cloudflare·2026년 4월 14일원문

모두를 위한 보안 프라이빗 네트워킹: 사용자, 노드, 에이전트, Workers — Cloudflare Mesh를 소개합니다 (새 탭에서 열림)

AI 에이전트의 부상으로 기존의 인간 중심적인 VPN이나 SSH 터널은 자율적으로 작동하는 소프트웨어의 네트워크 접근 요구를 충족하기 어려워졌습니다. Cloudflare Mesh는 AI 에이전트, 서비스, 사용자 기기를 아우르는 통합 보안 프라이빗 네트워크를 제공하여, 복잡한 설정 없이도 내부 리소스에 안전하게 접근하고 가시성을 확보할 수 있도록 돕습니다. 이는 Cloudflare One의 제로 트러스트 보안 체계와 직접 통합되어, 개발자부터 기업용 워크로드까지 유연하게 확장 가능한 에이전트 중심의 네트워크 인프라를 실현합니다. ### 에이전트 중심 시대를 위한 네트워크의 변화 * **기존 방식의 한계:** VPN은 수동 로그인이 필요하고 SSH 터널은 설정이 번거로우며, 서비스를 공용 인터넷에 노출하는 것은 보안 위험이 큼. 특히 자율적으로 동작하는 AI 에이전트에게는 부적합한 방식임. * **Cloudflare Mesh의 도입:** AI 에이전트가 스테이징 DB나 내부 API에 직접 접근할 수 있도록 네트워크를 연결하며, Cloudflare Workers 및 Agents SDK와 통합되어 서버리스 환경에서도 프라이빗 리소스에 도달할 수 있게 함. * **단일화된 인프라:** Cloudflare One의 SASE 아키텍처를 기반으로 하며, 'Mesh 노드'(기존 WARP Connector)와 'Cloudflare One Client'를 통해 인간과 에이전트 트래픽을 모두 수용함. ### 주요 에이전트 워크플로우와 활용 사례 * **개인용 에이전트 원격 접속:** 모바일 기기에서 집 안의 홈 네트워크에 있는 AI 에이전트(예: Mac mini에서 실행 중인 모델)에 안전하게 접속. 인터넷 노출 없이 셸 접근 및 파일 시스템 제어가 가능함. * **코딩 에이전트의 스테이징 환경 접근:** 개발자 노트북의 코딩 에이전트(Cursor, Claude Code 등)가 프라이빗 클라우드 VPC 내의 스테이징 데이터베이스나 API 서버에 직접 쿼리를 날릴 수 있도록 연결함. * **배포된 에이전트와 내부 서비스 통합:** Cloudflare Workers 기반의 에이전트가 퍼블릭 인터넷에 노출되지 않은 내부 API 및 DB와 통신할 때, 세밀한 권한 제어와 감사 추적(Audit Trail)을 제공함. ### Cloudflare One 기반의 통합 보안 및 관리 * **글로벌 네트워크 활용:** 전 세계 330개 이상의 도시에 걸친 Cloudflare 네트워크를 통해 프라이빗 IP로 라우팅되어 높은 안정성과 통제력을 확보함. * **자동화된 보안 정책:** Gateway 정책, 디바이스 포스처(Posture) 체크, DNS 필터링 등이 Mesh 트래픽에 자동으로 적용되어 추가 설정 없이 보안 수준을 강화함. * **확장성 있는 기능 제공:** 초기 설정 후 필요에 따라 SSH/RDP 세션 관리, 브라우저 격리, 데이터 손실 방지(DLP) 및 SaaS 보안(CASB) 등 고급 제로 트러스트 기능을 점진적으로 도입할 수 있음. 프라이빗 네트워킹이 필요한 개발자나 기업은 Mesh를 통해 수 분 내에 네트워크를 구축하고 에이전트에게 안전한 통로를 제공할 수 있습니다. 단순한 터널링을 넘어 향후 제로 트러스트 보안의 전체 스택으로 마이그레이션 없이 확장 가능하다는 점이 큰 장점입니다. 특히 자율적인 AI 에이전트의 활동에 대한 보안 통제가 필요한 환경에 Cloudflare Mesh 도입을 강력히 권장합니다.

PostgreSQLsaseagents-sdkssh+4

cloudflare·2026년 4월 13일원문

클라우드플레어 전체를 위한 CLI 구축하기 (새 탭에서 열림)

Cloudflare는 100개 이상의 제품과 3,000여 개의 API 작업을 아우르는 거대한 생태계를 단일화하기 위해 Wrangler CLI를 전면 재구축하고 있습니다. 특히 AI 에이전트가 주요 사용자로 부상함에 따라, 모든 제품을 CLI, SDK, Terraform 등 다양한 인터페이스에서 일관되게 사용할 수 있도록 하는 것을 목표로 합니다. 이를 위해 새로운 TypeScript 기반 스키마 시스템을 도입하여 코드 생성 파이프라인을 자동화하고 개발 생산성을 높이고 있습니다. ### 통합 CLI 'cf'로의 진화 * Cloudflare의 방대한 API를 모두 수용하기 위해 차세대 Wrangler의 기술 프리뷰 버전인 `cf` 커맨드를 공개했습니다. * 기존 Wrangler가 일부 제품만 지원하던 한계를 극복하고, 인간과 AI 에이전트 모두에게 인체공학적인 출력을 제공하도록 설계되었습니다. * 현재 `npx cf` 또는 `npm install -g cf`를 통해 초기 버전을 미리 체험해 볼 수 있으며, 향후 기존 Wrangler 기능들과 통합될 예정입니다. ### TypeScript 기반의 새로운 스키마 엔진 * 기존 OpenAPI 스키마만으로는 로컬 개발 환경과 API 요청이 결합된 복잡한 CLI 명령어나 Workers 바인딩을 표현하는 데 한계가 있었습니다. * 이에 Cloudflare는 API, CLI 인자, 에이전트 기술(Agent Skills) 등을 포괄적으로 정의할 수 있는 새로운 TypeScript 기반 스키마 시스템을 구축했습니다. * 이 시스템은 일종의 '코드 생성기' 역할을 하며, 단일 정의로부터 OpenAPI 스키마, SDK, Terraform 제공자 등을 자동으로 생성하여 제품 업데이트 속도에 맞춘 신속한 동기화를 지원합니다. ### 일관성 확보와 컨텍스트 엔지니어링 * 수많은 제품군 사이에서 일관성 없는 명령어(예: `info`와 `get`의 혼용)는 특히 AI 에이전트의 오작동을 유발하므로, 스키마 계층에서 명칭 규칙을 강제합니다. * 모든 명령어에 `--force`, `--json`과 같은 표준 플래그를 적용하여 예측 가능성을 높였습니다. * 로컬 리소스와 원격 리소스 간의 동작 차이를 명확히 시그널링하여, 에이전트가 개발 중 리소스를 수정할 때 혼동하지 않도록 컨텍스트를 제공합니다. ### 로컬 익스플로러(Local Explorer) 도입 * 로컬 개발 환경에서 시뮬레이션되는 KV, D1, R2, Durable Objects 등의 리소스 내부를 쉽게 들여다볼 수 있는 'Local Explorer' 기능이 베타로 출시되었습니다. * Wrangler나 Cloudflare Vite 플러그인 실행 중 단축키 `e`를 눌러 활성화할 수 있으며, 기존처럼 `.wrangler/state` 디렉토리를 직접 분석할 필요가 없습니다. * 이를 통해 개발자와 에이전트는 로컬 데이터 상태를 즉각 확인하고, 테스트 레코드를 삽입하거나 스키마를 검증하는 등 상호작용 중심의 개발 사이클을 가질 수 있습니다. Cloudflare의 새로운 변화를 미리 경험해보고 싶다면 지금 바로 터미널에서 `npx cf`를 실행해 보세요. 또한 로컬 개발 중에는 `e` 키를 활용해 데이터 상태를 실시간으로 점검하며 개발 속도를 높일 수 있습니다.

