알 수 없는 트래픽

알 수 없는 자동 트래픽을 가시화하기

대부분의 애플리케이션은 자동 트래픽의 상당 부분이 무엇인지 구분하지 못합니다. Proof of Actor는 그 트래픽을 별도의 클래스로 유지해 가시화하므로, 측정하고, 줄이고, 의도적으로 처리할 수 있습니다.

작성자 Toshendra Sharma창립자 겸 CEO, AgentCredia · Updated November 13, 2026

아무도 이름을 붙이지 못하는 트래픽

애플리케이션 로그를 자세히 보면 설명하기 어려운 요청들이 있습니다. 이들은 브라우저 컨텍스트가 없는 클라이언트에서 들어옵니다. user-agent 문자열은 일반적이거나 비어 있거나 널리 알려진 브라우저에서 복사한 것처럼 보입니다. 요청에 서명을 하지 않습니다. 누가 보냈는지도 밝히지 않습니다. 어떤 것은 무해한 스크립트입니다. 어떤 것은 실제 사용자를 위해 동작하는 에이전트입니다. 어떤 것은 아예 제공하고 싶지 않은 도구입니다.

이것이 바로 알 수 없는 자동 트래픽이며, 대부분의 팀은 이를 두 가지 방식 중 하나로 처리합니다. 조용히 Human으로 집계해 분석 결과를 왜곡하고 위험한 활동을 통과시키거나, 기본값으로 적대적인 것으로 간주해 합법적인 사용자와 에이전트까지 함께 막아버립니다. 두 접근법은 같은 결함을 갖고 있습니다. 부족한 증거를 가정으로 대체한다는 점입니다.

Proof of Actor는 반대 관점을 취합니다. 증거가 신뢰할 수 있는 판단을 뒷받침하지 못한다면, 정답은 Unknown이며, Unknown은 가시적이어야 하고, 측정 가능해야 하며, 의도적으로 다뤄져야 합니다. 블로그 글 AI 트래픽에서 Unknown이 유효한 결과인 이유에서 그 근거를 자세히 설명합니다.

Unknown이 일급 결과인 이유

Proof of Actor는 모든 상호작용을 Human, Human + AI, Agent, Unknown 중 하나로 분류합니다. Unknown은 오류 상태도 아니고, 제품의 빈틈도 아닙니다. 사용 가능한 증거가 신뢰할 수 있는 판단을 뒷받침하지 못한다는 명확한 의미를 가진 의도적인 결과입니다.

이 정직함에는 실질적인 이점이 있습니다.

분석 결과가 정확하게 유지됩니다. Human과 Agent 집계는 증거가 뒷받침하는 상호작용만 포함하므로, 수치가 의미하는 바가 분명합니다.
커버리지를 측정할 수 있습니다. 각 경로에서 Unknown의 비중을 보면 추가 증거가 필요한 지점을 정확히 알 수 있습니다.
정책이 더 안전해집니다. 불확실한 경우는 추측으로 신뢰되거나 차단되는 대신, 사용자가 선택한 대체 처리로 흐릅니다.

Unknown은 절대 Human으로 바뀌지 않으며, 기본적으로 악성으로 취급되지도 않습니다. 더 자세한 내용은 Unknown 분류 용어집 항목, Detection & Limitations, 그리고 AI 트래픽에서 Unknown이 유효한 결과인 이유에서 확인할 수 있습니다. 웹사이트와 API 사용 사례에서는 팀이 실제로 Unknown 대체 처리를 어떻게 설정하는지 보여줍니다.

알 수 없는 자동 트래픽은 어디에서 오는가

원인을 이해하면 어떻게 다룰지 결정하기가 쉬워집니다.

서명되지 않은 자동 클라이언트

RFC 9421에 정의된 HTTP Message Signatures를 통한 요청 서명은 선택 사항이며, IETF Web Bot Auth 작업 그룹도 아직 자동 클라이언트가 이 방식으로 어떻게 인증해야 하는지 표준화 중입니다. 서명이 없으면 클라이언트의 정체성은 스스로 밝히는 내용에만 의존합니다.

복사되거나 일반적인 user-agent

user-agent 문자열은 쉽게 설정할 수 있습니다. 잘 알려진 브라우저나 크롤러라고 주장하는 클라이언트는 실제로 그럴 수도 있고, 흉내 내는 것일 수도 있습니다. user-agent 위조 항목에서는 이 헤더 하나만으로는 분류를 맡길 수 없는 이유를 설명합니다. 검색 엔진이 별도의 검증 방법을 문서화하는 이유도 여기에 있습니다. Google은 Googlebot 검증을 위해 역방향 및 정방향 DNS 조회와 공개 IP 범위를 설명하고, Bing은 Bingbot 검증을 위해 같은 DNS 확인 절차를 설명합니다.

통합이 없는 경로

경로에 브라우저 통합도 없고, 기본적인 수준을 넘어선 서버 측 컨텍스트도 없다면 관찰할 수 있는 정보는 단순히 적습니다. 그런 경로에서의 Unknown은 위협의 신호가 아니라 커버리지의 신호입니다.

