Cloudflare Blog 뉴스

Cloudflare는 LLM이 공격 페이로드를 실시간으로 변형하며 공격하는 '적응형 공격' 시나리오를 구축해 자사 WAF의 방어 성능을 검증했습니다. 테스트 결과 대부분의 공격은 차단되었으나, 우회된 사례를 통해 새로운 탐지 규칙을 개발함으로써 보안을 한층 더 강화하는 성과를 거두었습니다.

Cloudflare는 RSS 피드 등 비정형 보안 리포트를 분석하여 위협 지표(IOC)를 추출하고 요약하는 에이전트 기반 기술인 'Threat Signals'를 출시했습니다. 이를 통해 사용자는 별도의 수작업 없이 보안 위협을 파악하고 WAF 정책에 즉시 적용할 수 있는 자동화된 방어 체계를 구축할 수 있습니다.

Cloudflare가 웹 애플리케이션의 HTTP 요청 구조를 학습해 비정상적인 요청을 식별하는 'Application Profiles'를 출시했습니다. 이는 기존의 공격 패턴 기반 탐지를 넘어, 허용된 형식의 요청만 수용하는 '긍정적 보안(Positive Security)'을 통해 공격 표면을 획기적으로 줄이는 것을 목표로 합니다.

Cloudflare는 단순한 인증서 소비자를 넘어 직접 공인 인증 기관(CA)이 되겠다는 계획을 발표했습니다. GlobalSign의 기존 루트를 인수하여 광범위한 기기 호환성을 확보하는 동시에, 양자 내성 인증서(Post-Quantum) 시장을 선점하여 인터넷 보안의 중복성과 시스템적 안정성을 높이는 것을 목표로 합니다.

Vinext 1.0은 Next.js의 App 및 Pages Router 기능을 99% 이상 구현하며, 특정 런타임에 종속되지 않고 다양한 웹 플랫폼에 애플리케이션을 이식할 수 있게 합니다. 특히 Cloudflare Workers와 같은 엣지 컴퓨팅 환경에서의 최적화된 캐싱과 관측성을 지원하여 배포 유연성을 극대화했습니다.

클라우드플레어가 1만 개 이상의 대형 웹사이트 데이터를 기반으로 한 BEACON 데이터셋을 공개하여, 전 세계 사용자의 실제 웹 성능(Core Web Vitals)을 투명하게 공개했습니다. 이 데이터는 브라우저 엔진, 기기, 국가 및 산업군에 따른 성능 격차를 상세히 보여주며, 특히 LCP 최적화의 핵심이 리소스 다운로드보다 발견 및 렌더링 지연 해소에 있음을 입증합니다.

클라우드플레어가 샌프란시스코 'Cloudflare Connect'의 일환으로 초기 스타트업 경연 대회인 'The Cold Start'를 개최합니다. 선정된 5개 기업은 5분간의 라이브 피칭을 통해 자신의 비전을 증명하며, 우승 기업에게는 50만 달러 규모의 클라우드플레어 크레딧과 샌프란시스코 빌보드 광고 기회가 주어집니다.

Cloudflare는 Emscripten 컴파일러 타겟을 wasm-bindgen에 도입하여 Rust 기반 WebAssembly 애플리케이션의 라이브러리 호환성을 대폭 강화했습니다. 이를 통해 개발자는 Tokio 런타임을 활용하여 TCP 소켓 통신이 필요한 고성능 네이티브 애플리케이션을 Cloudflare의 글로벌 엣지 네트워크에서 구현할 수 있습니다.

클라우드플레어의 에이전트 전용 브라우저인 Kitesurf가 WebMCP 지원을 통해 AI 에이전트가 웹사이트의 기능을 직접 호출할 수 있는 환경을 구축했습니다. 또한 웹 표준 API 지원 확대와 엔진 내부 최적화를 통해 에이전트의 작업 루프 지연 시간을 최소화하는 데 집중했습니다.

클라우드플레어의 VoidZero 팀은 최근 4개월간 Oxc, Vitest, tsgolint 등 주요 오픈소스 도구의 성능을 비약적으로 향상시켰습니다. 특히 Rust 기반의 최적화를 통해 React 컴파일 속도를 10배 높이고 ESLint 대비 18배 빠른 린팅을 구현하며, AI 에이전트 시대에 대응하는 초고속 개발 생태계를 구축하고 있습니다.