데이터베이스 설계cloudflareTypeScriptTerraform+4

cloudflare·2026년 4월 13일원문

동적 워커의 Durable Objects: AI가 생성한 각 앱에 자체 데이터베이스를 제공하세요 (새 탭에서 열림)

Cloudflare는 AI가 생성한 애플리케이션에 독립적인 영구 저장소를 제공하기 위해 'Durable Object Facets' 기능을 출시했습니다. 이 기능은 가볍고 빠른 Dynamic Workers 환경에서 AI 코드가 자신만의 전용 SQLite 데이터베이스를 가질 수 있게 하여, 일회성 실행을 넘어 상태를 유지하는 복잡한 앱 구축을 가능하게 합니다. 개발자는 이를 통해 동적으로 생성된 코드에 대해 제로 레이턴시 수준의 저장소 성능과 체계적인 관리 권한을 동시에 확보할 수 있습니다. ### Dynamic Workers와 상태 관리의 필요성 * **Isolate 기반의 효율성:** Dynamic Workers는 컨테이너가 아닌 Isolate 기술을 사용하여 기존 방식보다 100배 빠르고 메모리 사용량은 1/10 수준으로 가볍습니다. * **일회성 실행의 한계:** 기존에는 AI 에이전트가 생성한 코드를 즉시 실행하고 버리는 용도로 주로 사용되었으나, 사용자 상호작용이 필요한 앱을 만들려면 장기적인 상태(State) 저장이 필수적입니다. * **스토리지 대안:** 원격 SQL 데이터베이스(D1, Postgres 등)를 연결할 수도 있지만, 더 빠르고 밀접한 데이터 처리를 위해 Durable Object의 로컬 SQLite 활용이 제안되었습니다. ### 기존 Durable Objects의 제약 사항 * **정적 설정의 한계:** 일반적인 Durable Object는 코드 작성 후 API를 통한 프로비저닝과 Wrangler 설정이 필요하며, 이는 실시간으로 코드가 생성되는 동적 환경에는 적합하지 않습니다. * **통제 및 관리 문제:** AI나 사용자가 생성한 코드가 무제한으로 스토리지를 생성하거나 사용하는 것을 방지하기 위해 로깅, 과금, 리소스 제한 등을 수행할 '감독자(Supervisor)' 역할이 필요합니다. ### Durable Object Facets의 구조와 작동 방식 * **Facets 개념 도입:** 개발자가 작성한 고정된 Durable Object(관리자) 내에서 AI가 생성한 Dynamic Worker 코드를 'Facet'이라는 하위 단위로 로드하고 인스턴스화합니다. * **독립된 SQLite 데이터베이스:** 각 Facet은 관리자의 데이터베이스와 분리된 자신만의 SQLite 데이터베이스를 할당받습니다. 이를 통해 일반적인 Durable Object 스토리지 API(kv, sql)를 그대로 사용할 수 있습니다. * **감독자 패턴(Supervisor Pattern):** 모든 요청은 먼저 관리자 Durable Object를 거쳐 Facet으로 전달되므로, 개발자는 요청 전달 전에 로깅, 보안 검사, 할당량 제한 등의 로직을 실행할 수 있습니다. * **코드 구현:** `this.ctx.facets.get()` 메서드를 사용하여 동적 클래스를 인스턴스로 만들고, RPC(원격 프로시저 호출)나 HTTP 요청을 통해 해당 Facet과 통신합니다. AI 기반의 맞춤형 앱 플랫폼이나 사용자 정의 로직을 실행해야 하는 SaaS를 구축한다면, Durable Object Facets를 활용해 보시기 바랍니다. 이를 통해 인프라 설정의 번거로움 없이 각 사용자 앱마다 독립적이고 성능이 뛰어난 전용 데이터베이스를 즉시 제공할 수 있으며, 관리자 계층을 통해 시스템 안정성과 가시성을 동시에 확보할 수 있습니다.

데이터베이스 설계cloudflarePostgreSQLdurable-objects+3

cloudflare·2026년 4월 13일원문

샌드박스 정식 출시로 에이전트가 각자의 컴퓨터를 갖게 됩니다 (새 탭에서 열림)

Cloudflare는 AI 에이전트가 코드를 안전하게 개발하고 실행할 수 있도록 설계된 '샌드박스(Sandboxes)'와 'Cloudflare Containers'의 정식 출시(GA)를 발표했습니다. 이 서비스는 에이전트에게 격리된 가상 컴퓨터 환경을 제공하여 리포지토리 복제, 코드 빌드, 개발 서버 실행과 같은 복잡한 작업을 안전하게 수행할 수 있게 돕습니다. 이를 통해 개발자는 확장성, 상태 복구, 보안 등 인프라 구축의 난제들을 직접 해결할 필요 없이 고도화된 AI 에이전트 서비스를 배포할 수 있습니다. ### 샌드박스의 핵심 기능 및 업데이트 * **보안 인증 정보 주입(Secure Credential Injection)**: 프로그래밍 가능한 송신(Egress) 프록시를 통해 네트워크 계층에서 인증 정보를 주입합니다. 에이전트가 실제 비밀번호나 API 키에 직접 접근하지 못하게 차단하면서도 필요한 내부 서비스에는 안전하게 접근할 수 있도록 설계되었습니다. * **PTY(의사 터미널) 지원**: 단순한 텍스트 입력-출력 구조를 넘어, WebSocket과 xterm.js를 활용한 실제 터미널 환경을 제공합니다. 이를 통해 인간과 에이전트 모두 스트리밍 출력을 실시간으로 확인하고 상호작용할 수 있습니다. * **지속성 코드 인터프리터**: Python, JavaScript, TypeScript를 위한 상태 유지형 인터프리터를 기본 제공하여, 에이전트가 이전 실행 상태를 기억하며 연속적인 코드를 실행할 수 있습니다. * **스냅샷 및 상태 복구**: 스냅샷 기능을 통해 에이전트의 이전 작업 세션을 신속하게 복구할 수 있으며, 유휴 상태일 때는 자동으로 절전 모드에 진입하여 리소스를 절약합니다. ### 인프라 관리 및 운영 효율성 * **프로그래밍 방식의 제어**: `exec`, `gitClone`, `writeFile` 등의 API 메서드를 제공하여 개발자가 샌드박스의 생명주기와 파일 시스템을 코드만으로 손쉽게 조작할 수 있습니다. * **라이브 프리뷰 및 배경 프로세스**: 백그라운드에서 실행되는 개발 서버와 상호작용할 수 있는 라이브 프리뷰 URL을 지원합니다. 파일 시스템 변경 사항을 감지하는 모니터링 기능과 결합하여 에이전트의 작업 결과를 즉시 검증할 수 있습니다. * **유연한 과금 체계**: 'Active CPU Pricing' 정책을 도입하여 에이전트가 실제로 CPU를 사용하는 시간에 대해서만 비용을 지불합니다. 대규모 에이전트 함대를 운영하더라도 대기 상태의 유휴 리소스에 대한 비용 부담이 적습니다. ### 기술적 특징 및 작동 방식 * **Cloudflare Containers 기반**: 모든 샌드박스는 Cloudflare Containers에 의해 구동되며, 고유한 이름을 통해 요청 시 즉시 생성되거나 기존 환경을 재개합니다. * **전역 접근성**: 동일한 ID를 제공하면 전 세계 어디에서나 이전에 작업하던 동일한 샌드박스 환경에 다시 접속하여 작업을 이어갈 수 있습니다. * **검증된 안정성**: Figma의 'Figma Make'와 같은 실제 서비스에서 이미 활용되고 있으며, 신뢰할 수 없는 사용자 작성 코드나 에이전트 코드를 실행하는 데 최적화된 격리 환경을 보장합니다. AI 에이전트가 단순한 텍스트 응답을 넘어 실제 환경에서 도구를 사용하고 코드를 실행하는 '행동하는 에이전트'로 진화하기 위해서는 안전한 샌드박스가 필수적입니다. Cloudflare의 이번 GA 출시는 복잡한 인프라 설정 없이도 엔터프라이즈급 보안과 확장성을 갖춘 에이전트 실행 환경을 즉시 구축할 수 있는 실질적인 해답을 제공합니다.

