Cloudflare는 웹의 큰 부분 앞에 위치합니다. 많은 팀에게 Cloudflare는 CDN, DNS 제공자, 방화벽, 그리고 악성 자동화에 대한 첫 번째 방어선이 한곳에 모인 존재입니다. Cloudflare의 bot 제품은 그 위치에 맞게 설계되었습니다. 트래픽을 일찍 보고, 챌린지할지 중단할지 결정하며, 사이트 소유자가 AI crawler를 포함한 crawler가 콘텐츠에 접근하는 방식을 제어할 수 있게 합니다.
애플리케이션은 다른 질문에 답해야 합니다. 요청이 엣지를 통과한 뒤에는, 코드가 누가 또는 무엇이 행동하고 있는지 알아야 올바른 경험을 선택할 수 있습니다. 이 요청은 사람인가, AI assistant와 함께 일하는 사람인가, 고객을 대신해 행동하는 agent인가, 아니면 evidence로는 설명되지 않는 무엇인가? 그리고 코드가 얼마나 확신해야 하는가?
바로 이것이 Proof of Actor가 해결하려는 일입니다. 이는 결과에 대한 명시적 evidence basis와 함께 actor class를 반환하는, 결정권을 가진 코드에 전달되는 집중된 애플리케이션 수준 레이어입니다. 이 페이지는 Cloudflare의 2026년 11월 기준 공개 문서를 바탕으로 두 제품을 공정하게 비교해, 각각의 위치를 명확히 보여줍니다.
요약
| Cloudflare bot 제품 | Proof of Actor | |
|---|---|---|
| 목적 | 엣지에서 인프라와 콘텐츠 보호 | 제품 및 정책 결정을 위한 애플리케이션 actor 컨텍스트 제공 |
| 실행 위치 | Cloudflare의 엣지 네트워크, origin 앞 | 서버, 엣지 레이어, 승인된 브라우저 페이지, HTTP API 또는 MCP server |
| 주요 출력 | 챌린지와 rule action, Enterprise Bot Management의 경우 1에서 99까지의 bot score와 bot 필드 | Human, Human + AI, Agent 또는 Unknown, 그리고 verified, declared, inferred 또는 unknown basis |
| 출력이 도착하는 곳 | Cloudflare rules, analytics 및 Workers | 애플리케이션 코드와 route 및 workflow별 actor analytics |
| AI 지원을 받는 사람 | bot score에서 별도 범주가 아님 | 지원된 integration을 통해 declared되거나 관찰되면 Human + AI라는 별도 class |
| 불분명한 트래픽 | 점수화되어 엣지 규칙으로 처리됨 | Unknown이 1차 결과로 표시되며 route별로 fallback을 설정 가능 |
| 서명된 agent | Web Bot Auth 검증 및 signed agent 신호 | RFC 9421 signature 검사가 code에 verified basis로 보고됨 |
| MCP server와 API 호출자 | 엣지에서 HTTP traffic으로 보호됨 | tool call 또는 API request를 처리하는 server 내부의 caller 컨텍스트 |
| CDN 의존성 | Cloudflare 네트워크를 통과하는 traffic에 적용 | 사용하는 CDN이 무엇이든, 또는 CDN이 없어도 독립적임 |
| 설치 직후 기본값 | 활성화한 product와 설정에 따라 다름 | 관찰 모드, policy를 추가하기 전까지 아무것도 변경되지 않음 |
이후 내용에서는 각 항목을 설명합니다.
AI agent 트래픽을 위한 Cloudflare Bot Management 대안을 찾고 계신가요?
대안을 찾는 대부분의 팀은 엣지에 불만이 있는 것이 아닙니다. 그들은 엣지가 답하도록 설계되지 않은 새 질문을 갖고 있습니다. AI agent, AI 지원을 받는 사람, 일반 방문자가 모두 같은 signup form, API route 또는 MCP tool에 도달하는데, 제품은 이들을 다르게 다뤄야 합니다. 이를 간단히 나누면 다음과 같습니다.
Proof of Actor가 결정을 대체하는 지점. 현재 bot score 또는 bot field를 사용해 제품 동작을 정한다면, 예를 들어 AI 작성 제출물을 라벨링하거나, agent를 구조화된 endpoint로 라우팅하거나, 특정 workflow에서 불분명한 호출자에 대한 fallback을 고르는 경우, 그 작업에는 Proof of Actor가 더 적합합니다. 이 제품은 Human, Human + AI, Agent 또는 Unknown이라는 actor class와 evidence basis를 애플리케이션 코드에 직접 반환합니다. routing과 policy 결정은 각 route가 무엇을 하는지 이미 아는 코드 안으로 들어가며, 사용하는 CDN이 무엇이든 같은 방식으로 동작합니다.
