OpenClaw 서드파티 스킬: 핀·체크섬·단계 배포(임대 Mac mini) 2026
플랫폼 오너가 VmMac에서 임대 Apple Silicon Mac mini에 OpenClaw를 올리면, 패키지 생태와 같은 공급망 현실을 함께 가져옵니다. 스킬은 코드+프롬프트+툴 훅이며, 잠든 사이 업데이트될 수 있습니다. 이 2026 글은 신뢰 등급 행렬, 체크섬 벤더링 흐름, 8단계 승격 사다리, 2열 실패 신호 표를 제시해 업그레이드가 사람 리뷰를 앞지르지 않게 합니다. exec 승인, 설치·배포, 구조화 로그 로테이션과 짝을 이루십시오—스킬은 “영리한 정책”이 셸 제한을 빠져나가는 통로이기도 합니다. 같은 호스트에서 CI·에이전트를 공유한다면 APFS 보조 볼륨·일회용 QA SSH·VNC와 경로 충돌이 없는지도 대조하십시오.
기본 접속은 도움말로, 첫 공급망 사고 뒤 카나리 게이트웨이를 별도 호스트로 쪼갤 때는 가격으로 먼저 수를 맞추는 편이 안전합니다. 카나리·프로덕의 launchd 경계는 스테이징·프로덕 격리 문서와 같은 문단에 써 두면, 스킬 타르 볼이 두 plist를 동시에 오염시키는 사고를 줄입니다. 스킬 로딩·거부 이벤트는 구조화 로그에 동일 상관 ID로 흘려 감사 추적을 짧게 만듭니다. 마지막으로, 원격 GUI가 필요하면 VNC 가이드의 세션·브레이크 글라스 규칙을 엮으십시오—스킬 검토가 “새벽 화면만 켜 둔 채 대기”로 흐르지 않게 합니다.
2026년 초 자율 에이전트 생태에서의 보안 권고가 쏟아질 때, 스킬은 “편의 기능”이 아니라 배포 단위로 취급해야 합니다. 팀이 latest 태그를 믿는 시간이 길수록, 핀·체크섬·단계 배포의 비용은 낮아집니다. 반대로 한 번 터지면, exec만으로는 설명이 부족하고, “누가 어떤 바이트를 올렸는지”가 감사의 시작점이 됩니다. 이 글의 숫자(48h, 35개, 180일, 72h)는 예시가 아니라 회의에 들고 갈 기본 선으로 쓰십시오. 리전 5곳(홍콩·일본·한국·싱가포르·미국)이 같은 라벨을 쓰면, 재무가 승인한 호스트가 실수로 커뮤니티 피드만 바라보던 “그날”을 막을 확률이 올라갑니다. 설치·재배포는 항상 가이드의 절대 경로·순서와 함께 읽는 것이 전제입니다.
공유 macOS 호스트에서의 스킬 공급 위협 모델
서드파티 스킬은 저장소 URL을 빼가거나 로컬 정책 파일을 덮고, curl | bash 설치를 생산성 도우미로 가장할 수 있습니다. VmMac에서 물리 하드웨어는 조직 내부에 한정돼도, 블래스트 반경은 루트급 실수 한 번이면 끝입니다. npm이 감사 이전에 배포됐다는 옛 이야기와 같다고 보십시오—재미·속도·가끔의 적대.
- 프롬프트 인젝션: 모델에게 실행 중 안전장치를 끄라고 시키는 케이스.
- 그림자 업데이트: 메인테이너가 동일 태그를 force-push.
- 의존성 드리프트: 핀되지 않은 Homebrew 바이너리로 셸이 나감.
이 위협은 exec allowlist 한 장으로 끝나지 않습니다. 스킬이 허용한 바이트와 실제로 실행된 argv를 JSONL에 엮지 않으면, 사고 후 “무엇이 돌았는지”는 Slack 타임라인에 묻힙니다. 또한, 스테이징이 없는 팀은 T2 실험을 “프로덕 plist 옆”에서 하게 되고, 이는 본문의 T2 정의에 정면으로 어긋납니다. 마지막으로, VNC 뒤에서 사람이 클릭하며 권한을 열어 주는 루트는 일회 랩의 티켓·시간창과 같이 써야 합니다. 그렇지 않으면 “스킬이 조용하다”는 말이 사실은 대기 중인 GUI일 수 있습니다.