Docker & 컨테이너authenticationcloudflare-sandboxesagent-systems+4

cloudflare·2026년 4월 13일원문

동적이며 신원 기반의 안전한 샌드박스 인증 (새 탭에서 열림)

AI 에이전트와 같은 신뢰할 수 없는 워크로드를 안전하게 실행하기 위해서는 샌드박스 환경이 필수적이지만, 외부 서비스와의 통신 시 보안과 편의성을 동시에 확보하는 것은 어려운 과제였습니다. 이를 해결하기 위해 도입된 '아웃바운드 워커(outbound Workers)'는 프로그래밍 가능한 이그레스 프록시를 통해 샌드박스 내부로 비밀 키를 노출하지 않고도 안전하고 유연한 인증을 구현합니다. 이 방식은 제로 트러스트 원칙을 준수하면서도 개발자에게 강력한 통제권과 관찰 가능성을 제공하여 AI 워크로드의 보안 수준을 획기적으로 높여줍니다. ### 샌드박스의 핵심 가치와 아웃바운드 워커의 역할 * 샌드박스는 마이크로VM 기술을 활용해 신뢰할 수 없는 사용자나 LLM이 호스트 시스템이나 다른 워크로드를 침해하지 못하도록 격리하는 보안 기능을 제공합니다. * 단순한 격리를 넘어, 사용자가 이전 상태를 빠르게 복구할 수 있는 속도와 플랫폼이 샌드박스 내부 동작을 제어할 수 있는 통제권이 핵심입니다. * 아웃바운드 워커는 샌드박스에서 나가는 모든 트래픽을 가로채는 프록시 역할을 하며, 이를 통해 외부 서비스 연결, 로깅 추가, 동적 인증 주입 등을 프로그래밍 방식으로 처리합니다. ### 기존 에이전트 인증 방식의 문제점 * **표준 API 토큰:** 환경 변수나 파일로 토큰을 직접 주입하는 방식은 가장 단순하지만, 샌드박스가 탈취되거나 에이전트가 실수로 토큰을 노출할 경우 보안에 치명적입니다. * **워크로드 ID 토큰(OIDC):** 보안성은 높으나 많은 외부 서비스가 이를 직접 지원하지 않아, 토큰 교환을 위한 별도의 서비스를 구축해야 하는 등 통합의 유연성이 떨어집니다. * **커스텀 프록시:** 높은 유연성을 제공하지만 모든 트래픽을 효율적이고 동적으로 가로채는 시스템을 직접 설계하고 운영하는 것은 기술적 난이도가 매우 높습니다. ### 아웃바운드 워커를 통한 지능형 인증 매커니즘 * **제로 트러스트 구현:** 샌드박스 내부의 에이전트에게 토큰을 절대 전달하지 않습니다. 대신 프록시 계층에서 요청을 가로채 인증 헤더(예: `x-auth-token`)를 안전하게 삽입합니다. * **세밀한 통제와 관찰:** 자바스크립트 코드를 통해 특정 호스트(예: `github.com`)에 대해서만 인증을 적용하거나, GET 요청 이외의 동작을 차단하고 로깅하는 정책을 손쉽게 설정할 수 있습니다. * **성능과 투명성:** 프록시가 샌드박스와 동일한 머신에서 실행되므로 지연 시간이 거의 없으며, 샌드박스 내부의 워크로드는 프록시의 존재를 모른 채 평소처럼 통신하면 됩니다. * **동적 정책 변경:** 런타임 중에 인증 규칙이나 접근 권한을 즉시 변경할 수 있어, 에이전트의 작업 단계에 따른 유연한 권한 관리가 가능합니다. AI 에이전트가 외부 도구와 상호작용해야 하는 환경을 구축한다면, 에이전트에게 직접 권한을 부여하기보다 아웃바운드 워커와 같은 투명한 프록시 계층을 활용하는 것이 권장됩니다. 이를 통해 보안 사고의 위험을 원천 차단하면서도 개발 복잡성을 획기적으로 줄일 수 있습니다.

JavaScript제로 트러스트authenticationhttp-requests+4

cloudflare·2026년 4월 12일원문

에이전트 위크에 오신 것을 환영합니다 (새 탭에서 열림)

AI 에이전트의 시대가 도래함에 따라 기존의 컨테이너 기반 클라우드 인프라는 확장성과 비용 측면에서 한계에 직면하고 있습니다. 클라우드플레어는 일대다(1:N) 방식의 전통적인 아키텍처 대신, 개별 에이전트마다 독립적인 실행 환경을 즉시 제공할 수 있는 격리(Isolate) 기반의 서버리스 기술이 미래 인터넷의 핵심이 될 것이라고 주장합니다. 에이전트의 대중화를 위해서는 수 밀리초 안에 실행되고 자원 소모가 적은 가벼운 컴퓨팅 환경으로의 전환이 필수적이라는 결론입니다. **기존 클라우드 모델과 에이전트의 충돌** * 스마트폰 시대를 거치며 발전한 현재의 클라우드는 소수의 마이크로서비스 인스턴스가 다수의 사용자를 처리하는 '일대다(One-to-Many)' 모델을 기본으로 합니다. * 반면 AI 에이전트는 한 명의 사용자가 하나의 특정 작업을 수행하기 위해 고유한 실행 환경을 점유하는 '일대일(One-to-One)' 모델을 요구합니다. * 기존 애플리케이션이 정해진 메뉴를 제공하는 '레스토랑'이라면, 에이전트는 작업마다 다른 도구와 재료를 사용하는 '개인 요리사'와 같아서 기존의 컨테이너 방식으로는 이를 효율적으로 수용하기 어렵습니다. **에이전트 대중화를 가로막는 확장성 산식** * 수억 명의 지식 노동자가 동시에 에이전트를 사용할 경우, 기존 컨테이너 방식으로는 수백만 대의 서버 CPU가 필요하며 이는 현재 가용 가능한 컴퓨팅 용량을 수십 배 초과합니다. * 컨테이너는 실행 시 수백 메가바이트의 메모리를 소모하고 시작 속도가 느려, 에이전트 한 대당 운영 비용이 매우 높게 형성됩니다. * 이러한 경제적 한계 때문에 현재 에이전트 도구들은 높은 비용을 정당화할 수 있는 코딩 도구 등 일부 영역에만 국한되어 있습니다. **V8 Isolate 기술을 통한 인프라 혁신** * Cloudflare Workers의 기반인 V8 Isolate 기술은 컨테이너 대비 시작 속도는 약 100배 빠르고(수 밀리초), 메모리 사용량은 100배가량 효율적입니다. * 'Dynamic Workers' 환경을 통해 요청이 들어올 때마다 실시간으로 에이전트 실행 환경을 할당하고 작업 종료 즉시 폐기함으로써 하드웨어 밀도를 극대화할 수 있습니다. * Isolate는 에이전트가 필요로 하는 최소한의 자원만 할당하므로, 전 세계 수십억 명의 사용자를 위한 에이전트 서비스 운영에 필요한 경제적 타당성을 제공합니다. **전환기의 과제와 하이브리드 전략** * 현재는 에이전트가 사람이 사용하던 웹사이트를 탐색하기 위해 헤드리스 브라우저를 사용하는 '말 없는 마차(Horseless Carriage)' 단계에 머물러 있습니다. * 향후에는 에이전트가 직접 서비스를 호출하는 MCP(Model Context Protocol) 표준과 에이전트 전용 인증 방식이 확산될 것으로 보입니다. * 클라우드플레어는 파일 시스템과 바이너리 실행이 필수적인 코딩 에이전트를 위한 '컨테이너 기반 샌드박스'를 정식 출시함과 동시에, 가벼운 작업을 위한 Isolate 기술을 병행 지원하여 구시대와 신시대의 인프라를 연결할 계획입니다. 에이전트 중심의 서비스를 구축하려는 기업은 컨테이너 중심의 무거운 기존 설계에서 벗어나, 실행 밀도가 높고 비용 효율적인 Isolate 기반의 서버리스 아키텍처를 도입하여 대규모 사용자 환경에 대비할 것을 추천합니다.

