용하는 모델에 따라 월 $5에서 $100 이상까지 큰 차이가 난다. GPT-4o나 Claude 같은 고성능 모델을 사용하면 비용이 급증한다. Ollama로 로컬 모델을 돌리면 API 비용 자체는 없지만, 품질과 속도에서 상당한 타협이 필요하다.

둘째, 인프라 비용이다. 안정적 운영을 위해서는 Docker 호스팅이 필요하고, 이는 곧 클라우드 VM이나 전용 서버 비용으로 이어진다.

셋째, 그리고 이것이 핵심인데, 보안 격리 비용이다. 앞서 살펴본 보안 위기를 감안하면, OpenClaw을 프로덕션 환경이나 주력 개인 기기에서 실행하는 것은 Kaspersky의 경고처럼 안전하지 않다. 맥 미니 같은 별도 장비나 서버에서 격리 실행하는 것이 사실상 필수다. 전용 머신 구입이나 클라우드 VM 임대 비용까지 합산하면, Claude Code Pro($20/월)와의 실제 비용 격차는 생각보다 크지 않다.

물론 개인 사이드 프로젝트 수준에서, 보안 위험을 감수하고 로컬에서 가볍게 돌린다면 OpenClaw이 여전히 저렴하다. 하지만 “무료”라는 단어가 주는 인상과 실제 안전한 운영 비용 사이에는 상당한 간극이 있다.

Claude Code 쪽도 비용 문제에서 자유롭지 않다. Pro 구독($20/월) 이상이 필수이며, 가장 강력한 Opus 모델을 쓰려면 Max 플랜($100200/월)이 필요하다. 무료로는 접근 자체가 불가능하다. 그리고 이 비용을 내더라도 사용량 제한이 빡빡하다. Sonnet 모델이 1015분 만에 100% 소진되는 사례가 보고되고, 15회 반복 명령 시 마지막 명령에 200,000개 이상의 입력 토큰이 소비되기도 한다.

결국 비용 비교의 진실은 이렇다. OpenClaw은 “소프트웨어 무료 + 운영 비용”이고, Claude Code는 “구독료에 인프라 포함”이다. 어느 쪽이 실제로 저렴한지는 사용 시나리오에 따라 달라진다.

Claude Code가 가진 약점

지금까지 Claude Code의 강점을 많이 이야기했지만, 명확한 약점도 짚어야 한다. 특정 사용자에게는 이것들이 결정적 전환 요인이 된다.

벤더 종속이 심하다. Claude Code는 Claude 모델만 사용할 수 있다. GPT-5가 더 잘하는 작업이 있어도, DeepSeek이 더 저렴해도, Llama를 로컬에서 돌리고 싶어도 선택지가 없다. Anthropic이 서드파티 도구에서 Opus 모델 사용을 제한하면서, 사용자의 기존 워크플로가 갑자기 중단되는 사례까지 발생했다. OpenClaw은 어떤 LLM이든 자유롭게 전환할 수 있고, Ollama나 LM Studio로 오프라인 사용도 가능하다.

메시징 통합과 구조화된 생활 자동화에서는 아직 대안이 되지 못한다. Claude Code가 데이터 분석, 콘텐츠, 디자인 등 코딩 외 영역으로 확장하고 있다 해도, 30개 이상의 메시징 플랫폼을 연결하는 OpenClaw의 구조화된 반복 자동화 영역에서는 경쟁이 되지 않는다. 채널 기능도 2개 플랫폼에 그치고 있다. Cron 기반 예약 작업, 웹훅 트리거, 오프라인 자율 실행 — 이 영역은 OpenClaw이 압도적이다.

오픈소스가 아니다. 샌드박스 런타임만 공개되어 있고, 핵심 에이전틱 루프의 소스 코드는 비공개다. 커뮤니티 기여와 커스터마이제이션에 한계가 있다. OpenClaw은 MIT 라이선스로 30만 줄 이상의 소스가 전부 공개되어 있고, 1,075명의 기여자가 활발히 참여한다.

