Cloudflare OS: 에이전트·앱·업무를 위한 오픈소스 플랫폼

Who Should Read

사내 에이전트에 API 키를 넘기자니 권한·데이터 유출이 걱정인 플랫폼·백엔드 개발자

Core Mechanics

• 비개발자까지 쓰는 에이전트 워크스페이스
  • 브라우저에서 대화로 시작하고, 회사가 정리한 컨텍스트와 스킬이 미리 들어 있다.
  • 5월부터 Cloudflare 직원 수천 명이 문서·슬라이드 작성, 반복 작업 자동화, 작은 앱 제작에 매일 쓴다고 한다.
• 에이전트는 접근 권한 0에서 시작한다
  • 에이전트가 특정 리소스를 요청하면 사람이 허용하거나 거절한다.
  • 생성된 코드는 env.PROJECT 같은 타입이 있는 바인딩(capability)으로 리소스를 받고, 자격증명은 에이전트와 완전히 분리된다.
• Gatekeeper가 서비스별 정책을 건다
  • 서비스별 Worker가 외부 서비스 앞에 서서 OAuth와 자격증명을 쥐고 정책을 집행한다.
  • 예를 들어 저장소 하나만 열고, 이슈는 읽되 소스는 막고, 필드 마스킹·레이트 리밋·머지 전 승인을 걸 수 있다.
• 에이전트가 본 것을 기록해 정책에 쓴다
  • 에이전트가 읽은 모든 리소스를 기록해 워크스페이스와 결과물에 붙여 둔다.
  • 다른 사람이 열면 Gatekeeper가 그 사람의 원본 접근 권한을 확인한다.
  • 민감 데이터를 읽은 뒤에는 외부 쓰기, 협업자 초대, 다른 에이전트로 넘기기, 외부 요청을 막을 수 있다.
• MCP만으로는 부족하다
  • MCP는 호출 가능한 도구만 정해 주고, 에이전트가 어떤 원본 리소스를 봤는지는 알려 주지 못한다.

Community Reactions

• Kenton Varda의 설명을 인용한 의견
  • Sandstorm을 Workers 위에서 다시 만든 것으로, Gadget은 Sandstorm의 Grain처럼 인스턴스별로 샌드박스를 나눈다는 설명이 인용됐다.
  • 접근 제어를 플랫폼이 맡고, 각자 자기 코드 사본을 에이전트로 고칠 수 있다는 점이 핵심이라고 한다.
• 데이터 모델과 업데이트가 걱정이라는 의견
  • 각자 코드를 고치면 공유 데이터 모델 충돌과 업데이트 덮어쓰기는 어떻게 하느냐는 질문이 나왔다.
  • HIPAA 같은 민감 데이터를 사용자가 넣을 위험과 유지보수 부담도 지적됐다.
• 락인과 비용 상한 부재를 우려하는 의견
  • Cloudflare Workers에 묶이는 벤더 락인이 걱정된다는 댓글이 여럿이었다.
  • 1인 개발자는 결제 상한이나 선불 결제가 없어 신뢰하기 어렵다는 의견도 있었다.
• 직접 써 보거나 레포를 본 경험
  • 무료 플랜 계정으로는 Dynamic Workers 때문에 Workers Paid 플랜이 필요하다는 안내가 뜬다는 경험이 공유됐다.
  • 레포에 Vercel AI SDK에서 pi-agent-core로 옮기는 계획 문서가 올라와 있고 초기 알파라고 적혀 있다는 제보가 있었다.
• 외부로 나가는 경로가 없어야 안전하다는 반론
  • 문서에 심어진 지시를 에이전트가 따를 수 있으므로 외부 출력을 완전히 막아야 진짜 안전하다는 의견이 나왔다.