데이터베이스 설계대규모 언어 모델쿠버네티스Cloudflare Workers+4

cloudflare·2026년 4월 10일원문

500 Tbps의 용량: 글로벌 네트워크 확장의 16년 (새 탭에서 열림)

Cloudflare는 지난 16년간의 성장을 통해 전 세계 330개 이상의 도시에서 총 500Tbps의 외부 연결 용량을 확보하며 글로벌 네트워크의 중추적인 역할을 수행하고 있습니다. 이 거대한 용량은 단순히 트래픽을 처리하는 것을 넘어 대규모 DDoS 공격을 감내할 수 있는 '보안 예산'의 역할을 하며, 네트워크 전체에 분산된 지능형 소프트웨어를 통해 인간의 개입 없이도 초당 수십 테라비트급의 공격을 자동으로 방어합니다. 결과적으로 Cloudflare는 단순한 콘텐츠 전달 네트워크를 넘어 에지 컴퓨팅과 차세대 라우팅 프로토콜을 주도하는 지능형 인프라로 진화했습니다. ### 500 Tbps 용량의 의미와 네트워크 확장 * 500 Tbps는 피크 트래픽 수치가 아니라, transit 제공업체, 피어링 파트너, 인터넷 교환지(IX) 등과 연결된 모든 외부 포트 용량의 합계를 의미합니다. * 2010년 단일 서비스 제공업체로 시작한 이후, 현재는 전 세계 웹 트래픽의 20% 이상을 보호하는 330개 도시 규모의 거대 네트워크로 성장했습니다. * 일상적인 트래픽은 이 용량의 일부만 사용하며, 나머지 유휴 용량은 대규모 DDoS 공격을 흡수하고 차단하기 위한 일종의 '보안 버퍼'로 활용됩니다. ### 분산형 자동 방어 체계: 31.4 Tbps 공격의 차단 과정 * 2025년 발생한 31.4 Tbps 규모의 Aisuru-Kimwolf 봇넷 공격을 엔지니어의 개입 없이 단 35초 만에 자동으로 완화했습니다. * 모든 서버는 xdpd(eXpress Data Path)와 eBPF 기반의 l4drop 프로그램을 실행하여, 공격 트래픽이 CPU 자원을 소모하기 전에 네트워크 카드(NIC) 수준에서 즉시 폐기합니다. * dosd(DoS 데몬)가 각 서버의 샘플링 데이터를 바탕으로 공격 패턴을 분석하면, 이 규칙이 Quicksilver(분산 KV 저장소)를 통해 전 세계 모든 데이터 센터에 수초 내로 전파되어 동시 대응이 이루어집니다. * 중앙 집중식 스크러빙 센터로 트래픽을 돌리지 않고, 공격이 유입된 현장에서 즉시 처리함으로써 지연 시간을 최소화하고 가용성을 보장합니다. ### 차세대 라우팅 보안: RPKI와 ASPA * BGP 하이재킹과 경로 왜곡을 방지하기 위해 RPKI(리소스 공공키 기반구조)를 전면 도입하여 잘못된 경로로 유입되는 트래픽을 원천 차단합니다. * RPKI가 경로의 '소유권'을 확인한다면, 새롭게 도입 중인 ASPA(자율 시스템 제공자 인증)는 트래픽이 거쳐온 '경로의 정당성'까지 검증하여 경로 누출(Route Leak) 사고를 예방합니다. * Cloudflare는 이러한 프로토콜의 초기 채택자로서, 인터넷 전체의 보안 표준을 높이고 더 안전한 글로벌 라우팅 환경을 구축하는 데 기여하고 있습니다. ### AI 에이전트 부상에 따른 트래픽 변화 대응 * 현재 전체 HTML 요청의 4% 이상이 AI 크롤러와 학습 파이프라인에서 발생하고 있으며, 이는 기존 검색 엔진 크롤러에 필적하는 수준입니다. * AI 크롤러는 일반 사용자 브라우저와 달리 쉼 없이 최대 대역폭으로 리소스를 긁어가는 특성이 있어, 이를 일반적인 공격 트래픽과 구분하는 것이 새로운 기술적 과제로 부상했습니다. * TLS 핑거프린팅, 행동 분석, 로봇 배제 표준(robots.txt) 준수 신호 등을 결합하여 정당한 AI 트래픽은 허용하고 악의적인 수집은 차단하는 정교한 탐지 시스템을 운영합니다. Cloudflare의 사례는 현대 인프라가 단순히 하드웨어의 확장을 넘어, 소프트웨어 기반의 지능형 자동화와 강력한 에지 컴퓨팅 역량을 갖추어야 함을 시사합니다. 기업들은 전 세계 어디서나 일관된 성능과 보안을 제공받기 위해, 대규모 분산 네트워크 인프라와 결합된 클라우드 네이티브 보안 모델을 적극적으로 고려해야 합니다.

cloudflare분산 시스템network-securityebpf+4

cloudflare·2026년 4월 8일원문

바이트코드에서 바이트까지 - 자동화된 매직 패킷 생성 (새 탭에서 열림)

