클라우드플레어OS 오픈소스 공개…AI가 접속키 못 만진다

클라우드플레어(Cloudflare)가 자사 직원용으로 써오던 AI 업무 플랫폼 ‘클라우드플레어OS(Cloudflare OS)’를 오픈소스로 공개했다. 8월 5일(현지시각) 공개된 공식 블로그 글에서 회사는 이 플랫폼을 아파치 2.0 라이선스로 깃허브에 올렸다고 밝혔다. 클라우드플레어OS는 개발자가 아닌 직원도 자연어로 업무를 설명하면 AI 에이전트가 이를 코드로 만들어 문서, 슬라이드, 작은 앱으로 완성해주는 도구다. 지난 5월 전 직원에게 첫 버전을 제공해 내부에서 시험한 뒤 이번에 새 버전으로 다시 만들어 공개했다. 회사는 에이전트가 심각한 보안 결함을 일으킬 수 없도록 설계된 보안 프레임워크를 이번 공개의 핵심으로 내세운다.

5월부터 내부 시험 거쳐 오픈소스로

클라우드플레어는 지난 5월 전체 직원에게 클라우드플레어OS 첫 버전 접근권을 부여했다. 엔지니어링뿐 아니라 영업 등 여러 부서의 수천 명이 매일 이 도구로 문서와 슬라이드를 만들고, 반복 작업을 자동화하고, 데이터를 시각화하는 소규모 앱을 만들어왔다고 회사는 설명한다.

회사에 따르면 첫 버전은 개인 워크스페이스 중심으로 설계돼 앱이 정적이었고 내부 시스템과 실시간으로 연결되지 않았다. 여러 사람이 워크스페이스와 앱, 결과물을 공유하기 시작하자 권한이 없는 정보가 노출될 위험이 드러났다. 클라우드플레어 CIO 샘 리아(Sam Rhea)는 이 과정을 별도 블로그 글에서 다뤘다고 회사는 밝혔다. 이 문제를 풀기 위해 회사는 플랫폼을 새 기반 위에 다시 만들었고, 보안을 개별 앱 개발자가 알아서 구현해야 하는 부가 기능이 아니라 플랫폼 자체에 내재된 요소로 설계했다고 설명했다.

에이전트는 접속키를 만지지 못한다

클라우드플레어OS의 핵심은 에이전트가 실제 접속키나 인증 토큰을 절대 손에 넣지 못하게 막는 구조다. ‘게이트키퍼(Gatekeeper) 워커’라는 별도의 경량 컴퓨팅 단위가 외부 서비스의 자격 증명을 보관하고, 에이전트는 특정 자원에 특정 조건으로만 접근할 수 있는 ‘타입이 지정된 바인딩’만 넘겨받는다. 예를 들어 깃허브에 연결된 게이트키퍼는 에이전트가 이슈는 읽되 소스코드는 보지 못하게 막고, 특정 항목을 가리거나 시간당 요청 횟수를 제한하며, 풀 리퀘스트 병합 전에는 사람의 승인을 요구할 수 있다.

이 샌드박스는 클라우드플레어의 기존 기능인 ‘다이내믹 워커스(Dynamic Workers)’를 기반으로 한다. 표준 컨테이너 대신 V8 자바스크립트 실행 엔진의 개별 인스턴스인 ‘아이솔레이트’를 사용해, 문서 편집 앱이라면 문서마다 별도 샌드박스에서 별도 인스턴스가 돌아간다. 회사는 아이솔레이트가 구동에 수 밀리초, 메모리 수 메가바이트만 필요해 표준 컨테이너보다 100배 빠르고 10~100배 더 메모리 효율적이라고 설명한다.

클라우드플레어 수석 엔지니어 켄튼 바르다(Kenton Varda)는 소셜미디어 X에 올린 글에서 “이 샌드박스는 매우 안전해 사실상 마음껏 사용해도 괜찮은 수준이다. AI가 심각한 보안 버그를 일으킬 수 없다”고 밝혔다. 그는 “회사 보안팀이 비개발자 직원에게 라이브코딩(자연어로 앱을 만드는 방식) 권한을 주고도 편히 잠들 수 있을 것”이라고 덧붙였다. 이 보안모델은 오래전 등장해 이후 체계화된 ‘객체 능력(object-capability)’ 보안 개념을 AI 에이전트의 데이터 통제 문제에 적용한 것이라는 설명도 나온다.

에이전트가 읽은 모든 자원은 기록으로 남는다. 이 기록은 에이전트가 만든 결과물에 그대로 따라붙어, 다른 동료가 그 워크스페이스나 결과물을 열어볼 때 원본 데이터를 볼 권한이 있는지 다시 확인한다. 민감한 데이터베이스 테이블로 만든 대시보드를 동료가 열어도, 그 테이블을 직접 볼 권한이 없으면 아무 내용도 보이지 않는 방식이다.

섀도우AI 급증이 만든 배경

이런 통제 장치가 나온 배경에는 기업 내 ‘섀도우AI(승인되지 않은 AI 도구 사용)’ 문제가 있다. 버라이즌(Verizon)의 ‘2026 데이터 침해 조사 보고서’에 따르면 회사 기기에서의 일상적 AI 사용 비율은 1년 만에 15%에서 45%로 뛰었다. 직원의 67%는 보안팀이 파악할 수 없는 비회사 계정으로 AI를 사용한다는 조사도 있다.

IBM의 ‘데이터 침해 비용 보고서’는 섀도우AI로 인한 침해 사고 1건당 평균 67만 달러의 추가 비용이 발생한다고 집계했다. 보안 기업 사비인트(Saviynt)가 대기업 최고정보보호책임자(CISO) 235명을 조사한 ‘2026 CISO AI 리스크 리포트’에서는 응답자의 75%가 이미 자사 운영 환경에서 승인되지 않은 AI 도구를 발견했다고 답했다. 클라우드플레어는 사내 지식과 시스템에 연결된 승인된 도구가 외부 소비자용 AI보다 더 유용해야 직원들이 위험한 우회 경로를 택하지 않는다고 보고 있다.

파트너 생태계와 남은 과제

클라우드플레어 공동창업자이자 최고경영자 매튜 프린스(Matthew Prince)는 회사 발표문에서 “직원들은 실제로 쓰는 시스템에 연결된 AI 도구를 갖게 되고, 보안은 IT 부서가 나중에 덧붙이는 문제가 아니다”라고 말했다. 회사는 프레시디오(Presidio)와 해피 코그(Happy Cog)를 초기 구축 파트너로 지정했다고 밝혔다.

클라우드플레어OS는 클라우드플레어 워커스(Workers) 위에서 동작하며, 오픈소스 워커스 런타임을 통해 자체 인프라에서도 구동할 수 있다. 특정 모델 업체에 종속되지 않고 여러 AI 제공업체와 자체 호스팅 모델을 모두 지원한다. 모델 선택은 ‘클라우드플레어 AI 게이트웨이’를 통해 관리자가 사용 가능한 모델을 지정하고 비용과 요청 한도를 설정하는 방식이다.

다만 이번 공개는 아직 완성형이 아니다. 회사는 이번 버전을 완전히 새로 작성한 결과물이라고 설명하면서도 “매우 유능하지만 여전히 다듬어지지 않은 부분이 많다”며 얼리 액세스(초기 접근) 단계임을 명시했다. 대시보드에서 바로 켤 수 있는 관리형 버전은 아직 출시 일정이 공개되지 않았다.