ClamBot: WASM 샌드박스 기반의 보안 중심 AI 에이전트 프레임워크

섹션별 상세

기존 에이전트 프레임워크들이 exec()나 subprocess.run()을 사용해 코드를 실행함으로써 발생하는 임의 코드 실행(RCE) 위험을 해결하고자 한다. ClamBot은 모든 LLM 생성 코드를 WASM 샌드박스 내에서 실행하여 호스트 시스템과 완전히 격리한다. 이를 통해 악성 코드가 생성되더라도 시스템 전체로 피해가 확산되는 것을 방지하며 보안성을 극대화한다.

LLM이 요청에 따라 JavaScript 언어로 된 'Clam' 스크립트를 생성하면 이를 WASM 환경의 QuickJS 엔진에서 실행한다. 파일 시스템 접근이나 HTTP 요청과 같은 외부 작업은 호스트인 Python 환경으로 위임되며, 모든 도구 호출은 SHA-256 지문 기반의 승인 게이트를 거친다. 사용자는 각 도구의 권한 범위를 세밀하게 조정하고 승인 여부를 결정할 수 있다.

javascript

async function run(args) {
  const res = await http_request({
    method: "GET",
    url: "https://api.coinbase.com/v2/prices/BTC-USD/spot"
  });
  return JSON.parse(res.content).data;
}

LLM이 생성하여 WASM 샌드박스 내에서 실행되는 JavaScript Clam 스크립트 예시

근거

모든 도구 호출은 Python 호스트의 승인 게이트를 거친다. — WASM Sandbox Execution 설명

성공적으로 실행된 스크립트는 로컬에 저장되어 향후 동일한 요청이 들어오면 LLM을 거치지 않고 즉시 실행되는 재사용 메커니즘을 갖추고 있다. 이 방식은 반복적인 작업에서 LLM API 호출 비용을 제거하고 응답 지연 시간을 거의 제로 수준으로 낮춘다. 내부 분석 결과에 따르면 긴 컨텍스트를 반복 호출하는 서비스에서 즉각적인 비용 절감 효과를 제공한다.

근거

성공한 Clam은 재사용되어 지연 시간과 비용이 발생하지 않는다. — Clam Reuse 섹션 설명
최대 3회의 자동 재시도 루프를 통해 런타임 오류를 스스로 수정한다. — Self-Fix Loop 기능 설명

Telegram 연동, Cron 스케줄링, 장기 기억 장치(MEMORY.md) 등 실무에 즉시 적용 가능한 다양한 기능을 통합 제공한다. Telegram을 통해 모바일에서도 인라인 버튼으로 도구 실행을 승인하거나 상태 메시지를 실시간으로 확인할 수 있다. 또한 onboard 명령을 통해 OpenRouter, Anthropic, OpenAI 등 다양한 LLM 프로바이더를 자동으로 감지하고 구성한다.

bash

git clone https://github.com/clamguy/clambot.git
cd clambot
uv venv && uv pip install -e .
uv run clambot onboard

ClamBot 설치 및 초기 환경 구성을 위한 CLI 명령어 예시

용어 해설

웹어셈블리(WASM): — 웹 브라우저뿐만 아니라 서버 사이드에서도 고성능으로 실행 가능한 바이너리 명령어 형식이다. ClamBot에서는 LLM이 생성한 코드를 호스트 시스템과 격리된 환경에서 안전하게 실행하기 위한 샌드박스 기술로 활용된다.
샌드박스(Sandbox): — 외부의 접근이나 영향으로부터 보호하기 위해 설정된 격리된 실행 환경을 의미한다. ClamBot은 WASM을 이용해 메모리와 네트워크 접근이 제한된 샌드박스를 구축하여 LLM이 생성한 코드가 시스템에 해를 끼치지 못하도록 한다.
퀵JS(QuickJS): — C 언어로 작성된 작고 내장 가능한 JavaScript 엔진이다. ClamBot은 이를 WASM으로 컴파일하여 샌드박스 내부에서 LLM이 생성한 JavaScript 코드를 실행하는 핵심 엔진으로 사용한다.
모델 컨텍스트 프로토콜(MCP): — LLM 에이전트가 외부 도구 및 데이터 소스와 통신하기 위한 표준 프로토콜이다. ClamBot은 MCP를 지원하여 외부 도구 서버를 에이전트의 기능으로 쉽게 확장하고 연결할 수 있도록 한다.
서버 측 요청 위조(SSRF): — 서버가 의도하지 않은 내부 네트워크 주소로 요청을 보내게 만드는 공격 기법이다. ClamBot은 모든 아웃바운드 HTTP 요청에서 사설 IP 대역을 차단하는 보호 기능을 내장하여 이 위험을 방지한다.

기술

Python
WASM
QuickJS
Wasmtime
OpenRouter
Telegram API
MCP

활용 사례

보안 중심 개인 AI 비서
자동화된 데이터 처리 스케줄러
안전한 코드 실행 샌드박스
비용 최적화된 RAG 시스템

언급된 리소스

GitHubClamBot GitHub Repository

API DocsOpenRouter

API DocsAnthropic API

API DocsOpenAI API