2026년 OpenClaw Gateway 출발 거버넌스·보안 가드레일: 도메인 허용 목록, Sandbox, 감사 로그, HITL을 원격 물리 Mac에서 재현(openclaw.json + FAQ)

2. 왜 아픈가

1. 보이지 않는 이그레스 팽창. 새 모델 엔드포인트, OAuth 발급자, “잠깐” 쓰는 패키지 미러가 폭발 반경을 넓힙니다. 이름 있는 허용 목록 없이는 사고 대응 시 “예상된 에이전트 트래픽”인지 “침해”인지 구분할 수 없습니다.
2. Sandbox 경계 없는 툴링. 셸·브라우저·파일 툴은 공유 Mac에서 사용자 데이터나 CI 시크릿에 닿을 수 있습니다. 느슨한 기본값은 프롬프트 인젝션을 호스트 권한으로 이어지는 명령 실행으로 바꿉니다.
3. 감사 공백과 HITL 부재. request_id 상관과 로테이션 없는 JSONL은 디스크를 채우고 규정을 깨뜨립니다. 승인 없는 되돌리기 어려운 동작은 풀링된 하드웨어에서 “조용한 운영” 책임을 남깁니다.

3. 의사결정 매트릭스: 가드레일 × 전략

왼쪽 열은 보안과 서명하고, 오른쪽 열은 공유 원격 Mac에서 프로덕션 에이전트에 필요한 최소 자세입니다.

4. 재현 가능한 openclaw.json 조각

아래 블록은 예시입니다. 키 이름은 사용 중인 OpenClaw 버전과 맞추고, 채널 바인딩이나 자격 증명 참조를 덮어쓰지 말며 Mac에 타임스탬프 백업을 남기세요.

4.1 아웃바운드 정책과 도메인 허용 목록

{
  "gateway": {
    "outbound": {
      "defaultPolicy": "deny",
      "profiles": {
        "prod-llm": {
          "allowHosts": [
            "api.openai.com",
            "api.anthropic.com",
            "*.openai.azure.com"
          ],
          "denyHosts": ["metadata.google.internal"],
          "tlsMinVersion": "1.2",
          "dns": { "resolver": "system", "ndots": 1 }
        },
        "breakglass-24h": {
          "allowHosts": ["pypi.org", "files.pythonhosted.org"],
          "expiresAt": "2026-04-17T00:00:00Z",
          "ticket": "SEC-4821"
        }
      },
      "activeProfile": "prod-llm"
    }
  }
}

4.2 툴 Sandbox(작업공간 + 명령 허용 목록)

{
  "gateway": {
    "tools": {
      "sandbox": {
        "enabled": true,
        "profile": "strict-ci",
        "profiles": {
          "strict-ci": {
            "workspaceRoots": ["/Users/agent/OpenClawWorkspaces/ci-bot"],
            "allowCommands": ["/usr/bin/git", "/usr/bin/curl", "/opt/homebrew/bin/jq"],
            "denyPatterns": ["**/\.ssh/**", "**/Library/Keychains/**"],
            "maxSubprocesses": 4,
            "wallClockMs": 120000,
            "network": "outbound-profile:prod-llm"
          }
        }
      }
    }
  }
}

4.3 감사 로깅(JSONL)

{
  "gateway": {
    "audit": {
      "enabled": true,
      "sink": "file",
      "path": "/var/log/openclaw/audit.jsonl",
      "rotateBytes": 268435456,
      "fields": [
        "ts", "request_id", "channel", "actor", "tool", "decision",
        "egress_host", "http_status", "latency_ms", "hil_state"
      ],
      "redact": ["authorization", "cookie", "x-api-key"]
    }
  }
}

4.4 사람 개입(HITL) 게이트

{
  "gateway": {
    "humanInTheLoop": {
      "enabled": true,
      "queues": {
        "default": { "timeoutMs": 300000, "escalateTo": "pagerduty:gateway" }
      },
      "requireApprovalFor": [
        { "toolPattern": "payment.*", "queue": "default" },
        { "toolPattern": "prod-k8s.*", "queue": "default" },
        { "egressHost": "*.corp.internal", "queue": "default" }
      ],
      "dryRunChannels": ["staging-slack"]
    }
  }
}

아웃바운드 프로필, 툴 Sandbox 네트워크, HITL 대기열을 한 줄로 맞추세요: 임의 호스트를 부를 수 있는 툴이 감사 없이 defaultPolicy: deny를 우회하면 안 되며, 비상 프로필이 켜져 있을 때만 예외로 두고 감사해야 합니다.