신뢰 등급 행렬: 1st-party, 벤더드, 실험
| 등급 | 출처 | 승격 속도 | 필수 통제 |
|---|---|---|---|
| T0 내부 | 자사 git | CI 그린 당일 | 서명 커밋 + CODEOWNERS |
| T1 벤더드 | 업스트림 tar/git 태그 미러 | 체크섬 일치 후 48h | SHA256 매니페스트 + diff 리뷰 |
| T2 실험 | 커뮤니티 피드 | 수동만 | 별도 게이트웨이 라벨, 기본 exec 거부 |
T0만 야간 자동 동기를 허용하십시오. T2는 프로덕 launchd plist에 절대 닿지 말고, 망가뜨리기 전용 일회 mini에만 둡니다. 홍콩·일본·한국·싱가포르·미국이 같은 등급 라벨을 써야 재무가 승인한 호스트가 실수로 커뮤니티만 바라보는 사고를 막습니다. T1 승격 시 배포의 “다운로드 → 검증 → 재시작” 순서를 PR 템플릿에 박십시오. 한 단계를 건너뛰면 롤백이 “어느 층”을 되돌리는지 설명이 길어집니다.
개발자가 실제로 따를 수 있는 체크섬 벤더링
업스트림을 /usr/local/share/openclaw-skills/vendor/<name>/<version>(예시—실제 루트는 팀이 정함)에 미러하고, git에 커밋한 매니페스트를 둡니다.
shasum -a 256 skills/vendor/acme-helper/1.4.2/* > manifests/acme-helper-1.4.2.sha256
임대 mini에서 돌리는 CI는 바이트가 PR 없이 바뀌면 실패해야 합니다. 매니페스트 서명 키는 180일마다 돌리고, 브레이크-글라스는 엔터프라이즈 볼트에—같은 repo에 두지 마십시오. OpenClaw가 스킬을 읽을 때 설정으로 벤더 경로를 명시하십시오. 주니어가 사고 대응 중에 바꿀 수 있는 가변 심볼릭에 의존하지 마세요. 체크섬 검증이 실패한 날의 로그는 구조화 로그에 manifest_id 한 줄이 있으면, on-call이 “지금 돌고 있는 것”과 “git이 기대한 것”을 5분 안에 갈릅니다.
APFS·DerivedData·에이전트를 한 디스크에 쌓는 팀은 보조 볼륨으로 큰 tar 아티팩트를 떼는 편이, “시뮬+스킬+npm 캐시”가 서로 IOPS를 씹는 밤을 줄입니다. VNC 팀이 큰 압축을 끌어올 땐 VNC·도움말의 전송·무결성 절차를 엮지 않으면 “해시는 맞는데 경로는 틀리다”가 반복됩니다.
VmMac 지역에 걸친 단계 배포
먼저 하나의 카나리에만—많이는 싱가포르를 APAC RTT가 안정적이라서 고릅니다—72시간 오류 예산을 넘기지 않으면 확장하십시오. 도쿄에 동일 tar를 미러하기 전, 카나리가 모델 토큰 재시도 스파이크를 보이지 않는지를 확인하십시오(업스트림 LLM 라우팅이 지리에 따라 은밀히 달라질 수 있음). 롤백은 “macOS 재설치”가 아니라 “심볼릭을 이전 hash로 + 게이트 재시작”으로 문서화하십시오.
지역 배포는 스테이징 vs 프로덕 launchd 겨리와 짝을 이루어야, 나쁜 스킬이 두 plist 라벨을 동시에 오염시키지 않습니다. 승격마다 세 카운터를 계측하십시오: skill.load_ms p95, tool.exec.count/h, allowlist deny-rate. 카나리가 트래픽이 평평한데 로드 지연이 18% 오르면, import 시 동기 모델 호출같이 블로킹 IO를 의심하고 범프를 거절하십시오. 홍콩과 미국 게이트가 12시간 넘게 minor 한 단계로 갈리면, 진행성 배포가 아니라 드리프트—머지를 막고 원인(배포 파이프·수동 brew 등)을 잡으십시오. 통신은 재시작 전에 상태 채널에 매니페스트 해시를 올려, 5대를 SSH로 동시에 뒤질 일을 없앱니다.
이 모든 단계는 구조적 로그에 남는 한 줄(해시, 지역, 게이트 라벨)이 있을 때 “프로그레시브 딜리버리”로 불리고, 없으면 “구두 전승”으로 끝납니다. 가격으로 카나리를 분리하라는 말이 나올 정도로 트래픽이 늘었다면, 본문 8단계의 “10% 트래픽”이 의미를 갖는지 먼저 점검하십시오. 마지막으로, 설치 문서에 “스킬”만 추가하고 exec·경로·비밀은 안 고치는 팀이 가장 느리게 불을 끕니다. 한 번에 문서의 모든 체크박스를 읽는 습관이 비용을 줄입니다.
