AI 에이전트 작동 원리 — 에이전틱 루프와 ReAct 패턴, 오픈클로 사례

핵심 메시지

• 챗봇은 답을 알려줄 뿐 행동은 사용자가 하지만, AI 에이전트는 도구를 연결해 직접 작업을 수행한다.
• 에이전트는 맥락을 모아 LLM에 추론을 맡기고, 필요하면 도구를 쓰고 결과를 다시 반영하는 '에이전틱 루프(ReAct 패턴)'로 작동한다.
• 오픈클로는 2025년 말 등장한 오픈소스 에이전트로, 로컬 Node.js 서비스와 '게이트웨이' 허브를 중심으로 동작한다.
• 스킬은 마크다운 폴더로 에이전트 기능을 확장하며, 메타데이터만 주입해 필요할 때 불러오는 방식으로 컨텍스트 낭비를 막는다.
• 로컬에서 파일·터미널 권한을 갖기 때문에 잘못된 설정이나 프롬프트 인젝션은 심각한 보안 위험이 된다.

쉽게 이해하기

우리는 그동안 챗봇을 써왔다. 사용자가 GPT나 클로드 같은 LLM에 질문을 던지면 답을 받는 방식이다. 그러나 이메일 작성이나 회의 일정 잡기를 도와달라고 하면, 모델은 방법을 알려줄 뿐 실제로 캘린더에 일정을 잡아주지는 않는다. 정보를 복사·붙여넣고 탭을 옮기며 행동하는 주체는 여전히 사용자다. IBM은 이 '아는 것'과 '하는 것' 사이의 간극을 메우는 것이 AI 에이전트라고 설명한다.

AI 에이전트는 LLM에 도구 사용 능력과 자율적 행동을 결합한 시스템이다. 작동 방식은 '에이전틱 루프'다. 슬랙·아이메시지·왓츠앱 같은 채널로 작업이 들어오면, 에이전트는 대화 기록·장기 기억·시스템 지시·사용 가능한 도구를 모아 맥락을 구성한다. 이 맥락을 LLM에 보내 추론하게 하고, 모델은 도구가 필요한지 판단한다. 필요하면 터미널 명령 실행, 파일 읽기, 웹 검색, API 호출 등을 수행하고 그 결과를 다시 맥락에 더한다. 추론·행동·관찰의 이 반복이 끝나면 최종 응답이 사용자에게 전달되는데, 이것이 모든 에이전트 프레임워크의 핵심인 'ReAct 패턴'이다.

구체적 사례로 오픈클로(OpenClaw)가 소개된다. 2025년 말 만들어진 무료 오픈소스 에이전트로, 깃허브 별 기준 가장 인기 있는 프로젝트 중 하나다. 노트북·가상머신·라즈베리파이 등 로컬의 Node.js 서비스로 실행되며, '게이트웨이'라는 단일 허브를 중심으로 하는 허브 앤 스포크 구조를 따른다. 게이트웨이는 항상 켜져 있는 웹소켓 서버이자 컨트롤 플레인으로 메시지 라우팅, 세션 관리, 다중 에이전트 생성, 도구 사용을 담당한다. 슬랙·팀즈·디스코드·아이메시지 등은 어댑터를 통해 하나의 내부 형식으로 통합돼 게이트웨이에 전달된다.

오픈클로의 확장성은 '스킬'에서 나온다. 스킬은 특정 작업이나 워크플로를 가르치는 지침이 담긴 마크다운 파일 폴더다. 오픈클로는 모든 스킬을 한꺼번에 모델에 넘기지 않는다. 그러면 LLM의 컨텍스트 창이 금세 가득 차기 때문이다. 대신 사용 가능한 스킬과 간략한 메타데이터만 주입해, 모델이 필요한 스킬을 골라 그때그때 전체 내용을 읽도록 한다. 트렐로·구글 캘린더·도커·깃허브·CRM 연동 등 수천 개의 스킬이 존재하며, 웹 브라우저 자동화나 터미널 사용 같은 도구, 그리고 크론 작업을 통한 자동 실행도 가능하다.

강력한 만큼 책임도 따른다. 오픈클로는 로컬에서 파일 시스템·터미널·각종 연동에 접근하므로, 설정을 잘못하면 자기 컴퓨터에 강력한 백도어가 열리는 셈이 된다. 실제로 잘못된 설정이나 악성 코드가 든 스킬 탓에 인터넷에 노출된 인스턴스가 수천 개에 이른다고 한다. 또 다른 위험은 프롬프트 인젝션이다. 이메일이나 웹페이지 같은 신뢰할 수 없는 입력에 악성 지시가 숨어 있으면 모델이 이를 정당한 명령으로 착각해 실행할 수 있다. IBM은 격리된 환경에서 실행하고, 코드와 스킬을 검토하며, 자격 증명을 암호화하라고 권고한다.

주요 인사이트

• 챗봇에서 에이전트로의 전환은 LLM이 '조언자'에서 계획·실행·관찰을 직접 수행하는 '오케스트레이터'로 바뀌는 변화다.
• ReAct(추론·행동) 패턴은 특정 제품이 아니라 사실상 모든 에이전트 프레임워크의 공통 골격이다.
• 스킬을 메타데이터만 주입해 온디맨드로 불러오는 설계는 한정된 컨텍스트 창을 효율적으로 쓰는 핵심 기법이다.
• 로컬 실행과 광범위한 권한은 편의성과 동시에 백도어·프롬프트 인젝션이라는 보안 부담을 키운다.
• 오픈클로는 한 가지 접근일 뿐이며, 랭그래프(LangGraph) 등 다른 프레임워크로도 같은 패턴을 구현할 수 있다.

자주 묻는 질문

관련 AI 소식