Proof of Actor가 Cloudflare에 더해지는 지점. Proof of Actor는 네트워크 보안 제품이 아닙니다. Cloudflare 문서에 따르면 2026년 11월 기준으로 DDoS protection은 공격을 자동으로 감지하고 완화하며 모든 plan에서 사용할 수 있고, Web Application Firewall은 들어오는 web 및 API request를 managed rule과 custom rule로 검사합니다. 그 계층은 유지하세요. 대규모 공격, exploit 시도, 악성 자동화는 origin에 도달하기 전에 차단되어야 하며, Proof of Actor는 그 역할을 하려 하지 않습니다.
따라서 "이것이 대안인가?"에 대한 직접적인 답은 이렇습니다. 앱에서 actor classification과 route별 routing이라는 작업에는 예, 엣지 DDoS와 WAF protection에는 아니요. 대부분의 production 팀은 결국 두 계층을 모두 사용하며, 각 계층이 자신이 설계된 일을 맡습니다.
Cloudflare의 bot 제품이 무엇을 위해 만들어졌는가
Cloudflare 문서에 따르면 2026년 11월 기준으로 다음 세 가지 bot 관련 product를 제공합니다.
- Bot Fight Mode는 Free plan에서 사용할 수 있으며, 하나의 toggle로 도메인 전체의 감지된 bot traffic에 챌린지를 적용합니다.
- Super Bot Fight Mode는 Bot Management add-on이 없는 Pro, Business, Enterprise plan용이며, bot category별 구성 가능한 action을 추가합니다.
- Bot Management for Enterprise는 request별 bot score, custom rule, endpoint별 처리, 상세 analytics를 추가합니다.
Cloudflare의 표현에 따르면 bot score는 request가 bot에서 왔을 가능성을 나타내는 1에서 99까지의 점수입니다. 1은 request가 자동화되었다고 매우 확신함을 의미하고, 99는 사람이 보냈다고 매우 확신함을 의미합니다. Cloudflare 문서는 Bot Management를 구매한 Enterprise 고객에게는 세분화된 점수를 제공하고, 다른 plan에서는 automated, likely automated, likely human, verified bot 같은 그룹화된 결과를 본다고 설명합니다. 점수는 WAF custom rule에서 request를 block, challenge 또는 allow하는 데 사용할 수 있으며, Workers에서도 사용할 수 있습니다.
Cloudflare는 또한 verified bots를 유지하며, 문서에서는 이를 search engine crawler, monitoring service, user-driven agent처럼 자신이 누구인지와 무엇을 하는지 투명하게 밝히는 bots 또는 agents로 설명합니다. 검증은 Web Bot Auth signature 또는 IP validation 같은 방법과, 비악성 행위에 기반합니다.
AI traffic에 대해서는 AI Crawl Control이 사이트 소유자에게 어떤 AI service가 콘텐츠에 접근하는지 보여주고, 개별 crawler를 allow 또는 block할 수 있게 하며, crawler가 robots.txt를 얼마나 잘 따르는지 추적합니다. Cloudflare 문서상 이는 모든 plan에서 사용할 수 있습니다.
이 도구들은 자신이 설계된 역할, 즉 엣지에서 어떤 자동화된 traffic이 origin과 콘텐츠에 도달할지 결정하는 역할에는 강력합니다.
각각이 어디서 실행되고, 출력이 어디에 도착하는가
가장 실용적인 차이는 위치입니다.
Cloudflare의 bot 제품은 Cloudflare 네트워크에서, origin 앞에서 실행됩니다. 그 출력은 Cloudflare의 제어가 있는 곳, 즉 WAF custom rule, bot analytics, 그리고 Cloudflare의 bot management variables reference에 따르면 Cloudflare Workers의 request.cf object에 도착합니다. 이는 request를 중단할지 챌린지할지 결정하기에 적절한 위치입니다.
Proof of Actor는 애플리케이션 로직이 있는 곳에서 실행됩니다. Node.js middleware, Next.js, 귀하가 제어하는 edge layer, 승인한 페이지의 browser collector, 범용 HTTP API, 또는 MCP server입니다. 출력은 구조화된 결과로 애플리케이션 코드에 도착하고, route와 workflow별로 분해된 actor analytics에도 들어갑니다. 자세한 내용은 integration paths를 참고하세요.
