Cloudflare, Threat Signals 출시: AI 에이전트 스킬로 오픈소스 위협 인텔리전스 정리, 모든 계정에 무료 제공

Cloudflare가 발표한 내용

Cloudflare 공식 블로그에 따르면, 회사는 2026년 9월 29일 Threat Signals를 출시했습니다. 이 기능은 모든 Cloudflare 계정에 정식 제공되며 API와 대시보드에서 사용할 수 있습니다. Cloudflare는 Threat Signals가 사용자가 직접 선택한 오픈소스 보고서를 실행 가능한 인텔리전스로 바꾼다고 설명합니다. 여기서 위협 인텔리전스는 공격이 어떻게 이뤄지고 무엇을 막아야 하는지에 대한 정보를 말합니다. 에이전트 스킬이 보고서를 요약하고, 핵심 맥락을 추출하며, 침해 지표를 추출·표준화하고, 태그를 적용합니다. 그 결과는 계정 전용 비공개 데이터셋에 저장됩니다.

Cloudflare는 '스킬'을 숙련된 분석가가 작업의 특정 부분을 처리하는 방식을 기록한 상세 지침 모음이라고 설명합니다. 스킬은 모든 보고서를 동일한 방식으로 처리합니다. 회사에 따르면 최종 결과물은 계정의 비공개 위협 인텔리전스 데이터셋에 저장되는 Threat Event이며, WAF(웹 애플리케이션 방화벽) 정책에 적용할 수 있습니다. Cloudflare는 또한 Cloudforce One의 Threat Events Platform을 모든 계정에 무료로 개방한다고 발표했습니다.

자세한 설명 보기

출처를 수집하고 독립적으로 검증한 뒤 Jev가 판단합니다.

왜 '비정형' 보안 보고서를 처리해야 하는가

Cloudflare는 보안 팀이 정형화된 위협 데이터는 이미 자동으로 가져올 수 있다고 지적합니다. 더 어려운 것은 연구자가 쓴 글처럼 정해진 형식이 없는 비정형 자료라는 것입니다. 회사 설명에 따르면 분석가는 다음 일을 해야 합니다. 보고서를 읽고 요약하고, 지표를 식별하고, 형식을 통일하고, 내부 분류 체계에 따라 태그를 답니다. 그런 다음 위협 인텔리전스 플랫폼에 가져오고, 원본 링크를 보존하고, 팀과 공유해야 합니다. Cloudflare는 이런 단계를 반복하다 보면 지표가 그 중요성을 설명하는 맥락과 분리되기 쉬워 맥락이 유실된다고 봅니다.

Cloudflare는 또한 고객들이 기존 플랫폼으로는 100개가 넘는 RSS 소스를 폴링하도록 확장할 수 없다고 호소했다고 밝혔습니다. RSS는 웹사이트의 새 글을 자동으로 받아 보는 구독 형식이고, 폴링은 새 글이 있는지 주기적으로 확인하는 작업입니다. 회사는 이것이 이 기능을 개발한 이유 중 하나라고 설명했습니다.

작동 방식: RSS에서 WAF 규칙까지

1. 소스 추가: Cloudflare에 따르면 RSS 2.0, Atom, RSS 1.0/RDF를 지원합니다. 소스에 이름을 붙이고 분류하고 확인 주기를 설정할 수 있습니다.
2. 수집 및 정리: Cloudflare 설명에 따르면 각 소스는 주기적으로 폴링되는 Workflow로 들어갑니다. 여기서 Browser Run의 Markdown 기능으로 글을 가져와 정리한 뒤 R2에 저장합니다.
3. AI 처리: 텍스트는 IOC 추출기와 Cloudforce One 기본 스킬에 전달되어 요약, 핵심 요점, 태그를 생성합니다.
4. 이벤트 생성: Cloudflare에 따르면 각 지표는 비공개 데이터셋의 위협 이벤트 하나에 대응하며, 원본 보고서와의 링크가 유지됩니다.
5. 방어 적용: 이 지표들은 위협 이벤트로부터 WAF 규칙을 만드는 데 사용할 수 있습니다.

무료 계정과 엔터프라이즈 플랜의 차이

Cloudflare가 공유한 설계상의 절충

Cloudflare는 Threat Signals의 첫 버전이 위협 분석가 한 명이 일주일 만에 완성한 내부 프로토타입이었다고 밝혔습니다. 진짜 어려운 점은 결과물을 신뢰할 수 있게 만드는 것이었다고 합니다. 회사는 AI 태그를 각 계정의 기존 태그 목록 안으로 제한했습니다. 분석가가 따로 대조해야 하는 새로운 용어가 생기지 않도록 하기 위해서입니다. 또 각 태그가 자동으로 적용됐는지, 분석가가 적용했는지도 기록했습니다. 회사에 따르면 이 덕분에 분석가들이 자동 태그를 더 신뢰하게 됐습니다. Cloudflare는 또한 초기 테스트에서 분석가들이 가장 많이 의존한 것은 이벤트와 원본 보고서 간의 링크였다고 전했습니다.

일반 독자와 소규모 팀에게 주는 의미

웹사이트를 운영하지만 전담 보안 인력이 없는 개인이나 소규모 팀도 있습니다. Cloudflare 설명대로라면 이 기능은 공개 보안 보고서를 출처와 설명이 붙은 지표로 정리하고 WAF 방어와 연결해 줍니다. 그래서 수작업으로 읽고 정리하는 부담을 줄여 줄 수 있습니다. 다만 무료 버전은 RSS 소스 1개와 30일 보관 기간으로 제한되며, 실제 효과는 선택한 소스의 품질에 달려 있습니다. 이 글은 어떠한 구매 권유도 아니며, 엔터프라이즈 플랜이 필요한지는 각자의 필요에 따라 판단해야 합니다. Cloudflare는 향후 RSS 외에 더 많은 데이터 수집 경로를 지원할 예정이라고 밝혔습니다.

이 주제의 최신 뉴스 보기

• 테크 뉴스