Kitesurf: V8 isolate에서 도는 에이전트 전용 브라우저

Who Should Read

AI 에이전트에 헤드리스 브라우저를 붙였다가 Chromium의 메모리·CPU 비용이 부담스러운 백엔드 개발자

Core Mechanics

• Chromium은 에이전트에게 과하다
  • 탭, 테마, 확장, 기기 간 동기화는 AI에게 필요 없다.
  • 에이전트는 토큰 수, 컨텍스트 윈도우, 확장성, 성능, 비용을 중시한다.
  • 인스턴스당 메모리·연산이 커서 에이전트마다 하나씩 주기엔 너무 비싸다고 한다.
• Workers 위에서 통째로 돈다
  • Kitesurf는 Cloudflare Workers 위에서만 돌아가고, Browser Run 안에서 베타 기간 무료다.
  • 스크린샷, HTML 추출 같은 흔한 에이전트 작업에서 Chromium보다 CPU·메모리 효율이 크게 좋다고 한다.
  • 구체적인 수치는 발췌된 원문에 없다.
• 시작은 obscura를 AI로 포팅해 본 것이다
  • Rust로 쓴 헤드리스 엔진 obscura를 AI 에이전트로 Workers에 옮겨 봤다.
  • 처음엔 잘 안 됐다.
  • 에이전트가 계속 반복하고 필요하면 질문하도록 탄탄한 계획과 성공 기준을 주자 동작했다.
• 테스트로 AI 품질을 붙잡았다
  • Web Platform Tests(WPT)를 에이전트의 목표 기준으로 썼다.
  • WPT는 표준 준수만 재서, 실제 사이트용으로 통합 테스트와 시각 회귀 테스트를 추가했다.
  • Puppeteer 다단계 테스트를 Chromium과 Kitesurf에 돌려 단계마다 렌더링 결과를 비교한다.

Community Reactions

• Blitz 제작자가 직접 남긴 댓글이라는 점
  • Kitesurf가 Blitz 위에 만들어졌고, Cloudflare가 패치를 오픈소스로 올릴 계획이라고 들었다는 의견이다.
  • 원문 본문 발췌에는 오픈소스 계획이 없다.
• V8 isolate는 반쪽만 막는다는 의견
  • 위험은 코드 탈출이 아니라 에이전트가 악성 페이지를 읽고 정상 도구로 엉뚱한 행동을 하는 것이라는 의견이다.
  • 프롬프트 인젝션은 V8을 뚫을 필요가 없다고 한다.
• 병목은 렌더링이 아니라 신원이라는 경험
  • 순수 HTTP로 열린 웹을 돌아다녀 봤더니 막는 건 CAPTCHA, SMS 인증, 카드 등록이었다는 경험이다.
  • isolate 브라우저는 이를 해결하지 못한다는 주장이다.
• Cloudflare 안티봇과의 관계를 묻는 의견
  • Kitesurf가 Cloudflare CDN 보호 사이트에서 우대받는지 묻는 댓글이 있었다.
  • 쉽게 핑거프린팅·차단될 것이고 로컬 실행용 오픈소스가 아쉽다는 의견도 있었다.

How to Apply

• 지금 쓰는 브라우저 작업 비용부터 재 보기
  • 오늘 에이전트가 하는 스크린샷·HTML 추출 작업을 골라 Chromium 인스턴스당 메모리와 CPU를 측정하라.
  • 이 수치를 Kitesurf 베타 비교의 기준선으로 저장하라.
• Browser Run에서 CDP 코드 그대로 붙여 보기
  • 기존 Puppeteer나 Playwright 스크립트의 연결 주소만 바꿔 같은 작업을 돌려라.
  • 결과 HTML과 스크린샷이 Chromium과 같은지 비교하라.
• 브라우저 도구 권한을 최소로 줄이기
  • 에이전트가 악성 페이지를 읽은 뒤 호출할 수 있는 도구 목록을 뽑아라.
  • 읽기 전용 작업에는 쓰기·전송 도구를 빼라.
• 에이전트 개발에 테스트 기준을 먼저 만들기
  • AI에 코드를 맡기기 전에 통과해야 할 테스트 묶음과 성공 기준을 정하라.
  • 에이전트가 모르면 질문하도록 지시를 넣어라.

Try It

# Claude 또는 ChatGPT에 붙여넣기 (원문 방법의 간이 버전: 에이전트용 브라우저 작업 점검)

나는 LLM 에이전트에 헤드리스 브라우저를 쓰고 있다. 아래 작업 목록을 보고 분류해 줘.
작업 목록: {{에이전트가 브라우저로 하는 작업들}}

각 작업을 다음으로 나눠 줘.
1. 스크린샷·HTML 추출처럼 가벼운 렌더링으로 충분한 작업
2. 로그인, CAPTCHA, 결제처럼 신원이 필요한 작업
3. 악성 페이지를 읽은 뒤 도구를 호출해 위험해질 수 있는 작업

각 작업마다 필요한 최소 권한 도구 목록도 제안해 줘.

이어서 해 볼 것: 1번 작업에 쓸 성공 기준 테스트 5개를 만들어 줘.

Terminology

관련 논문

• 같은 시뮬레이션, 다른 근거: 도구 출력을 파일로 넘기면 LLM 에이전트 정확도가 어디서 깎이나

  긴 툴 출력을 파일로 넘기자 GPT-5.1은 정확도 11.3%p 하락, 정식 출력 지정하니 회복

• 가짜 뉴스가 진짜 폭락을: LLM 트레이딩 에이전트 대상 정보 주입 공격

  가짜 헤드라인 한 줄로 LLM 트레이딩 에이전트 62%를 조종했다(프롬프트 주입은 14%)

• Harness Engineering 101: LLM은 뇌, harness는 몸

  에이전트는 JSON 배열을 관리하는 루프이고, 16개 챕터로 직접 만들어 본다

• Harness²: 에이전트 harness를 스스로 고쳐 쓰는 재귀 최적화 프레임워크

  모델은 고정하고 harness를 재귀로 고쳤더니 벤치마크 점수가 최대 11.8%p 올랐다

• 해고된 Savannah 경찰관, ICE 요원 남편에게 Flock 계정 공유

  경찰관이 Flock 계정을 남편(ICE 요원)에게 공유했고, 감사에서 983건 검색이 드러나 해고됐다

• tmux와 Claude Code: 세션, send-keys, 그리고 한계선

  tmux로 Claude Code 여러 개를 돌리면 편하지만 에이전트 4개쯤에서 한계가 온다

• Hybrid Reasoning Agents: 잠재 공간에서 생각하고 텍스트로 행동하는 LLM 에이전트

  잠재 공간 추론과 텍스트 도구 호출을 섞었더니 성능 10.4%↑, 토큰 최대 54.7%↓

Related Resources

• https://blog.cloudflare.com/kitesurf/
• https://github.com/dioxuslabs/blitz
• https://developers.cloudflare.com/browser-run/
• https://lightpanda.io/
• https://write.as/ih3l0kd78lpb1