데이터 프라이버시 우려가 있다. 코드와 컨텍스트가 Anthropic 서버로 전송된다. 민감한 독점 코드베이스를 다루는 팀에게 이것은 간과할 수 없는 문제다. Windows에서는 네이티브 샌드박스가 지원되지 않아 WSL2가 필요하고, IDE 지원도 VS Code와 JetBrains로 한정된다.

이런 약점들은 “Claude Code가 더 낫다”는 단순한 결론이 왜 위험한지를 보여준다. 도구 선택은 항상 맥락의 문제다.

올바른 질문: “내 상황에서 어떤 도구가 적합한가”

“OpenClaw이 낫다” 또는 “Claude Code가 낫다”는 틀린 질문이다. 올바른 질문은 “내 상황에서 어떤 도구를 써야 하는가”다. 실제로 상당수의 개발자가 2~4개의 AI 도구를 동시에 사용하고 있으며, “킬러”보다는 상호 보완이 현실이다.

전문 소프트웨어 개발이 주 업무라면 Claude Code다. 코드 이해도, Git 통합, Code Review, 보안 모델에서 압도적 우위를 보인다. 코딩뿐 아니라 데이터 분석, 리서치, 콘텐츠 제작까지 하나의 도구로 처리할 수 있다.

기업 개발팀이 도구를 도입하려 한다면 역시 Claude Code다. Managed Settings, 감사 로깅(OpenTelemetry), CI/CD 통합, Team/Enterprise 조직 관리 — OpenClaw에는 이런 엔터프라이즈 거버넌스 도구가 없다. 전담 보안팀도 없다.

다양한 AI 모델을 실험하거나 로컬 오프라인 사용이 필요하다면 OpenClaw이 유리하다. Claude, GPT, DeepSeek, Gemini, Ollama 등 자유롭게 전환할 수 있는 모델 비의존적 설계는 진정한 차별점이다.

30개 이상의 메시징 플랫폼을 연결한 구조화된 생활 자동화가 필요하다면 OpenClaw이 압도적이다. 다만 반드시 최신 버전(v2026.3.13 이상)으로 업데이트하고, 보안 설정을 강화하고, 가능하면 격리 환경에서 운영해야 한다.

커뮤니티에서 가장 많이 추천되는 조합은 양쪽 병행이다. 코딩과 비정형 지식 작업은 Claude Code, 구조화된 반복 자동화는 OpenClaw. 코딩 집중 기간에는 Claude Code Max, 유지보수 기간에는 Pro로 낮추고 OpenClaw으로 보완하는 비용 최적화 전략도 흔하다.

두 도구의 남은 과제

OpenClaw의 최우선 과제는 보안 위기의 극복이다. 25만 GitHub 스타의 열기가 식기 전에, 아키텍처 수준의 보안 개선이 필요하다. 개별 패치가 아닌, 기본 격리 도입과 ClawHub 마켓플레이스의 구조적 검증 체계를 갖추어야 한다. 창립자 Steinberger가 OpenAI로 이직하고 오픈소스 재단 이관을 예고한 상황에서, 커뮤니티의 자체 역량이 시험대에 오르고 있다.

Claude Code의 과제는 비용 장벽과 벤더 종속의 해소다. 월 $20~200의 구독료와 빡빡한 사용량 제한, Claude 모델만 사용 가능한 폐쇄성은 지속적으로 불만이 제기되는 영역이다. 채널 기능도 리서치 프리뷰를 벗어나 더 많은 플랫폼을 지원해야 “OpenClaw killer”라는 타이틀에 걸맞게 된다.

두 도구 모두 빠르게 진화하고 있다. 오늘의 약점이 내일의 강점이 될 수 있고, 지금의 우위가 한순간에 뒤집힐 수 있다. 하지만 2026년 3월 기준, 하나의 확실한 사실은 이렇다. AI 도구의 선택 기준은 “가장 유명한 것”이 아니라, “가장 안전하고 적합한 것”이어야 한다는 것이다.