How to Apply

• 에이전트 도구마다 자격증명 노출 점검표 만들기
  • 지금 쓰는 에이전트와 MCP 서버가 API 키를 직접 쥐는지 30분 동안 목록으로 정리한다.
  • 키를 쥔 곳은 읽기 전용, 단일 리소스 범위로 줄일 수 있는지 표시한다.
• 리소스별 최소 권한 래퍼 설계하기
  • 서비스 하나(예: GitHub)를 골라 저장소 단위, 읽기 전용, 필드 마스킹, 승인 필요 동작으로 나눈 정책표를 쓴다.
  • 에이전트가 호출하는 것은 이 래퍼의 작은 API뿐이게 한다.
• 읽은 데이터 기록을 외부 쓰기 정책에 연결하기
  • 에이전트가 민감 데이터를 읽은 세션에는 플래그를 남긴다.
  • 플래그가 있으면 외부 요청과 공유 동작을 막거나 승인을 요구하게 한다.
• 반복 작업을 결정적 워크플로로 분리하기
  • 에이전트가 매번 하는 작업에서 규칙이 고정된 단계를 코드로 빼낸다.
  • 모델 호출은 판단이 필요한 한두 단계에만 남겨 토큰을 줄인다.

Try It

# Claude 또는 ChatGPT에 그대로 붙여넣기 (Cloudflare OS 권한 모델의 간이 버전: 사내 에이전트 권한 설계 리뷰)

너는 에이전트 보안 설계 리뷰어다. 아래 에이전트 구성을 다음 원칙으로 점검해라.
1. 에이전트는 접근 권한 0에서 시작하고, 리소스는 요청 후 사람이 허용한다.
2. 자격증명은 에이전트와 생성 코드에서 분리하고, 서비스별 게이트웨이가 쥔다.
3. 에이전트가 읽은 리소스를 기록하고, 결과물을 여는 사람의 원본 접근 권한을 확인한다.
4. 민감 데이터를 읽은 뒤에는 외부 쓰기, 협업자 초대, 다른 에이전트로 넘기기, 외부 요청을 막는다.

[내 구성]
에이전트 목적: {{목적}}
연결된 도구/MCP 서버: {{도구 목록}}
각 도구가 쓰는 자격증명: {{키/토큰 종류}}
결과물 공유 방식: {{공유 방식}}

출력: (a) 원칙별 위반 지점 표, (b) 서비스별 최소 권한 정책안(허용/마스킹/승인 필요), (c) 읽은 데이터가 새어 나갈 수 있는 경로 3가지.

이어서 해 볼 것: 위 정책안 중 하나를 골라 TypeScript 래퍼 인터페이스 초안을 만들어 달라고 요청해 보세요.

Terminology

관련 논문

• 같은 시뮬레이션, 다른 근거: 도구 출력을 파일로 넘기면 LLM 에이전트 정확도가 어디서 깎이나

  긴 툴 출력을 파일로 넘기자 GPT-5.1은 정확도 11.3%p 하락, 정식 출력 지정하니 회복

• 가짜 뉴스가 진짜 폭락을: LLM 트레이딩 에이전트 대상 정보 주입 공격

  가짜 헤드라인 한 줄로 LLM 트레이딩 에이전트 62%를 조종했다(프롬프트 주입은 14%)

• Harness Engineering 101: LLM은 뇌, harness는 몸

  에이전트는 JSON 배열을 관리하는 루프이고, 16개 챕터로 직접 만들어 본다

• Harness²: 에이전트 harness를 스스로 고쳐 쓰는 재귀 최적화 프레임워크

  모델은 고정하고 harness를 재귀로 고쳤더니 벤치마크 점수가 최대 11.8%p 올랐다

• 해고된 Savannah 경찰관, ICE 요원 남편에게 Flock 계정 공유

  경찰관이 Flock 계정을 남편(ICE 요원)에게 공유했고, 감사에서 983건 검색이 드러나 해고됐다

• tmux와 Claude Code: 세션, send-keys, 그리고 한계선

  tmux로 Claude Code 여러 개를 돌리면 편하지만 에이전트 4개쯤에서 한계가 온다

• Hybrid Reasoning Agents: 잠재 공간에서 생각하고 텍스트로 행동하는 LLM 에이전트

  잠재 공간 추론과 텍스트 도구 호출을 섞었더니 성능 10.4%↑, 토큰 최대 54.7%↓

Related Resources

• https://blog.cloudflare.com/cloudflare-os/
• https://x.com/KentonVarda/status/2084990137180590572
• https://github.com/cloudflare/cloudflare-os
• https://tarvisai.com