NVIDIA NemoClaw: 자율 AI 에이전트를 커널 수준에서 가두는 법

프롬프트 수준의 가드레일만으로는 부족해졌다. 2025년 이후 자율 AI 에이전트가 기업 인프라 내에서 코드 실행, 파일 접근, 외부 API 호출 등 실질적인 작업을 수행하게 되면서, 이들의 행동을 통제하고 감사할 수 있는 안전 프레임워크의 필요성이 급격히 부상했다. NVIDIA는 이런 시장 수요에 대응해 NemoClaw를 발표했다 — 자율 AI 에이전트가 허용된 범위 내에서만 동작하도록 강제하는 정책 기반 실행 제어 레이어다.

자율 에이전트가 시스템을 직접 건드리기 시작하면서

NemoClaw는 2025년 하반기 NVIDIA GTC에서 공식 발표됐고 2026년 초 엔터프라이즈 GA로 출시됐다. LLM 기반 에이전트가 단순 텍스트 생성을 넘어 시스템 자원을 직접 제어하는 단계로 진화하면서 기존 프롬프트 가드레일만으로는 안전성을 보장할 수 없다는 판단이 개발 동기였다. NeMo Guardrails의 런타임 정책 엔진 위에 에이전트 실행 격리층(Execution Isolation Layer)을 추가하는 포지셔닝을 취했고, 금융·헬스케어·제조 등 규제 산업의 기업 AI 운영팀을 타깃으로 한다. 핵심 철학은 "허용 목록 우선(Allowlist-First)" 원칙 — 명시적으로 허가된 행동만 실행하고 나머지는 기본 차단한다. 기술적으로는 Linux 네임스페이스, cgroups, eBPF 기반 커널 수준 격리를 Python/Rust 오케스트레이션 레이어로 추상화했다.

자율 AI 에이전트가 마주하는 안전성 문제는 다양하다. 외부 데이터 소스에 삽입된 악의적 지시가 에이전트를 조종해 의도치 않은 시스템 명령 실행을 유도하는 Prompt Injection 공격, 에이전트가 작업 완수를 위해 필요 이상의 권한을 요청·획득하는 Privilege Escalation 위험, 비용 폭증이나 DoS를 유발할 수 있는 무제한 API 호출·컴퓨팅 자원 소비인 Unbounded Resource Consumption, 민감 데이터를 허가되지 않은 외부 엔드포인트로 전송하는 Data Exfiltration, 에이전트가 사용하는 툴·플러그인을 통한 악성 코드 주입인 Supply Chain Attack, 에이전트 행동에 대한 불충분한 로깅으로 사후 분석·컴플라이언스 증명이 어려운 감사 부재가 있다. EU AI Act·NIST AI RMF 등 각국 AI 규제도 에이전트 행동 추적 가능성(Traceability)을 명시적 요건으로 포함하며 규제 대응 압박을 키우고 있다.

⤢✕

허용 목록 우선 원칙으로 짠 아키텍처

NemoClaw의 제어 레이어는 에이전트 런타임과 실행 환경 사이에 자리한다.

⤢✕

Policy Engine은 YAML/JSON 기반 선언적 정책 파일을 파싱해 런타임 허용 규칙을 생성하고, Permission Validator는 에이전트가 요청하는 각 액션을 실행 전 정책과 대조 검증한다. Sandbox Executor는 커널 네임스페이스와 seccomp 프로파일을 적용한 격리 환경에서 액션을 실행하고, Audit Logger는 모든 액션 요청·허용/거부 결정·실행 결과를 불변(Immutable) 로그로 기록한다. Policy Store는 역할별·에이전트별·작업 유형별 다차원 정책 저장소 역할을 한다.

무엇을, 누가, 어떻게 통제하는가

샌드박싱 실행 환경은 각 에이전트 세션을 독립된 Linux 네임스페이스(PID, Network, Mount, IPC) 내에서 실행하는 컨테이너 격리, 에이전트가 접근 가능한 디렉터리를 화이트리스트로 명시하고 나머지 경로는 읽기/쓰기 모두 차단하는 파일시스템 제약, seccomp-bpf로 허가된 시스템 콜만 커널에 전달하고 미허가 콜은 SIGKILL 처리하는 시스템 콜 필터링, 에이전트가 호출 가능한 외부 도메인/IP 대역을 정책으로 제한하는 네트워크 이그레스 제어, CPU 시간·메모리·디스크 I/O·네트워크 대역폭에 상한을 두는 리소스 쿼터, 세션 종료 시 자동 삭제되는 tmpfs 기반 작업 공간으로 데이터 잔류를 막는 임시 파일시스템으로 구성된다.

권한 제어 시스템은 Okta·Azure AD 등 기업 IdP와 연동해 사용자 역할을 에이전트 권한에 매핑하는 RBAC 통합, 각 작업 유형에 필요한 최소 권한 세트를 사전 정의하는 최소 권한 원칙(PoLP), 에이전트 실행 단계별로 필요 없는 권한을 실시간 회수하는 동적 권한 축소(capability dropping), 에이전트가 사용할 수 있는 툴·플러그인 목록을 정책으로 명시하고 미등록 툴 호출을 차단하는 툴 호출 허용 목록, 외부 API별 호출 횟수·비용 상한을 적용하는 API Rate Limiting, 프로덕션 DB 수정·결제 API 호출 같은 고위험 액션에는 사람의 명시적 승인을 요구하는 인간 승인 게이트로 이뤄진다.