이 위치는 제품 결정에서 중요합니다. 코드에는 각 route가 어느 workflow에 속하는지, 귀하의 assistant가 행동을 수행했는지, client가 자신을 어떻게 선언했는지, 그리고 그 route의 비즈니스 영향이 무엇인지가 들어 있습니다. "verified agent에게는 구조화된 endpoint를 제공하고, 사람은 일반 흐름에 유지하며, AI 지원 제출물은 라벨링한다" 같은 route별 결정은 이런 지식 옆에 있어야 합니다. Proof of Actor는 actor 컨텍스트를 바로 그 위치에 두며, 한 제공자의 네트워크가 아니라 귀하의 stack에서 실행되므로 Cloudflare 뒤에서도, 다른 CDN 뒤에서도, 또는 CDN이 없어도 동일하게 작동합니다.
점수와 basis가 있는 class
점수는 protection rule에 효율적인 입력입니다. 임계값을 정하고 그 위나 아래에서 조치하면 됩니다. 이는 request가 자동화되었을 가능성이 얼마나 높은지에 답하기 위해 설계되었습니다.
제품 결정에는 더 풍부한 답이 필요합니다. Proof of Actor는 네 가지 class 중 하나를 반환합니다.
- Human: 관찰 가능한 신호가 사람이 주도한 interaction을 나타냅니다.
- Human + AI: 사람이 지원된 integration을 통해 선언되거나 관찰된 AI assistance와 함께 interaction을 주도했습니다.
- Agent: 자동화되었거나 agent에서 비롯된 interaction입니다.
- Unknown: evidence로는 신뢰할 수 있는 판단을 내릴 수 없습니다.
각 결과에는 evidence basis도 함께 포함됩니다. verified는 예를 들어 공개된 key에 대해 확인된 RFC 9421 HTTP Message Signature를 뜻하고, declared는 client 또는 귀하의 애플리케이션이 그렇게 밝혔다면 해당하며, inferred는 추론으로 명확히 표시된 경우를 뜻하고, 마지막은 unknown입니다. 팀은 각 결과를 읽고 그 뒤의 evidence를 볼 수 있으며, 이는 결정이 공격 표면이 아니라 고객 경험에 영향을 미칠 때 필요한 정보입니다.
AI agent, signed agent, AI 지원을 받는 사람
Cloudflare는 agent verification에 투자해 왔습니다. 2026년 11월 기준 문서에 따르면 Cloudflare는 RFC 9421을 기반으로 HTTP message 내 cryptographic signature를 사용해 bots와 agents를 검증하는 인증 방식인 Web Bot Auth를 지원합니다. 문서에서는 Enterprise 고객의 Bot Management에 대해 cf.bot_management.signed_agent field로 노출되는 signed agent signal과, 2026년 7월 1일부터 많은 최종 사용자가 운영할 수 있는 single-operator bots와 agentic services를 구분하는 Direct versus Intermediary access field를 설명합니다. Cloudflare는 또한 plan 전반에 걸쳐 AI crawler 및 agent 접근 정책을 제공합니다.
Proof of Actor는 signed request를 더 넓은 맥락의 한 요소로 봅니다. 요청에 공개된 key에 대해 확인된 유효한 HTTP Message Signature가 있으면 결과는 Agent이며 verified basis를 갖고, 바로 route handler로 전달됩니다. signed agent request 검증 가이드가 흐름을 보여줍니다. 유효한 signature는 어떤 key가 request에 서명했는지를 증명할 뿐, 그 agent가 무엇을 할 권한이 있는지는 증명하지 않으므로 authorization은 있어야 할 곳, 즉 애플리케이션에 남습니다.
더 큰 차이는 그 사이에 있는 사람들입니다. 일부 사용자는 AI assistant와 함께 일합니다. support ticket 초안 작성, form 작성, onboarding 진행 등이 그렇습니다. 엣지 bot scoring은 자동화와 사람을 구분하도록 설계되었으며, 이 그룹을 별도로 나눌 이유가 없습니다. 하지만 제품은 종종 그 구분이 필요합니다. Proof of Actor는 AI assistance가 선언되었거나 지원된 integration을 통해 관찰된 경우에만 Human + AI를 별도 class로 보고하므로, AI 작성 제출물에 라벨을 붙이거나, AI 지원 사용자가 workflow를 어떻게 이동하는지 측정하거나, 더 부드러운 경로를 제공할 수 있습니다. 더 자세한 내용은 AI-assisted interaction glossary 항목을 참고하세요.
Unknown은 threshold가 아니라 결과입니다
모든 detection system은 설명할 수 없는 traffic을 만납니다. 엣지에서는 불분명한 traffic이 점수가 해당하는 rule에 따라 처리됩니다. 이렇게 하면 zone 전체에서 protection이 일관되게 유지됩니다.
