OpenClaw 를 텔레그램에 세팅해두면 평소에 많이 쓰는 텔레그램에서 이것저것 에이전트에게 시킬 수 있죠.
허나, 보안적으로 아주 취약한 상태에 있긴 합니다.
인젝션 공격이 들어왔습니다.
새벽에 1000개가 넘는 메세지가 와있더군요 ...
(처음엔 진짜 깜놀... 돈벌어오라고 해놓은 지갑 다 털리는줄...)
아무튼.. 이건 인젝션 공격이었던 것 같고
OpenClaw 니까 봇 이름과 봇 유저네임을 OpenClaw 비슷한걸로 지정해서 쓰시는 분이 많을텐데 사용자명 무차별 대입법으로 봇과의 대화를 시도하고, 인젝션 공격을 한 것 같아요
그래서 BotToken 을 Revoke 하고 새로 발급아서 새 BotToken 으로 세팅해보았지만 BotToken 과는 관계가 없었죠.
그래서,
dmPolicy: allowlist — allowlist에 있는 chatId만 메시지 수신 허용해주고 allowlist 에는 나만 등록해줘.
라고 해서 오직 나만 dm이 가능하게 했는데..
그런데도!!! 계속 왔습니다!
이유인즉, 이미 세션에 연결되어 있는 계정은 텔레그램 정책상 자동으로 allowlist 가 되어 있는거죠..
그래서 다시 명령을 했습니다.
기존 세션을 찾아서 제거하고, 텔레그램의 미처리 업데이트 메세지들도 스킵하도록 해줘
그제서야 인젝션 공격이 멈추었습니다.
대배분의 OpenClaw 가 기본적인 인젝션은 생각하고 코딩을 하겠지만 이런일도 있으니...
꼭 DM AllowList 설정하고 작업하시라고 알려드리고 싶었습니다.