누락되었거나 지연된 증거

타임아웃, 차단된 스크립트, 불완전한 요청 때문에 결과에 충분한 증거가 남지 않을 수 있습니다. Proof of Actor는 그 빈칸을 채우지 않고 사실대로 보고합니다.

Proof of Actor가 Unknown을 다루기 쉽게 만드는 방식

Proof of Actor는 작업을 세 가지 기능으로 구성합니다. 각 기능은 알 수 없는 자동 트래픽을 다루는 데 도움이 됩니다.

Detect: Unknown을 분리해 유지하기

신호는 검토되고 근거 기준으로 라벨링됩니다. verified, declared, inferred, unknown입니다. 어떤 판단도 뒷받침하지 못하면 결과는 Unknown으로 남고, 무엇이 가능했고 무엇이 불가능했는지 요약해서 보여줍니다. 다른 클래스로 추측해서 밀어 넣지 않습니다.

Understand: Unknown이 어디에 있는지 보기

Understand 화면은 모든 분해 기준에서, 경로별로, 시간에 따라 Unknown을 보여줍니다. 어떤 경로에 알 수 없는 활동이 가장 많은지, 통합을 추가한 뒤 어떻게 변하는지, 개별 상호작용에서 어떤 증거가 있었는지를 볼 수 있습니다. 막연한 걱정을 구체적인 지도처럼 바꿔줍니다.

Route: 경로별로 대체 처리 선택하기

경로마다 서로 다른 대체 처리가 필요합니다. 많은 애플리케이션에서 합리적인 출발점은 다음과 같습니다.

공개 페이지와 문서: 기본 rate-limit과 함께 Unknown을 허용합니다.
가입과 온보딩: 기존 검사를 유지하고, 자체 조건이 필요할 때만 review를 추가합니다.
계정 변경 및 기타 민감한 작업: actor 추측이 아니라 기존 인증과 step-up 제어에 의존합니다.
영향이 큰 API 작업: API가 이미 지원하는 더 강한 자격 증명이나 제어를 요구합니다.

알 수 없는 트래픽 처리 가이드는 각 위험 수준에 대해 fail-open과 fail-closed 선택을 포함해 이러한 대체 처리를 설계하는 방법을 설명합니다.

시간이 지나며 Unknown을 줄이기

목표는 Unknown을 하룻밤 사이에 없애는 것이 아닙니다. 올바른 이유로 매달 더 작아지게 만드는 것입니다.

중요한 곳에 통합을 추가합니다. 핵심 페이지의 브라우저 통합과 핵심 경로의 서버 측 통합은 사용 가능한 증거를 늘립니다.
서명된 요청을 지원합니다. 에이전트 운영자가 HTTP message signatures를 채택하면, Unknown이었던 트래픽은 검증된 Agent 트래픽이 됩니다.
자체 앱에 선언을 기록합니다. 애플리케이션이 AI 지원이 사용되었음을 알고 있다면, 그렇게 밝히세요. 그 증거는 정확하고 비용도 적게 듭니다.
에이전트를 위한 정식 진입 경로를 제공합니다. 구조화된 경로를 공개하면 에이전트가 자신을 식별하도록 유도할 수 있고, 다른 트래픽과 섞여 보이지 않게 됩니다.

Proof of Actor는 경로별로 Unknown을 추적하므로, 이러한 변화가 수치에 어떻게 반영되는지 확인할 수 있습니다.

작동 방식

모든 상호작용은 동일한 증거 우선 경로를 따릅니다. 자세한 내용은 How It Works에서 확인할 수 있습니다. 애플리케이션이 요청이나 이벤트를 받으면, 통합은 해당 상황에서 사용할 수 있는 신호를 수집하고, 신호는 정규화되어 명시적인 근거와 함께 분류되며, 결과는 분석용으로 기록되고, 애플리케이션은 자체 정책을 적용하거나 단순히 관찰합니다.

타임아웃과 누락된 텔레메트리는 명시적으로 처리됩니다. 통합은 해당 경로에 대해 선택한 대체 처리를 사용하며, 증거가 부족했다는 이유로 결과가 Human으로 승격되지는 않습니다.

몇 달 뒤의 바람직한 상태

알 수 없는 자동 트래픽을 잘 다루는 팀은 대체로 같은 건강한 상태에 도달합니다. Unknown은 중요한 모든 경로에서 이미 알려진 양으로 관리되며, Human 및 Agent 활동과 같은 대시보드에서 추적됩니다. 각 경로에는 제품, 플랫폼, 보안 팀이 함께 합의한 서면 대체 처리가 있습니다. 더 많은 운영자가 요청에 서명하면서 검증된 Agent 트래픽이 늘어나고, 그 에이전트들은 페이지를 긁어오는 대신 구조화된 경로를 통해 제공됩니다. 민감한 작업은 애플리케이션이 이미 신뢰하는 인증 및 step-up 제어로 보호되며, actor 컨텍스트는 게이트키퍼가 아니라 추가 입력으로 사용됩니다.