애플리케이션 내부에서는 하나의 설정이 모든 route에 맞지 않는 경우가 많습니다. public documentation page로 향하는 불분명한 request와 account credentials를 변경하는 불분명한 request는 서로 다른 처리가 필요합니다. Proof of Actor는 Unknown을 1차 결과로 반환하고, 시간에 따른 Unknown rate를 추적하며, route별 fallback을 선택할 수 있게 합니다. 예를 들어 public content에는 allow, account 변경에는 기존 checks 유지, 영향이 큰 action에는 review로 보낼 수 있습니다. Unknown traffic 처리 가이드가 패턴을 다루고, Unknown classification 항목은 정직한 Unknown이 강제로 찍은 추정보다 나은 이유를 설명합니다.
MCP server와 API
Cloudflare는 네트워크를 통과하는 모든 HTTP traffic과 같은 방식으로 MCP server와 API를 보호합니다. 이는 가치가 크며, request가 서비스에 도달하기 전에 이루어집니다.
그 다음 MCP server나 API가 보통 필요로 하는 것은 handler 내부의 caller context입니다. 어떤 agent가 이 tool을 호출하는지, 그 identity가 verified인지 아니면 declared일 뿐인지, 그리고 이 tool call을 allow, adapt, rate-limit 또는 review로 보낼지 여부가 그것입니다. Proof of Actor는 MCP server integration과 범용 HTTP API를 제공하여, context가 tool이나 endpoint logic이 실행되는 곳에 도달하게 합니다. 예시는 MCP server caller identification과 APIs use case를 참고하세요.
두 제품을 함께 사용하는 방법
가장 강력한 구성은 각 도구에 고유한 계층을 줍니다.
- 엣지에서, Cloudflare는 공격을 흡수하고, 악성 자동화를 챌린지하고, 알려진 bots를 검증하고, AI crawler 정책을 적용합니다.
- 애플리케이션에서, Proof of Actor는 도달한 traffic을 Human, Human + AI, Agent 또는 Unknown으로 basis와 함께 분류합니다.
- 코드에서, route별 policy는 그 컨텍스트를 사용해 allow, adapt, challenge, review 또는 rate-limit를 수행하며, Unknown에 대한 명시적 fallback을 둡니다.
- analytics에서, 제품 및 보안 팀은 각 actor class가 어떤 route와 workflow를 사용하는지 봅니다.
Proof of Actor는 observation mode에서 시작하므로, Cloudflare 뒤에 추가해도 첫날에는 아무것도 바뀌지 않습니다. 실제 actor 구성을 보고, live traffic에 대해 policy를 preview하고, route 하나씩 enforce할 수 있습니다. actor-aware policy를 안전하게 롤아웃하는 방법 가이드가 이를 설명합니다. Proof of Actor는 identity check, KYC 또는 biometrics를 수행하지 않습니다. 무엇이 행동하는지만 보고하고, 결정은 귀하에게 맡깁니다.
무엇을 선택해야 하는가
주요 필요가 엣지 protection이라면 Cloudflare의 bot 제품을 선택하세요. origin에 도달하기 전에 악성 자동화를 막고, zone 전체에서 의심스러운 traffic에 챌린지를 적용하며, AI crawler가 콘텐츠에 접근하는 방식을 제어하는 것이 목적일 때입니다.
주요 필요가 애플리케이션 수준 actor 컨텍스트라면 Proof of Actor를 선택하세요. 사람, AI 지원을 받는 사람, agent가 각 route를 사용하는지 알고 싶고, 모든 결과 뒤의 evidence를 보고 싶고, Unknown을 의도적으로 처리하고 싶고, MCP server 및 API handler에 caller context를 제공하고 싶고, CDN과 무관하게 동작하는 route별 product policy를 작성하고 싶을 때입니다.
production website, API 또는 MCP server를 운영한다면 보통 두 가지 답이 모두 필요합니다. 그래서 두 제품은 같은 stack 안에서 잘 함께 작동합니다. 더 넓은 카테고리 비교는 Proof of Actor vs bot management를 참고하세요.
시작하기
Proof of Actor는 private beta 상태입니다. founding developer program을 통해 선정된 팀은 합의된 사용 한도 내에서 최대 12개월 무료로 이용할 수 있으며, 자동 청구는 없습니다. early access 신청을 통해 가장 먼저 이해하고 싶은 application, API 또는 MCP server가 무엇인지 알려주세요.
이 페이지의 Cloudflare 제품 세부 정보는 2026년 11월 기준 bot score reference, Web Bot Auth reference, DDoS protection overview, WAF overview를 포함한 Cloudflare의 공개 문서를 기반으로 합니다.
Cloudflare는 Cloudflare, Inc.의 상표입니다.