Cloudflare Blog

Cloudflare가 Content Independence Day 1주년을 맞아 웹사이트 소유자가 AI 트래픽을 목적별로 세분화해 제어할 수 있는 새 시스템을 공개했다. 기존 "AI 봇 차단" 토글을 넘어 Search·Agent·Training 세 카테고리로 봇을 분류하고, robots.txt에 콘텐츠 재사용 범위를 선언하는 새 use= 시그널을 도입했다. 멀티퍼포스 봇은 가장 제한적인 카테고리 규칙이 적용되며, 2026년 9월 15일부터 광고 페이지에 새 기본값이 적용된다.

Cloudflare가 HTTP 402 상태 코드를 재활용한 오픈 결제 프로토콜 x402와 스테이블코인 정산을 결합한 Monetization Gateway를 발표했다. 웹페이지·데이터셋·API·MCP 도구 어디든 Cloudflare 뒤에 놓으면 사용량 기반 마이크로페이먼트를 붙일 수 있다. AI 에이전트가 광고를 안 보고 구독도 유지하지 않는 시대에, 개발자와 퍼블리셔가 콘텐츠·도구를 직접 과금할 수 있는 인프라를 엣지에서 제공하는 것이 핵심이다.

Cloudflare Workflows 엔진에 사가(Saga) 패턴 롤백 기능을 추가한 과정을 다룬다. 다단계 워크플로우에서 중간 단계가 실패했을 때 이전 단계의 부작용을 되돌리는 보상 로직(compensating action)을 각 step에 선언적으로 정의할 수 있게 됐다. Workers RPC의 callable reference를 활용해 엔진 재시작 후에도 핸들러를 복구할 수 있는 내구적 설계를 택했다.

Cloudflare가 OAuth 인프라를 Hydra 1.X에서 2.X로 업그레이드하면서 자체 관리 OAuth를 전체 개발자에게 개방한 과정을 다룬다. 스키마 변경으로 인한 인덱스 락 문제, 블루-그린 배포 전략, 전환 중 revocation 큐 설계, 전환 후 리프레시 토큰 버그까지 실제 운영 사고와 해결을 상세히 기록했다.

2026년 6월 22일 트럼프 대통령이 서명한 행정명령 EO 14409는 미 연방 기관에 2030년까지 암호화(키 교환) 전환, 2031년까지 디지털 서명 전환을 요구한다. Cloudflare는 이미 자사 네트워크 브라우저 트래픽의 2/3 이상을 PQC(Post-Quantum Cryptography)로 보호 중이며, 이 글은 행정명령의 기술적 함의와 조직이 지금 당장 해야 할 일을 정리한다.

Cloudflare의 Images 서비스를 Unix 소켓 기반 아키텍처로 재구성한 후, 대용량 이미지 응답이 중간에 잘리는 버그가 발생했다. 14.8MB 응답에서 219KB만 전달되고 HTTP 200 OK는 정상 반환되어 애플리케이션 레벨에서 탐지가 불가능했다. 원인은 hyper 라이브러리의 dispatch 루프에서 flush 완료 여부를 확인하지 않고 연결을 종료하는 경쟁 조건이었으며, strace로 커널 호출 순서를 추적해 root cause를 특정했다. 최종 수정은 upstream PR #4018로 hyper 레포에 병합됐다.

AI 에이전트가 OAuth 인증 없이 Cloudflare Worker를 즉시 배포할 수 있는 임시 계정(Temporary Accounts) 기능을 Cloudflare가 출시했다. 기존 Wrangler CLI는 로그인이 필요해 에이전트 자동화 루프를 깼지만, `wrangler deploy --temporary` 한 줄로 에이전트가 자율 배포→검증 사이클을 완성할 수 있게 됐다.

Cloudflare가 내부 보안 취약점 탐색에 멀티 에이전트 LLM 파이프라인을 적용한 경험을 공개한다. "취약점 발견 하네스(VDH)"와 "취약점 검증 시스템(VVS)"의 2단계 구조로 운영되며, 모델을 교체 가능한 구성 요소로 취급하는 모델-독립 아키텍처가 핵심 설계 원칙이다. 실제 운영에서 원본 20,799개 후보를 삼계층 필터링으로 7,245개 실행 가능 발견사항까지 정제했다.

Cloudflare가 자체 Agents SDK를 개방형 런타임 플랫폼으로 전환해 외부 에이전트 프레임워크가 활용할 수 있도록 했다. Astro 팀이 만든 오픈소스 프레임워크 Flue가 첫 번째 채택자로 합류했다. 단순 SDK 제공을 넘어 다양한 프레임워크가 Cloudflare 인프라(영속 실행·SQLite 상태 저장·동적 코드 실행)를 공유하는 생태계 확장을 의미한다.

Cloudflare가 Security Insights 스캔 시스템의 처리량을 초당 10건에서 120건 이상으로 12배 끌어올린 과정을 다룬다. 추가 하드웨어 없이 Kafka 소비자, PostgreSQL 쿼리, API 아키텍처 최적화만으로 달성했으며, 스캔 주기를 주 1~2회에서 플랜별 1~7일로 대폭 단축했다.

Cloudflare가 공개 호스트명을 통해 프라이빗 네트워크의 내부 애플리케이션으로 트래픽을 라우팅하는 "Application Services for Private Origins"를 엔터프라이즈 대상 폐쇄 베타로 공개했다. 기존에는 내부 앱에 Cloudflare 보안·성능 레이어를 적용하려면 공개 IP를 노출하거나 커넥터 소프트웨어를 설치해야 했지만, 이 기능은 DNS 레코드에 use_private_routing: true 플래그를 추가하는 것만으로 가능하게 한다. IPsec·GRE·CNI·Cloudflare Mesh 등 기존 연결 방식을 그대로 활용하며, WAF·봇 관리·캐싱 등 기존 Application Services를 프라이빗 오리진에도 적용할 수 있다.

프론티어 AI 모델이 취약점 탐색과 공격 페이로드 생성을 자동화해, 패치 속도보다 아키텍처 방어가 더 중요해졌다.

보안 팀이 알려진 위협 행위자·타깃 산업을 실시간으로 차단하려면 WAF 규칙이 최신 위협 인텔리전스를 즉시 반영해야 한다.

BGP AS_PATH 속성 검증 미흡으로 ASN 위조 경로가 전파되어, RPKI 보호를 우회하는 라우팅 하이재킹이 가능하다.

펌웨어 업데이트 이후 Gen12 서버 약 2,000대의 부팅 시간이 4시간으로 늘어 유지보수와 신규 서버 투입을 심각하게 지연시켰다.

초당 10억 건 이상의 이벤트가 ClickHouse, Kafka, BigQuery 등 수십 개 분산 시스템에 흩어져 통합 분석이 불가능했다.

이란 정부가 1월과 2월부터 인터넷을 차단해 트래픽이 이전 수준의 1% 미만으로 떨어졌으며, 2월 차단은 87일간 지속됐다.

기업에서 직원의 Claude 사용 현황을 모니터링하기 어렵고, AI 대화·파일·산출물에 포함된 민감 데이터 유출을 통제할 수단이 부족하다.

AI 에이전트를 운영하려면 모델 추론과 코드 실행을 모두 안전하게 격리해야 하고, 동시 다수 세션 / egress 통제 / 자격증명 주입까지 한 번에 풀어야 한다.

보안용 LLM을 대규모 코드베이스 취약점 탐색에 쓰면 탐색 범위와 오탐, 불안정한 거부가 병목이 된다.