5. 7단계 런북(원격 물리 Mac)

1. 이그레스 목록화. 일주일간 게이트웨이 트레이스에서 FQDN을 모으고 의도한 LLM·OAuth 엔드포인트와 비교합니다. 조여기 전 “미스터리” 해석을 제거합니다.
2. 백업·브랜치. cp openclaw.json openclaw.json.bak.$(date +%Y%m%d%H%M) 후 변경 티켓에 diff를 붙입니다.
3. 아웃바운드와 Sandbox 블록 병합. 먼저 defaultPolicy: deny를 넣고 허용 목록을 추가합니다. 툴 network를 같은 프로필 이름에 묶습니다.
4. JSONL 감사 + 로테이션. 로그 디렉터리는 게이트웨이 사용자만 쓸 수 있게 하고, 정책상 필요하면 로테이션된 파일을 중앙 저장소로 보냅니다.
5. 고위험 툴에 HITL. 결제·프로덕션 오케스트레이션 패턴부터 시작하고 스테이징에는 dryRunChannels를 씁니다.
6. 로컬 골든 테스트. 허용 요청 한 번, 의도적 거부 한 번(감사에 구조화된 차단 기대), 승인·타임아웃 경로를 포함한 HITL 대기 한 번.
7. 관측과 리뷰. 거부율, HITL 대기 깊이, 감사 쓰기 실패를 대시보드에 올리고 분기마다 허용 목록과 Sandbox 명령 목록을 검토합니다.

6. 거부 / HITL 트리아지

7. 인용 가능한 수치(런북용)

• JSONL 로테이션: rotateBytes: 268435456(256 MiB)마다 파일을 넘겨 콜드 스토리지로 보냅니다—포렌식 세분성과 APFS inode 부담의 균형입니다.
• HITL 기본 대기: 내부 운영 대기열에는 timeoutMs: 300000(5분)을 기본으로 두고, 고객 대면 봇은 p95 승인 시간을 잰 뒤 줄입니다.
• Sandbox 월클락: 비스트리밍 툴 체인 첫 상한으로 wallClockMs: 120000(2분)—올리려면 티켓과 프로파일링을 전제로 하세요.

8. FAQ

9. 요약과 노드 선택

출발 거버넌스는 에이전트 트래픽을 감사 가능한 계약으로 바꿉니다: 기본 거부 이그레스, Sandbox된 툴, 구조화된 JSONL, 실수가 아픈 지점의 HITL. 이 스택이 공유 물리 Mac에서 OpenClaw를 돌릴 때 각 노드를 범용 이그레스 릴레이로 만들지 않는 방법입니다.

무인 게이트웨이에는 macOS가 오래 쓸 가치가 있습니다: Gatekeeper, SIP, FileVault가 전형적인 Windows 플릿 기준선 대비 악성코드 위험 클래스를 줄이고, 네이티브 Unix 툴링과 안정적인 launchd 감독이 설정 드리프트를 드러냅니다. 유휴 약 4W에 조용하고 7×24 부하에 견디는 Mac mini M4는 게이트웨이와 가벼운 툴 워크로드에 랙 없이 잘 맞습니다. ZoneMac 원격 금속에서 같은 정책을 쓰면 SSH와 실제 파일 경로에 맞춘 런북을 유지하기 쉽습니다.

예측 가능한 Apple Silicon 위에 OpenClaw 가드레일을 얹고 운영 부담을 줄이려면 Mac mini M4가 강한 출발점입니다—ZoneMac으로 전용 원격 물리 Mac에 이 런북을 올려 보세요. 지금이 교체·확장을 검토하기 좋은 시점입니다. 홈에서 Mac mini 옵션을 확인할 수 있습니다.