리눅스 악성코드는 커널 내에서 네트워크 트래픽을 처리하는 BPF(Berkeley Packet Filter) 프로그램을 이용해 특정 '매직 패킷'을 받을 때까지 잠복하는 방식을 자주 사용합니다. 수백 줄에 달하는 복잡한 BPF 바이트코드를 수동으로 역공학하여 매직 패킷의 구조를 파악하는 것은 분석가에게 매우 고무적인 작업이나 시간 소모가 큽니다. 이 글은 Z3 정리 증명기(Theorem Prover)를 활용한 심볼릭 실행(Symbolic Execution) 기법을 통해, 복잡한 필터 조건을 논리적 제약식으로 변환하고 이를 통과하는 패킷을 단 몇 초 만에 자동으로 생성하는 자동화 도구의 원리와 성과를 설명합니다. ### Classic BPF와 악성코드의 은닉 기법 * **Classic BPF의 특성:** 현대적인 eBPF와 달리 2개의 레지스터만을 사용하는 단순한 가상 머신 구조로, tcpdump와 같은 도구에서 네트워크 트래픽을 고속 필터링하기 위해 설계되었습니다. * **백도어 활용:** 커널 깊숙한 곳에서 동작하며 사용자 공간의 보안 도구로부터 트래픽을 숨길 수 있다는 점 때문에, BPFDoor와 같은 지능형 지속 위협(APT) 공격자들이 선호합니다. * **분석의 한계:** 악성 BPF 프로그램은 100줄 이상의 복잡한 명령어로 구성되기도 하며, LLM을 활용한 코드 해석만으로는 실제 필터를 통과하는 정확한 네트워크 패킷 바이트를 재현하기 어렵습니다. ### BPFDoor 사례를 통한 필터 논리 분석 * **동작 원리:** BPFDoor는 특정 포트를 열지 않고 유입되는 모든 트래픽을 감시하다가, 미리 정의된 특정 조건(오프셋, 프로토콜, 포트 등)을 만족하는 패킷이 들어오면 활성화됩니다. * **명령어 구조:** 실제 샘플 분석 결과, 이더넷 타입(IPv4/IPv6), 프로토콜(UDP), 목적지 포트(DNS/53) 등을 순차적으로 검사하여 'ACCEPT' 또는 'DROP' 여부를 결정하는 논리적 경로를 가집니다. * **경로 탐색:** 필터 내에는 패킷을 허용(ACCEPT)하는 여러 경로가 존재하며, 각 경로는 특정 바이트 위치의 값이 무엇이어야 하는지에 대한 구체적인 제약 조건을 포함하고 있습니다. ### 심볼릭 실행 및 Z3를 이용한 패킷 자동 생성 * **제약 조건 해결:** BPF의 결정론적(Deterministic) 특성을 활용해, 패킷 데이터를 미지수(Symbolic)로 두고 Z3 정리 증명기를 통해 필터 조건을 만족하는 값을 역산합니다. * **최단 경로 탐색 알고리즘:** 큐(Queue) 기반의 탐색 방식을 사용하여 'ACCEPT' 결과에 도달하는 가장 효율적인 명령어 실행 경로를 추적합니다. * **자동화의 이점:** 분석가가 수동으로 어셈블리 코드를 보며 패킷 바이트를 계산할 필요 없이, 알고리즘이 자동으로 유효한 명령어 경로를 따라가며 매직 패킷의 전체 바이트 배열을 생성해 줍니다. 이러한 자동화 방식은 수 시간이 걸리던 수동 분석 작업을 단 몇 초 만에 완료할 수 있게 해줍니다. 보안 분석가들은 이 기술을 활용해 BPF 기반 백도어를 신속하게 무력화하고, 침해 사고 대응 과정에서 공격자가 사용하는 통제 신호를 즉각적으로 식별할 수 있습니다.

network-securityebpfberkeley-packet-filterbpf+4

cloudflare·2026년 4월 7일원문

클라우드플레어, 2029년까지 완전한 양자 내성 보안 구현 목표 (새 탭에서 열림)

Cloudflare는 양자 컴퓨터가 현대의 암호 체계를 무력화하는 'Q-Day'가 예상보다 훨씬 빠르게 도래할 것이라는 판단하에, 전사적인 사후 양자(Post-Quantum) 보안 전환 완료 목표를 2029년으로 앞당겼습니다. 최근 구글과 Oratomic의 연구 결과에 따르면 중성 원자(Neutral atom) 방식과 알고리즘 최적화를 통해 기존 암호 해독에 필요한 큐비트 수가 대폭 감소했으며, 이로 인해 데이터 도청뿐만 아니라 실시간 인증 시스템의 보안 위협이 가시권에 들어왔습니다. Cloudflare는 이미 적용 중인 사후 양자 암호화에 더해 2029년까지 양자 내성 인증(PQ Authentication) 체계까지 완비하여 인터넷 전반의 보안을 선제적으로 강화할 계획입니다. ### Q-Day를 앞당긴 세 가지 기술적 도약 * **하드웨어의 발전**: 중성 원자(Neutral atoms) 및 초전도 큐비트 등 다양한 하드웨어 접근 방식이 빠르게 발전하고 있으며, 특히 중성 원자 방식은 확장성 면에서 예상보다 뛰어난 성과를 보여주고 있습니다. * **오류 정정(Error Correction) 효율화**: 과거에는 1개의 논리 큐비트를 구현하기 위해 약 1,000개의 물리 큐비트가 필요할 것으로 예상되었으나, Oratomic의 연구에 따르면 중성 원자 방식에서는 단 3~4개의 물리 큐비트만으로도 이를 구현할 수 있다는 사실이 밝혀졌습니다. * **소프트웨어 및 알고리즘 최적화**: 구글은 타원곡선 암호(P-256)를 해독하는 양자 알고리즘을 획기적으로 개선했으며, Oratomic은 10,000개의 큐비트만으로도 현대의 주요 암호 체계를 해독할 수 있다는 자원 추정치를 발표했습니다. ### 암호화에서 인증 보안으로의 전략적 전환 * **수집 후 해독(HNDL) 대응**: Cloudflare는 2022년부터 사후 양자 암호화를 도입하여 공격자가 지금 데이터를 수집하고 나중에 해독하는 공격을 방어해 왔으며, 현재 전체 트래픽의 65% 이상이 이 방식으로 보호되고 있습니다. * **인증 보안의 시급성**: Q-Day가 2030년 이전으로 앞당겨짐에 따라, 양자 컴퓨터를 이용한 실시간 서버 사칭 및 자격 증명 위조를 막기 위한 '양자 내성 인증' 도입이 더 이상 미룰 수 없는 과제가 되었습니다. * **업계의 동조**: 구글은 이미 2029년까지 사후 양자 전환을 완료하겠다고 발표했으며, IBM의 전문가는 2029년경 고가치 목표물에 대한 양자 공격이 발생할 가능성을 배제할 수 없다고 경고하고 있습니다. ### 정보의 비대칭성과 보안 가시성 악화 * **공개 연구의 중단 위험**: 양자 컴퓨팅 기술이 국가 안보 및 전략적 자산이 됨에 따라, 전문가들은 Shor의 알고리즘을 실행하는 데 필요한 구체적인 자원 추정치 등의 연구 결과가 더 이상 대중에게 공개되지 않는 시점에 도달했다고 경고합니다. * **구글의 사례**: 구글은 최근 암호 해독 알고리즘 개선에 성공했음을 알리면서도, 구체적인 방식은 공개하지 않고 영지식 증명(ZKP)을 통해 성공 사실만 입증하는 방식을 취했습니다. * **선제적 대비의 필요성**: 기술 발전 속도가 대중에 공개된 지표보다 빠를 수 있다는 점을 고려할 때, 조직들은 공개된 타임라인보다 더욱 보수적이고 공격적으로 보안 로드맵을 설정해야 합니다. ### 실용적인 결론 및 추천 기업과 보안 책임자들은 Q-Day를 2035년 이후의 먼 미래로 보던 과거의 시각에서 벗어나야 합니다. 2029년을 기점으로 현대의 암호화 및 인증 체계가 무너질 수 있다는 전제하에 사후 양자 보안 로드맵을 재설정해야 하며, 특히 단순한 데이터 암호화를 넘어 시스템 접근의 근간이 되는 인증서(Certificate)와 서명(Signature) 체계를 양자 내성 방식으로 전환하는 작업을 즉시 검토해야 합니다.

quantum-computingpost-quantum-cryptographyelliptic-curve-cryptographyquantum-algorithms+3

cloudflare·2026년 4월 6일원문

기업의 대규모 Cloudflare 관리를 지원하는 조직(Organizations) 기능 구축 방법 (새 탭에서 열림)