가장 중요한 점은 아무도 추측하지 않는다는 것입니다. 누군가 지난주 트래픽 중 자동화된 비율이 얼마였는지 묻는다면, 답은 근거와 함께 제시됩니다. 이만큼은 verified, 이만큼은 declared, 이만큼은 inferred, 그리고 이만큼은 아직 Unknown입니다. 팀이 계획을 세울 수 있는 숫자입니다. 또한 리더십과의 대화도 바뀝니다. 이제 질문은 봇이 문제인지가 아니라, 어떤 경로에 더 많은 증거가 필요한지, 어떤 대체 처리를 조정해야 하는지가 됩니다.

관찰 모드로 시작하기

Proof of Actor는 기본적으로 아무 것도 차단하지 않습니다. 관찰 모드에서는 결과가 기록되지만, 애플리케이션은 이전과 똑같이 응답합니다. 팀은 각 경로가 얼마나 많은 알 수 없는 자동 트래픽을 받는지 확인하고, 이미 알고 있는 결과와 비교하며, 실제 패턴에 기반해 대체 처리를 설계할 수 있습니다. 정책은 한 번에 한 경로씩만 활성화되며, 팀이 적합하다고 확신할 때만 적용됩니다.

창립 개발자 프로그램에 참여하기

Proof of Actor는 private beta 상태입니다. 선발된 창립 개발자 팀은 합의된 사용 한도 내에서 최대 12개월간 무료로 이용할 수 있으며, 그 대가로 제품에 대한 실무 피드백을 제공하고 엔지니어의 직접적인 통합 지원을 받을 수 있습니다.

알 수 없는 자동 트래픽이 분석 결과나 보안 의사결정을 흐리고 있다면, 조기 액세스 신청을 해주세요. 귀사의 애플리케이션과 Unknown이 가장 중요한 경로에 대해 알려주세요.

Proof of Actor를 살펴보고, 작동 방식을 읽고, 증거가 무엇을 입증할 수 있는지 확인해 보세요.

출처

RFC 9421: HTTP Message Signatures, IETF, February 2024.
Web Bot Auth (webbotauth) working group charter, IETF.
Verifying Googlebot and other Google crawlers, Google Search Central.
How to verify that Bingbot is Bingbot, Bing Webmaster Blog.

개발자를 위한

What your code receives

Every interaction resolves to one result record. Your application reads the class and the basis and applies its own policy.

Result record

{
  "route": "GET /api/v1/catalog",
  "class": "agent",
  "basis": "verified",
  "evidence": [
    { "signal": "http_message_signature", "result": "valid", "keyid": "assistant.example" },
    { "signal": "client_declaration", "value": "assistant.example" }
  ],
  "observed_at": "2026-11-13T10:42:07Z"
}

class: Human, Human + AI, Agent 또는 Unknown.
basis: 근거의 강도: Verified, Declared, Inferred 또는 Unknown.
evidence: 결과 뒤의 signal로, 팀이 이유를 확인할 수 있습니다.

관찰 모드로 시작하세요: 결과를 logs 옆에 기록하고, 정책을 선택할 때까지 아무것도 변경하지 마세요. Node.js 통합 가이드를 읽기

자주 묻는 질문

알 수 없는 자동 트래픽이란 무엇인가요?

사용 가능한 증거만으로는 사람이 행동하는지, AI와 함께 행동하는 사람인지, 자율적인 에이전트인지 신뢰성 있게 보여주지 못하는 활동입니다. 보통 브라우저 컨텍스트가 없고, 서명되지 않았으며, 일반적이거나 복사된 user-agent 문자열을 가진 클라이언트가 여기에 해당합니다.

그렇다면 알 수 없는 트래픽은 그냥 차단하면 되지 않나요?

Unknown이 곧 악성인 것은 아닙니다. 여기에는 합법적인 클라이언트, 개인정보 보호에 중점을 둔 브라우저, 그리고 단순히 자신을 식별하지 않는 도구도 포함됩니다. 이를 일괄 차단하면 실제 피해가 발생합니다. 경로별로 의도적인 대체 처리를 두는 편이 훨씬 낫습니다.

Proof of Actor가 Unknown을 Human으로 바꾸는 경우가 있나요?

없습니다. 증거가 부족하거나 검사가 시간 초과되더라도 결과는 Unknown으로 남습니다. 각 경로의 대체 처리는 정책이 선택합니다.

알 수 없는 트래픽은 시간이 지나면서 줄일 수 있나요?

그렇습니다. 더 많은 경로에 통합을 추가하고, 서명된 요청을 지원하고, 앱 안에서 선언을 기록하면 트래픽은 Unknown에서 명확한 근거가 있는 클래스 쪽으로 이동합니다.

알 수 없는 트래픽은 어디에서 볼 수 있나요?

Understand 화면에서 Unknown은 모든 분해 기준에 별도의 클래스로 표시됩니다. 경로별로, 시간에 따라, 그리고 각 상호작용에서 사용 가능한 증거와 함께 확인할 수 있습니다.

누가 귀하의 app을 사용하는지 파악하세요.

소수의 founding developer를 위한 private beta입니다.

조기 접근 받기 가격 보기

먼저 이야기하고 싶으신가요? 창립자와 상담하세요