운영 리뷰 큐: T1 범프는 모델이 아니라 사람이 승인
리뷰 티켓 템플릿이 강제하도록 하십시오: 시스콜 표면이 무엇이 바뀌었나, 새 아웃바운드 도메인, 어떤 테스트가 스킬을 실제로 때렸나. 결제·PII에 닿는 스킬은 모델이 “읽기 전용”이라고 해도 인간 승인 2인. 승인 로그는 로그 로테 가이드에 나온 구조적 파이프라인에 넣어, 13개월 뒤에도 감사인이 Slack을 추측하지 않게 하십시오. 스테이징에서만 재현하는 팀은 스테이징 런북이 “누가 먼저 게이트를 멈추는지”를 한 커밋에 적게 하십시오. 그렇지 않으면, 리뷰 큐는 사람을 파는 것이지 책임을 파는 것이 아닙니다.
8단계 스킬 승격 사다리
- tar를 vendor 미러에 넣고 SHA256 매니페스트를 계산.
- 정적 grep:
curl,eval,osascript, 예기치 않은sudo. tools.exec.security=deny스모크로 T2 샌드박스에서 실행.- 필요한 바이너리에만 좁은 exec allowlist 켬.
- 기능 플래그 뒤 카나리에 트래픽 10%.
- 48시간 crash-free, sev-2 0건 요구.
- 동일 plist 스탬프로 5지역에 동일 hash 승격.
- 이전 tar는 삭제 전 30일 보관(롤백).
3번 단계는 exec 문서의 deny·ask 정의와 같이 읽지 않으면 “스모크가 통과했다”는 말이 비어 있을 수 있습니다. 6~7 사이에 싱가포르·서울·버지니아의 시계가 5분 이상 엇갈리면, 사실은 배포가 아닌 NTP/컨테이너 문제일 수 있으니, 로그에 host_time_skew_ms를 넣는 것을 권합니다. 8번은 “디스크 비용”이 아니라 법적 보존과의 타협선입니다.
승격을 자동으로 막아야 하는 실패 신호
| 신호 | 조치 |
|---|---|
| 매니페스트 체크섬 불일치 > 0개 파일 | CI 하드 실패, 게이트 기동 금지 |
| allowlist에 없는 새 DNS | 승격 동결, 4h 내 보안 리뷰 |
| 스킬 로드 p95 > 8s | 지연 다운로드 조사(정책 위반 가능성) |
벤더가 보안 권고를 내면(2026년 초 자율 에이전트 생태에서 반복), 커널 CVE처럼 다루십시오: 근무시간에 스테이징 먼저, 악용 가능성이 입증될 때만 프로덕 롤아웃을 24시간에 압축합니다. “스킬”과 “OS 패치”를 같은 캘린더에 넣는 팀이 가장 사고를 짧게 끕니다. 한편, 실패가 설치 단계에서만 나는 경우는, 사실 Node PATH 문제일 수 있고, JSONL의 node -v 한 줄이 먼저 말해 줍니다. 마지막으로, 도움말에 “스킬”과 “OS 업데이트”를 섞지 말라는 경고를 붙이면, 신입이 금요일에 둘을 같이 누를 확률이 줄어듭니다.
FAQ: 임대 Mac mini의 서드파티 스킬
iCloud Drive에 둬도 되나요? 아니요—가변 동기 폴더는 체크섬을 깨뜨립니다. 로컬 APFS·전용 볼륨을 쓰십시오.
업스트림을 포크해야 하나요? T1은 예—조직으로 포크, 릴리스 태그, CI에서만 pull.
에어갭 리뷰는? 승인 USB나 SFTP 점프 호스트로 tar를 옮기고, 두 머신에서 해시를 검증한 뒤 프로덕에 복사하십시오. 이때 일회 랩의 점프 호스트·세션 기록을 어기지 마십시오. 그렇지 않으면 “해시는 같은데 경로는 다른” 중복 티켓이 on-call을 잡아먹습니다.
Mac mini M4·VmMac이 스킬 샌드박싱 예산에 맞는 이유
Mac mini M4는 통합 메모리로 나란한 게이트웨이(엄격·실험)를 VPS 과배 구독에서 보이는 이웃 소음 없이 돌릴 수 있습니다. VmMac는 홍콩·일본·한국·싱가포르·미국 풋프린트로, plist 요술 대신 mini를 하나 더 임대해 카나리·프로덕을 물리적으로 떼는 선택지를 줍니다. Apple Silicon은 대형 프롬프트 번들을 로드할 Node 게이트웨이에도 응답성을 남기고, 엔터프라이즈가 이미 감사하는 FileVault·TCC 이야기와 잘 맞습니다. 가격으로 “스킬 T2”를 위한 셋째 머신이 나온다면, 스테이징·exec·로그가 모두 한 표를 보면, CFO와 SRE가 같은 숫자로 대화를 시작할 수 있습니다. 마지막으로, VNC로 스킬을 “시연”하다 권한을 넓히는 밤이 줄어들면, 이 글의 T2 정의는 문서가 아니라 운행이 됩니다.