Cloudflare는 대규모 엔터프라이즈 환경에서 수천 명의 사용자와 다수의 계정을 효율적으로 관리할 수 있도록 돕는 새로운 계층인 '조직(Organizations)' 기능을 출시했습니다. 이 기능은 보안을 위한 '최소 권한 원칙'을 유지하면서도, 파편화된 계정 관리로 인해 발생하는 관리자의 운영 복잡성을 해결하기 위해 설계되었습니다. 관리자는 이제 단일 대시보드에서 조직 전체의 계정을 통합 관리하고, 분석 데이터를 확인하며, 공통 정책을 손쉽게 배포할 수 있습니다. **다중 계정 환경의 관리 복잡성 해결** * 엔터프라이즈 고객은 팀별 자율성을 보장하고 리소스를 격리하기 위해 여러 Cloudflare 계정을 사용하지만, 이는 관리자가 모든 계정에 수동으로 참여해야 하는 번거로움을 초래했습니다. * 기존 방식은 관리자가 특정 계정에서 예기치 않게 삭제될 수 있는 보안 취약점이 있었으나, 조직 기능을 통해 계정 상위 계층에서 안정적인 제어권을 확보할 수 있게 되었습니다. **조직 슈퍼 관리자(Org Super Administrator) 역할 도입** * 조직 내 모든 계정에 대해 슈퍼 관리자 권한을 갖는 새로운 역할이 도입되었으며, 개별 하위 계정의 멤버십 목록에 노출되지 않고도 관리 업무를 수행할 수 있습니다. * 약 133,000줄의 코드 개편을 통해 권한 확인 시스템을 최적화했으며, 수천 개의 계정에 접근하는 사용자의 권한 조회 성능을 27% 향상시켰습니다. **통합 분석 및 정책 공유 기능** * 조직 내 모든 계정과 존(Zone)에서 발생하는 HTTP 트래픽 데이터를 통합하여 보여주는 롤업(Roll-up) 대시보드를 제공합니다. * WAF(웹 애플리케이션 방화벽)나 Gateway 정책과 같은 설정을 하나의 소스 계정에서 조직 전체 계정으로 공유할 수 있어, 전사적 보안 정책을 중앙에서 일괄 적용할 수 있습니다. **보안 중심의 셀프 서비스 온보딩** * 보안상의 이유로 Cloudflare가 조직을 임의로 생성하지 않으며, 기존 엔터프라이즈 슈퍼 관리자가 직접 조직을 생성하고 계정을 추가하는 인비테이션 프로세스를 거쳐야 합니다. * 이는 관리자 승인 없이 사용자 권한이 임의로 상승하는 것을 방지하며, 관리자 간의 협업을 통해 안전하게 조직 체계로 전환할 수 있도록 유도합니다. **향후 로드맵 및 확장 계획** * 현재 엔터프라이즈 고객을 대상으로 공개 베타가 진행 중이며, 향후 종량제(Pay-as-you-go) 고객과 파트너 생태계로 지원 범위를 확대할 예정입니다. * 조직 수준의 감사 로그(Audit logs), 통합 빌링 리포트, 더 세분화된 조직 내 사용자 역할 등 관리 편의성을 높이는 기능들이 순차적으로 추가될 계획입니다. 현재 엔터프라이즈 계정의 슈퍼 관리자라면 추가 비용 없이 대시보드 내 'Organizations' 탭을 통해 조직을 즉시 생성할 수 있습니다. 관리 효율성을 높이기 위해 먼저 조직을 구성하고, 전사 공통 보안 정책(WAF 등)을 공유 기능으로 전환하여 관리 포인트를 단일화하는 것을 권장합니다.

데이터베이스 설계cloudflareweb-application-firewallanalytics+4

cloudflare·2026년 4월 2일원문

AI 시대를 위해 캐시를 재고하는 이유 (새 탭에서 열림)

AI 트래픽의 급격한 증가는 인간 사용자의 행동 패턴을 기반으로 설계된 기존 CDN 캐시 아키텍처에 큰 도전 과제를 던지고 있습니다. AI 크롤러와 에이전트는 일반적인 인간 사용자와 달리 웹사이트 전체를 순차적으로 스캔하거나 방대한 양의 '롱테일(비인기)' 콘텐츠를 집중적으로 요청하며, 이는 기존 캐시 적중률을 떨어뜨리고 원본 서버의 부하를 가중시키는 결과를 초래합니다. Cloudflare는 이러한 AI 시대의 독특한 데이터 접근 패턴에 대응하기 위해 CDN 캐시 설계의 근본적인 재검토가 필요하다고 주장합니다. ### AI 트래픽과 인간 트래픽의 차이점 * **높은 고유 URL 요청 비율:** AI 에이전트는 정보를 정제하고 정확도를 높이기 위해 반복적인 루핑(looping)을 수행하며, 이 과정에서 요청의 70~100%가 중복되지 않는 고유 URL로 구성됩니다. * **콘텐츠 접근의 광범위성:** 인기 페이지에 집중하는 인간과 달리, AI는 훈련 데이터 수집이나 검색 증강 생성(RAG)을 위해 기술 문서, 이미지, 블로그 등 웹사이트의 거의 모든 콘텐츠를 훑어갑니다. * **크롤링 비효율성:** AI 크롤러는 브라우저 측 캐싱이나 세션 관리를 제대로 활용하지 않으며, 독립적인 인스턴스를 여러 개 실행하여 동일한 콘텐츠를 중복 요청하거나 잘못된 URL 처리로 인해 많은 404 오류를 발생시키기도 합니다. ### 기존 캐시 알고리즘(LRU)의 한계와 영향 * **캐시 오염(Cache Churn):** 대규모 AI 스캔이 발생하면 인간 사용자가 자주 찾는 인기 콘텐츠가 캐시에서 밀려나고, 그 자리를 AI가 일회성으로 긁어가는 비인기 콘텐츠가 차지하게 됩니다. * **캐시 적중률(Hit Rate) 하락:** 가장 오래전에 사용된 데이터를 먼저 삭제하는 LRU(Least Recently Used) 알고리즘은 AI의 공격적인 스캔 패턴 아래에서 효율이 급격히 떨어지며, 이는 곧 캐시 미스 증가로 이어집니다. * **원본 서버 및 비용 부담:** 캐시 미스가 발생하면 모든 요청이 원본(Origin) 서버로 직접 전달되어 서버 부하가 커지고, 데이터 전송에 따른 이그레스(Egress) 비용이 상승하며 응답 속도는 느려집니다. ### AI 시대의 웹 운영을 위한 새로운 방향 * **운영자의 이분법적 선택:** 웹 운영자는 이제 자원 보호를 위해 AI 크롤러를 차단할 것인지, 아니면 AI 모델의 최신 정보를 유지하기 위해 이들을 수용할 것인지 선택해야 하는 상황에 놓여 있습니다. * **차세대 캐시 전략의 필요성:** 기존의 단순한 프리페칭(Prefetching)이나 캐시 만료 정책은 더 이상 유효하지 않으며, AI 에이전트의 반복적인 루핑과 롱테일 접근 패턴을 반영한 지능적인 캐시 설계가 필수적입니다. * **연구 및 협업:** Cloudflare는 ETH Zurich 연구진과 협력하여 AI 트래픽 패턴을 모델링하고, 이를 기반으로 CDN이 AI 시대에 어떻게 적응해야 할지에 대한 기술적 방향성을 제시하고 있습니다. 웹 운영자는 자신의 콘텐츠가 AI 검색 결과나 학습 데이터에 포함되기를 원한다면, AI 트래픽의 특성을 이해하고 이를 효율적으로 처리할 수 있는 도구를 도입해야 합니다. 단순히 트래픽을 차단하는 것을 넘어, 'Pay per crawl'과 같은 수익화 모델이나 AI 전용 캐시 계층을 고려하는 등 변화하는 환경에 맞춘 유연한 대응 전략이 권장됩니다.