감사 로그 및 추적성은 모든 에이전트 액션을 WORM(Write Once Read Many) 스토리지에 기록하는 불변 감사 추적, OpenTelemetry 표준을 따르는 JSON 로그로 SIEM 시스템 연동이 쉬운 구조화 로그 형식, 각 에이전트 액션에 고유 Trace ID를 부여해 원인-결과 체인을 재현할 수 있는 인과관계 추적, 로그 스트림을 실시간 분석해 비정상 행동 패턴을 감지·알림하는 이상 탐지 통합, SOC2·ISO 27001·EU AI Act 요건에 맞는 정형화된 감사 보고서를 자동 생성하는 컴플라이언스 리포트, 사고 발생 시 에이전트 행동 전체를 재현할 수 있는 이벤트 소싱 아키텍처 기반 포렌식 지원으로 구성된다.

OpenClaw 오픈소스와 엔터프라이즈판의 경계

OpenClaw는 NemoClaw의 정책 엔진과 샌드박싱 코어를 Apache 2.0 라이선스로 공개한 오픈소스 프로젝트다. 공개 범위는 정책 파싱 엔진, 기본 샌드박스 실행기, 감사 로그 스키마, Python/Node.js SDK다. 반면 고가용성 정책 서버 클러스터, NVIDIA Morpheus와의 실시간 위협 탐지 통합, 멀티테넌트 정책 격리, 전문 기술 지원 및 SLA는 NVIDIA AI Enterprise 라이선스 하에서만 제공되는 엔터프라이즈 전용 기능이다.

OpenClaw GitHub 기준 2026년 3월 현재 3,500개 이상의 스타와 150명 이상의 기여자를 확보한 커뮤니티 생태계가 형성돼 있다. 커뮤니티 기여는 OpenClaw에서 수용하고 성숙된 기능은 NemoClaw 엔터프라이즈로 백포팅하는 기여 모델을 쓰며, OpenClaw 팀은 OWASP LLM Top 10 Working Group과 협력해 에이전트 안전 표준 초안 작성을 추진하고 있다.

정책 파일 하나로 시작하는 배포

설치는 Kubernetes Operator나 Docker Compose로 하며, 기존 에이전트 런타임에 사이드카 패턴으로 연결한다. 에이전트별 허용 규칙은 다음과 같은 YAML 형식으로 선언한다.

agent_policy:
  name: finance-report-agent
  sandbox:
    filesystem_allow:
      - /data/reports/read-only
      - /tmp/agent-workspace
    network_egress_allow:
      - api.internal.corp
      - s3.amazonaws.com
  permissions:
    tools_allow:
      - read_file
      - write_file
      - call_api
    tools_deny:
      - execute_shell
      - modify_database
  resources:
    max_cpu_seconds: 300
    max_memory_mb: 512
    max_api_calls_per_session: 100
  audit:
    log_level: full
    immutable_storage: true

정책 파일은 GitOps 워크플로우로 관리해 변경 시 자동 검증·배포되도록 CI/CD에 통합할 수 있고, Grafana 대시보드 템플릿으로 에이전트 행동을 실시간 가시화할 수 있다. 점진적 도입 전략은 3단계로 권장된다 — 1단계는 감사 모드(Audit-Only)로 시작해 기존 에이전트 행동 패턴을 파악하고, 2단계는 수집된 데이터를 기반으로 초기 허용 목록을 자동 생성하며, 3단계는 차단 모드(Enforce Mode)로 전환한 뒤 예외 케이스를 반복 조정한다. 에이전트 간 통신도 정책 엔진을 경유하도록 설계해 멀티 에이전트 시나리오에서 에이전트 체인 전체를 제어할 수 있다.

경쟁 프레임워크와 나란히 놓으면

구분	NemoClaw	Microsoft Azure AI Safety	AWS Bedrock Guardrails	Guardrails AI (OSS)
실행 격리	커널 수준 샌드박스	컨테이너 수준	관리형 서비스	없음
정책 표현	YAML 선언형	Azure Policy 연동	JSON 기반	Python 코드
오픈소스 코어	OpenClaw (Apache 2.0)	없음	없음	전체 오픈소스
NVIDIA GPU 최적화	네이티브 지원	없음	없음	없음
감사 로그 표준	OpenTelemetry	Azure Monitor	CloudWatch	커스텀
멀티클라우드	지원	Azure 중심	AWS 중심	지원

NemoClaw의 강점은 커널 수준 격리로 타 솔루션 대비 높은 보안을 보장한다는 점, NVIDIA GPU 인프라와 네이티브 통합돼 AI 워크로드에 최적화됐다는 점, OpenClaw 오픈소스로 벤더 종속 없이 커뮤니티 검증이 가능하다는 점, NeMo Guardrails·Morpheus 등 NVIDIA AI 스택과 긴밀하게 생태계가 연동된다는 점이다.

약점과 한계도 있다. 최대 성능을 발휘하려면 NVIDIA GPU가 권장돼 타 환경에서는 일부 기능이 제한되는 NVIDIA 인프라 의존도, 정책 언어 습득과 초기 허용 목록 구성에 운영 공수가 드는 학습 곡선, 2025년 출시라 Azure·AWS 솔루션 대비 레퍼런스 사례가 부족한 에코시스템 성숙도, 엔터프라이즈 라이선스 비용이 중소기업에게는 부담될 수 있는 비용 구조가 그것이다.