Cloudflare는 대규모 API 운영 과정에서 발생하는 SDK 및 문서 생성의 복잡성을 해결하기 위해 오픈 소스 파이프라인인 'Forge'를 공개했습니다. Forge는 CI 환경에서 SDK, CLI, 문서 등을 자동 생성하며, 플러그인 방식을 통해 다양한 개발자 도구를 체인 형태로 생성할 수 있는 유연성을 제공합니다.

Cloudflare가 Astro를 기반으로 구축된 안정적인 오픈 소스 CMS인 EmDash 1.0을 출시했습니다. 이 플랫폼은 개발자, 에디터, 그리고 AI 에이전트를 위한 통합 워크플로우를 제공하며, 탈중앙화된 플러그인 레지스트리를 통해 보안과 소유권을 강화한 것이 특징입니다.

클라우드플레어는 AI 도구의 발전으로 웹 생태계가 확장되는 동시에, AI 에이전트 트래픽의 폭발적 증가로 인해 2026년 5월이면 자동화된 트래픽이 인간을 앞지를 것으로 전망합니다. 이는 데이터 제공자가 비용을 전담하는 '공유지의 비극'과 거대 기업 위주의 시장 재편이라는 리스크를 내포하고 있습니다.

클라우드플레어는 AI 코딩 에이전트가 웹사이트의 Turnstile 보안 설정을 프론트엔드와 백엔드 양측 모두에 자동으로 구현할 수 있도록 돕는 'Turnstile Spin'을 발표했습니다. 이 기능은 신규 설치, 기존 위젯 오류 수정, 타 CAPTCHA 서비스로의 마이그레이션을 에이전트가 직접 수행하여 보안 설정의 진입 장벽을 획기적으로 낮춥니다.

클라우드플레어 컨테이너의 스토리지 할당 과정에서 이전 사용자의 잔류 데이터가 노출될 수 있는 취약점이 발견되었으나, 클라우드플레어는 즉각적인 패치를 완료하고 데이터 유출 증거는 없음을 확인했습니다. 이번 이슈는 dm-thin 설정 중 블록 제로화 생략 옵션으로 인해 발생한 기술적 결함이 원인이었습니다.

HTTP Vary 헤더는 요청에 따른 다양한 응답을 가능하게 하지만, 헤더 값의 미세한 차이로 인해 캐시가 파편화되어 적중률을 떨어뜨리는 고질적인 문제를 안고 있습니다. Cloudflare는 이제 개발자가 특정 헤더를 정규화하거나 처리 방식을 직접 결정할 수 있는 기능을 제공하여, 동일한 응답을 별도의 캐시 엔트리로 저장하는 낭비를 방지할 수 있게 되었습니다.

Cloudflare는 각 Git 브랜치별로 독립된 코드, 설정, URL 및 상태를 가진 'Worker Previews'를 출시했습니다. 이를 통해 개발자와 AI 에이전트는 Durable Objects와 같은 상태 저장 리소스를 포함한 모든 변경 사항을 프로덕션 환경에 영향을 주지 않고 실시간으로 테스트하고 검증할 수 있습니다.

클라우드플레어는 검색 인덱싱과 AI 학습을 동시에 수행하는 '혼합형 크롤러'에 대응하기 위해 'AI 학습 차단(Disallow AI Training)' 기능을 도입했습니다. 이를 통해 웹사이트 운영자는 검색 엔진에서의 가시성을 포기하지 않고도 AI 모델의 무단 학습으로부터 자사 콘텐츠를 보호할 수 있는 정교한 제어권을 갖게 됩니다.

Cloudflare는 Workers, D1, R2 등 자사 플랫폼 리소스에 대해 정교한 접근 권한을 부여할 수 있는 4가지 새로운 역할을 출시했습니다. 이를 통해 개발자나 AI 에이전트에게 소스 코드 노출 없이 디버깅만 허용하거나, 수정은 가능하지만 삭제는 불가능하게 하는 등 리소스 수준의 세밀한 보안 관리가 가능해집니다.

Cloudflare는 기존의 수동적 보안 알림 방식에서 벗어나, 보안 위협이 감지되는 즉시 자동으로 조치를 취하는 '자동 복구 정책'을 Cloudflare CASB에 도입했습니다. 이를 통해 보안 팀은 파일 공유 권한 취소나 웹로직 전송과 같은 대응 로직을 미리 설정하여, 보안 사고 발생 전 위협을 실시간으로 차단할 수 있습니다.