RAGcdnai-crawlersdata-fetching+4

cloudflare·2026년 4월 1일원문

1.1.1.1 공개 DNS 리졸버를 위한 지속적인 개인정보 보호 약속 (새 탭에서 열림)

Cloudflare는 1.1.1.1 공용 DNS 리졸버 출시 8주년을 맞아 독립적인 외부 기관을 통해 실시한 개인정보 보호 실사 결과를 발표했습니다. 이번 검토를 통해 사용자 데이터를 제3자에게 판매하지 않고 소스 IP 주소를 25시간 내에 삭제한다는 핵심 원칙이 여전히 철저히 준수되고 있음을 재확인했습니다. 기술적 환경 변화 속에서도 투명성을 유지함으로써 사용자 신뢰를 강화하고 업계의 개인정보 보호 표준을 선도하겠다는 의지를 보여줍니다. **독립적 검토를 통한 신뢰성 확보** - 2020년 첫 실사 이후 기술 스택의 규모와 복잡성이 증가함에 따라, Big 4 회계법인을 통해 시스템 전반에 대한 두 번째 독립 검토를 완료했습니다. - 단순한 선언을 넘어 외부 전문가의 객관적인 검증을 통해 1.1.1.1의 개인정보 보호 제어 장치가 실제 운영 환경에서 약속대로 작동하고 있음을 입증했습니다. - DNS 쿼리 데이터를 다른 Cloudflare 데이터나 제3자 데이터와 결합하여 개별 사용자를 식별하지 않는다는 약속을 기술적으로 뒷받침하고 있습니다. **핵심 개인정보 보호 원칙의 재확인** - **데이터 판매 및 공유 금지**: 사용자의 개인정보를 제3자에게 판매하거나 공유하지 않으며, 광고 타겟팅 목적으로 데이터를 활용하지 않습니다. - **최소 정보 원칙**: 요청 내용(What)만 처리하며, 요청자가 누구인지(Who) 식별할 수 있는 정보는 보관하거나 사용하지 않습니다. - **신속한 데이터 삭제**: 사용자의 소스 IP 주소는 익명화 처리를 거친 후 25시간 이내에 시스템에서 영구적으로 삭제됩니다. **운영의 투명성과 기술적 예외 사항** - **네트워크 문제 해결**: 전체 트래픽의 최대 0.05%에 해당하는 무작위 샘플링 패킷은 네트워크 트러블슈팅 및 공격 방어 목적으로만 제한적으로 사용됩니다. - **익명화 데이터 활용**: Cloudflare Radar와 같은 연구 및 분석 서비스를 위해 익명화된 로그 데이터를 활용하지만, 이는 개인 식별이 불가능한 구조 내에서 이루어집니다. - **범위의 집중**: 이번 조사는 개인정보 보호 약속에 초점을 맞추어 진행되었으며, 기술적 변화 속에서도 개인의 프라이버시에 영향이 없음을 확인했습니다. 인터넷 사용자의 활동이 추적되지 않아야 한다는 철학 아래, Cloudflare는 기술적·제도적 장치를 통해 1.1.1.1 리졸버의 안전성을 지속적으로 증명하고 있습니다. 개인정보 보호와 속도를 동시에 확보하고자 하는 사용자라면, 독립적인 검증을 마친 1.1.1.1 DNS를 기본 리졸버로 설정하여 사용하는 것을 추천합니다.

cloudflarenetwork-securitydnsdata-protection+1

cloudflare·2026년 4월 1일원문

EmDash를 소개합니다 — 플러그인 보안 문제를 해결한 워드프레스의 정신적 후속작 (새 탭에서 열림)

EmDash는 24년 된 워드프레스(WordPress)의 구조적 한계를 극복하고 현대적인 웹 환경에 최적화하기 위해 등장한 오픈소스 CMS입니다. 기존 워드프레스의 가장 큰 취약점인 플러그인 보안 문제를 '다이나믹 워커(Dynamic Worker)'를 통한 샌드박스 격리 방식으로 해결했으며, TypeScript와 Astro 프레임워크를 기반으로 설계되었습니다. 이를 통해 서버리스 환경에서 안전하고 빠른 성능을 보장하며, MIT 라이선스를 채택해 개발자들에게 더 높은 자유도를 제공하는 것을 목표로 합니다. ### 워드프레스의 유산과 현대적 재구성 * **전통의 계승과 한계:** 워드프레스는 인터넷의 40% 이상을 점유하며 출판의 민주화를 이루었으나, AWS EC2조차 없던 시절에 설계되어 현대의 서버리스 및 글로벌 분산 네트워크 환경을 충분히 활용하지 못하고 있습니다. * **현대적 기술 스택:** EmDash는 전체 코드가 TypeScript로 작성되었으며, 콘텐츠 기반 웹사이트에 최적화된 프레임워크인 Astro를 기반으로 구동됩니다. * **서버리스 최적화:** 가상 프라이빗 서버(VPS)에 의존하던 방식에서 벗어나, Cloudflare와 같은 서버리스 플랫폼이나 Node.js 환경 어디서든 유연하게 배포할 수 있습니다. * **완전한 오픈소스:** 워드프레스의 코드를 전혀 사용하지 않고 밑바닥부터 새로 작성하여, GPL보다 허용 범위가 넓은 MIT 라이선스를 적용해 생태계 참여를 독려합니다. ### 플러그인 보안 위기의 근본적 해결 * **직접 접근의 위험성 제거:** 워드프레스 취약점의 96%는 플러그인에서 발생하며, 이는 PHP 스크립트가 데이터베이스와 파일 시스템에 직접 접근할 수 있는 구조 때문입니다. * **다이나믹 워커(Dynamic Worker) 격리:** EmDash는 각 플러그인을 독립된 샌드박스(Isolate)에서 실행합니다. 플러그인은 핵심 시스템에 직접 접근할 수 없으며 선언된 범위 내에서만 작동합니다. * **역량 기반 권한 모델 (Capability-based Model):** 플러그인은 매니페스트 파일에 필요한 권한(예: `read:content`, `email:send`)을 명시적으로 선언해야 합니다. 관리자는 설치 전 플러그인이 어떤 권한을 요구하는지 OAuth 승인 과정처럼 명확히 확인할 수 있습니다. * **네트워크 제어:** 플러그인은 외부 네트워크 접근이 기본적으로 차단되며, 필요한 경우 특정 호스트네임에 대해서만 접근 권한을 정적으로 부여받아 실행됩니다. ### 시장 종속성 탈피와 개발자 생태계 혁신 * **신뢰 구조의 변화:** 기존 워드프레스는 보안 위험 때문에 마켓플레이스의 수동 검토와 평판에 의존해야 했으나, EmDash는 기술적 격리를 통해 코드 수준에서 신뢰를 보장합니다. * **비즈니스 유연성:** 보안 이슈로 인해 강제되었던 마켓플레이스 종속성과 라이선스 제약에서 벗어나, 개발자들이 자신의 코드를 더 자유롭게 배포하고 상용화할 수 있는 환경을 제공합니다. * **정적 선언을 통한 자동화:** 플러그인의 권한 요구 사항이 정적으로 정의되어 있어, 관리자는 특정 권한을 요구하는 플러그인의 설치를 그룹별로 제한하는 등 정책 기반의 관리가 가능해집니다. 현재 EmDash는 v0.1.0 프리뷰 버전을 공개하고 초기 개발자 베타를 진행 중입니다. 클라우드플레어 계정이나 Node.js 서버에 직접 배포하여 테스트할 수 있으며, 기존 워드프레스의 운영 편의성은 유지하면서도 최신 보안 표준과 성능이 필요한 프로젝트에 강력한 대안이 될 것으로 보입니다.

