앤드류 응의 오픈소스 AI 에이전트 OpenWorker

4계층 로컬 아키텍처

OpenWorker는 사용자 컴퓨터에서만 전적으로 실행되며, 클라우드 추론 서버가 따로 없다. 아키텍처는 다음 네 가지 계층으로 이루어져 있다 :

• 데스크톱 셸: Tauri 2 기반 네이티브 창 안에 React 18 UI를 담았다(bundle ID com.openworker.desktop). 이 셸이 파이썬 서버 프로세스를 관리한다.
• 로컬 에이전트 서버: Python 3.10+ 위에 FastAPI와 Uvicorn으로 구축됐으며, 127.0.0.1:8765에 바인딩된다. 작업당 기본 모델-툴 반복 횟수는 12회로 제한된다.
• 기능 및 커넥터 계층: 파일시스템, git, ripgrep 기반 검색, 셸, 할 일 목록 등 로컬 도구를 제공한다. 여기에 호스팅 통합 및 MCP(Model Context Protocol)도 지원한다.
• 모델 라우터: 앤드류 응의 독자 라이브러리인 aisuite를 기반으로 하여, 네이티브·OpenAI 호환·리셀러·로컬 등 다양한 모델 제공자를 하나의 인터페이스로 연결한다 .

저장소에는 coworker/ 디렉토리 아래 파이썬 파일 119개(약 32,400줄), surfaces/gui/ 아래 TypeScript/TSX 파일 149개, 그리고 백엔드 테스트 모듈 78개가 포함돼 있다 .

지원 모델: 30개 큐레이션 모델, 사용자 키 소유 방식

OpenWorker는 한 모델에 종속되지 않는다. 총 30개의 정선된 모델을 지원하며, 사용자가 각자 API 키를 가져와야 한다(BYOK) . 지원 모델은 다음과 같다:

• 네이티브 제공자: OpenAI GPT-5.6 Sol, Terra, Luna, GPT-5.5; Anthropic Claude Fable 5, Opus 4.8, Sonnet 4.6, Haiku 4.5; Google Gemini 3.6 Flash, 3.1 Pro, 2.5 Pro, 2.5 Flash.
• OpenAI 호환 벤더: GLM-5.2, DeepSeek V4, Kimi K2.6, MiniMax M2.5, Qwen3 Max, Grok 4.3, Mistral Large.
• 호스팅 오픈웨이트 모델: Together AI, Fireworks 등 파트너를 통해 이용 가능.
• 완전 로컬 모델: Ollama를 통해 API 키 없이도 사용 가능.

권한 및 안전 시스템

OpenWorker의 핵심 특징 중 하나는 안전성 접근 방식이다. 에이전트가 수행하는 모든 도구 호출은 다음 네 가지 위험 등급으로 분류된다 :

1. read — 로컬 데이터 조회 (부수 효과 없음)
2. write_local — 컴퓨터에서 파일 생성 또는 수정 (경로 범위 제한)
3. exec — 셸 명령어 실행
4. external — 데이터를 컴퓨터 밖으로 전송 (예: 슬랙, 이메일, 캘린더)

이 등급들은 다섯 가지 권한 모드로 제어된다 :

1. discuss — 읽기 전용 대화
2. plan — 읽기 전용 계획
3. interactive (기본값) — 쓰기, 명령어, 외부 동작 전에 사용자에게 확인 요청
4. auto — 모든 것을 허용하되 경로 범위를 유지
5. custom — 사용자가 지정한 도구만 자동 승인

프롬프트 인젝션 방어

프롬프트 인젝션 공격을 막기 위해 OpenWorker에는 내장된 'ops 페르소나'가 포함되어 있다. 이 페르소나는 모델이 도구·로그·파일·수신 메시지의 내용을 명령어가 아닌 신뢰할 수 없는 데이터로 취급하도록 지시한다. 이 방어 체계는 출시된 페르소나 설정에 직접 포함돼 있다 .

프라이버시 우선 설계

OpenWorker는 강력한 프라이버시 원칙을 바탕으로 설계됐다 :

• 모델 호출은 사용자 컴퓨터에서 선택한 제공자로 직접 라우팅된다. 중계 서버가 없다.
• 대화 내용, 커넥터 토큰, API 키는 로컬에만 보관된다. 비밀 저장소는 비밀값이 모델 컨텍스트·프롬프트·트레이스에 유입되지 않도록 설계됐다.
• 유일한 선택적 클라우드 구성 요소는 OAuth 브로커(Auth0 Authorization Code with PKCE)로, 원클릭 커넥터 핸드셰이크를 위한 것이다. 커넥터 토큰은 기기로 직접 전달되며 클라우드에 저장되지 않는다.
• 앱은 API 키와 자격 증명을 수동으로 붙여넣으면 완전히 오프라인에서도 작동한다.

플랫폼 지원 및 현재 상태

OpenWorker는 현재 Mac에서 실행되며, **Windows 지원은 '곧 제공 예정'**이다 . 프로젝트는 공개 베타 단계이며, 완전히 사용 가능하고 자체 업데이트 기능도 갖췄다 .

챗봇 패러다임의 종말

OpenWorker는 기존 챗봇 모델과의 단절을 분명히 하고 있다. 사용자는 대화를 시작하는 프롬프트 대신 원하는 결과물('분류된 받은 편지함', '완성된 문서', '3분기 실적이 담긴 슬랙 답장', '업데이트된 캘린더 항목' 등)을 지정한다. 그러면 에이전트가 그 목표를 여러 단계로 나누고, 로컬 파일과 연결된 애플리케이션에서 작업을 수행하며, 중요한 조치를 취하기 전에 사람의 승인을 기다린다 . Telegram, GitHub, Slack, Jira, Notion, Linear, HubSpot, Outlook, Gmail, Google Calendar 등 25개 이상의 연동과 MCP를 지원한다 .