데이터베이스 설계오픈 소스TypeScriptnode.js+4

cloudflare·2026년 3월 31일원문

Programmable Flow Protection 소개: Magic Transit 고객을 위한 맞춤형 DDoS 완화 로직 (새 탭에서 열림)

클라우드플레어는 매직 트랜짓(Magic Transit) 고객이 자신의 네트워크 환경에 맞춘 DDoS 방어 로직을 직접 설계하고 배포할 수 있는 '프로그래밍 가능한 플로우 보호(Programmable Flow Protection)' 기능을 출시했습니다. 이 기능은 표준화되지 않은 독자적인 UDP 프로토콜을 사용하는 기업들이 eBPF 프로그램을 통해 트래픽의 정당성을 직접 판단하게 함으로써, 기존의 일률적인 차단 방식이 가졌던 오탐 문제를 해결합니다. 고객은 클라우드플레어의 글로벌 네트워크 인프라 위에서 직접 작성한 코드를 실행해 대규모 공격을 정교하고 유연하게 방어할 수 있습니다. ### 커스텀 UDP 프로토콜 방어의 한계 극복 * 기존 DDoS 방어 시스템은 TCP, DNS, NTP 등 잘 알려진 프로토콜의 특성을 활용해 공격을 식별하지만, 기업 고유의 커스텀 UDP 프로토콜은 내부 구조를 알 수 없어 정교한 대응이 어려웠습니다. * 알려지지 않은 UDP 트래픽에 공격이 발생할 경우, 기존에는 특정 IP나 포트 전체를 차단하거나 속도 제한(Rate Limit)을 거는 투박한 방식을 사용해야 했습니다. * 이러한 방식은 공격 트래픽뿐만 아니라 정상적인 사용자의 패킷까지 차단하여 서비스 지연이나 연결 끊김을 유발하는 부작용이 있었습니다. ### eBPF 기반의 맞춤형 방어 메커니즘 * 고객은 eBPF(Extended Berkeley Packet Filter) 프로그램을 작성하여 어떤 패킷이 '정상'이고 '비정상'인지 직접 정의할 수 있습니다. * 작성된 프로그램은 클라우드플레어의 전 세계 엣지 네트워크에 배포되어 모든 유입 패킷에 대해 즉각적인 판단(통과, 차단, 챌린지 등)을 수행합니다. * 커널 공간이 아닌 사용자 공간(Userspace)에서 프로그램을 실행함으로써 보안성을 확보하면서도, 클라우드플레어의 기존 DDoS 방어 계층 이후에 실행되어 다층적인 보호를 제공합니다. ### 상태 저장 및 고급 기능 지원 * 단순한 패킷 필터링을 넘어, 클라이언트의 상태를 저장하고 관리할 수 있는 '상태 저장(Stateful)' 기능을 지원합니다. * 클라우드플레어는 프로그램 실행 간 상태 유지, 암호화 검증, 챌린지 패킷 발송 등을 돕는 전용 API 및 헬퍼 함수(Helper Functions)를 제공합니다. * 이를 통해 게임 엔진의 고유 헤더 검증이나 토큰 기반의 인증 등 복잡한 애플리케이션 계층의 방어 로직을 네트워크 하단에서 구현할 수 있습니다. ### 실무 적용 예시: 독자적인 게임 프로토콜 보호 * 독자적인 헤더 구조를 가진 UDP 포트 기반 온라인 게임 서버의 경우, 공격자가 무작위 페이로드를 보내면 일반적인 장비로는 구분할 수 없습니다. * '프로그래밍 가능한 플로우 보호'를 활용하면 패킷 헤더 내의 특정 바이트나 고유 토큰을 검사하는 코드를 배포하여, 유효하지 않은 모든 트래픽을 클라우드플레어 엣지에서 즉시 제거합니다. * 결과적으로 원본 서버(Origin)에 도달하기 전에 공격이 차단되어 서버 자원을 보호하고 실제 이용자에게는 쾌적한 환경을 제공하게 됩니다. 현재 이 기능은 매직 트랜짓 엔터프라이즈 고객을 대상으로 베타 서비스 중입니다. 표준 프로토콜을 벗어난 고유의 통신 방식을 보유하고 있으며, 기존의 단순 차단 방식만으로는 서비스 품질 유지가 어려운 기업에게 이 기능을 통한 정밀한 트래픽 제어를 권장합니다.

cloudflarenetwork-securityebpftcp+4

cloudflare·2026년 3월 30일원문

Cloudflare 클라이언트 측 보안: 더 스마트해진 탐지, 이제 누구나 이용 가능 (새 탭에서 열림)

Cloudflare는 클라이언트 사이드 보안(Client-Side Security) 기술을 모든 사용자에게 개방하고, 고도화된 스키밍 공격을 탐지하기 위해 대규모 언어 모델(LLM)을 결합한 새로운 AI 탐지 시스템을 도입했습니다. 이번 업데이트를 통해 셀프 서비스 고객도 'Advanced' 기능을 사용할 수 있게 되었으며, 특히 오탐지(False Positive)를 획기적으로 줄이면서도 복잡한 자바스크립트 공격에 대응할 수 있는 다중 방어 체계를 구축한 것이 핵심입니다. **클라이언트 사이드 보안의 작동 원리** * **브라우저 보고 기반 탐지:** 별도의 스캐너나 애플리케이션 수정 없이, 브라우저의 콘텐츠 보안 정책(CSP) 보고 기능을 활용해 신호를 수집하므로 지연 시간이 발생하지 않습니다. * **폭넓은 접근성:** 모든 무료 플랜 사용자에게 도메인 기반 위협 인텔리전스를 제공하며, 유료 셀프 서비스 고객은 코드 변경 모니터링 및 능동적 차단 규칙이 포함된 Advanced 기능을 즉시 사용할 수 있습니다. * **컴플라이언스 지원:** 지속적인 코드 변경 탐지 기능을 통해 PCI DSS v4(요구사항 11.6.1)와 같은 최신 보안 규정을 준수할 수 있도록 돕습니다. **추상 구문 트리(AST)와 의도 분석** * **데이터 규모와 변동성 관리:** 기업당 평균 2,200개의 고유 스크립트가 존재하며 그중 33%가 매달 업데이트되는 환경에서, 단순한 수동 승인이 아닌 스크립트의 '의도'를 파악하는 방식에 집중합니다. * **구조적 패턴 분석:** 자바스크립트 코드를 AST로 분해하여 논리적 구조를 분석함으로써, 변수명 변경이나 코드 난독화 여부와 관계없이 공격자의 패턴을 식별합니다. **GNN과 LLM을 결합한 하이브리드 탐지 아키텍처** * **GNN 기반 1차 선별:** 그래프 신경망(GNN)이 AST의 구조적 특성을 학습하여 제로데이 위협을 높은 재현율(Recall)로 빠르게 걸러냅니다. * **LLM 기반 2차 검증:** 0.3% 미만의 낮은 오탐율조차 일일 35억 건의 데이터 규모에서는 막대한 노이즈가 되므로, Cloudflare Workers AI에서 실행되는 LLM이 2차 판단을 내립니다. * **계층적 분류 알고리즘:** 모든 스크립트를 LLM으로 분석하는 대신, GNN이 의심스럽다고 판단한 항목만 LLM에 전달하는 '계단식 구조'를 통해 성능 최적화와 정확도 향상을 동시에 달성했습니다. **오탐지 해결을 위한 시맨틱 이해** * **복잡한 코드 구분:** 봇 차단 솔루션이나 광고 트래킹 스크립트처럼 난독화되어 있지만 정상적인 코드를 LLM의 심층적인 문맥 이해력을 통해 공격 코드로 오인하지 않도록 분류합니다. * **보안 팀의 피로도 감소:** 정확도가 낮은 경보를 획기적으로 줄임으로써, 보안 담당자가 실제 위협적인 침해 사고에만 집중할 수 있는 환경을 제공합니다. 웹사이트를 운영하는 조직은 Cloudflare의 새로운 Advanced 기능을 활용해 PCI DSS v4 준수 요건을 충족하는 동시에, 복잡해지는 공급망 공격(Supply Chain Attack)으로부터 사용자 데이터를 보호할 수 있습니다. 특히 난독화된 서드파티 스크립트가 많은 환경이라면, LLM 기반의 고도화된 탐지 엔진을 적용해 보안과 운영 효율성을 모두 확보할 것을 권장합니다.

대규모 언어 모델머신러닝JavaScriptabstract-syntax-tree+4