비인간 정체성 보안: 자동 취소, OAuth 및 스코프 권한 관리

섹션별 상세

AI 에이전트와 자동화 도구의 증가로 인해 자격 증명 유출 사고가 이전보다 5배 빠르게 발생하고 있습니다. Cloudflare는 이를 해결하기 위해 API 토큰을 '주체(Principal)', '자격 증명(Credential)', '정책(Policy)'의 세 가지 기둥으로 재정의하고 통합 관리 체계를 구축했습니다.

비인간 정체성 보안을 위한 주체, 자격 증명, 정책의 관계를 보여주는 개념도입니다. — DiagramAI 에이전트와 사용자가 API 토큰(자격 증명)을 통해 리소스에 접근하고, 정책에 의해 권한이 제어되는 구조를 시각화합니다. 보안을 위해 이 세 가지 요소가 유기적으로 관리되어야 함을 강조합니다.

근거

AI로 인해 자격 증명 유출이 이전보다 5배 빠르게 발생하고 있습니다. — Leaked token detection 섹션의 GitGuardian 보고서 인용 문구

GitHub의 비밀 스캔 프로그램과 협력하여 공용 저장소에 유출된 Cloudflare 토큰을 실시간으로 감지하고 즉시 자동 취소합니다. 새로운 토큰 형식은 'cfut_'와 같은 고유 접두사와 체크섬을 포함하여 스캐닝 도구가 높은 신뢰도로 유출 여부를 판단할 수 있도록 설계되었습니다.

근거

새로운 토큰 형식은 접두사와 체크섬을 포함하여 스캐너의 식별력을 높였습니다. — Other credential scanners 섹션의 Credential Type 표

Cloudflare One 고객은 DLP(데이터 손실 방지) 프로필을 통해 네트워크 트래픽, 이메일, SaaS 저장소 내의 토큰 유출을 차단할 수 있습니다. 특히 AI Gateway와 통합되어 AI 모델에 입력되는 프롬프트나 출력되는 응답 내의 자격 증명 노출을 실시간으로 감지하고 차단하는 기능을 제공합니다.

OAuth 동의 환경을 개선하여 서드파티 애플리케이션이 요청하는 권한 범위와 대상 계정을 사용자가 명확히 확인하고 관리할 수 있게 했습니다. '연결된 애플리케이션' 메뉴를 통해 과거에 부여한 권한을 한눈에 검토하고 필요 시 즉시 취소할 수 있는 중앙 집중식 관리 기능을 도입했습니다.

개선 전의 단순한 OAuth 권한 요청 화면입니다. — Screenshot기존 방식은 어떤 계정에 어떤 권한이 부여되는지 명확하지 않아 사용자가 보안 위험을 인지하기 어려웠음을 보여줍니다.

개선된 OAuth 동의 화면으로, 대상 계정 선택 기능이 추가되었습니다. — Screenshot사용자가 여러 계정 중 특정 계정만 선택하여 에이전트에게 권한을 부여할 수 있게 된 UI 변화를 보여줍니다.

최종 권한 검토 및 승인 단계의 상세 UI입니다. — Screenshot선택된 계정과 요청된 세부 권한(읽기 전용 등)을 최종 확인하고 승인하는 과정을 통해 투명성을 높인 사례를 보여줍니다.

리소스 수준의 세분화된 권한 설정(RBAC) 기능을 Zero Trust 제품군 전반으로 확장하여 최소 권한 원칙을 실현했습니다. 이제 특정 액세스 애플리케이션이나 서비스 토큰 등 개별 리소스 단위로 '비자'와 같은 세부 권한을 부여함으로써 인증된 주체라도 허용된 구역 외에는 접근할 수 없도록 제한합니다.

근거

리소스 스코프 권한 설정이 Access Applications, Identity Providers 등 신규 리소스로 확장되었습니다. — Fine-grained resource-level permissioning 섹션의 지원 리소스 목록

용어 해설

비인간 정체성(Non-Human Identity): — 사람이 아닌 AI 에이전트, 스크립트, 서드파티 도구와 같이 시스템에서 자율적으로 활동하는 주체를 의미합니다. 현대 개발 환경에서 이들의 활동이 급증함에 따라 전용 자격 증명 관리와 보안 정책 적용이 필수적인 요소로 자리 잡았습니다.
최소 권한 원칙(Least Privilege): — 사용자나 에이전트에게 업무 수행에 필요한 최소한의 권한만 부여하는 보안 전략입니다. 권한 범위를 좁게 설정함으로써 자격 증명이 유출되더라도 전체 시스템으로 피해가 확산되는 것을 방지하는 핵심적인 보안 설계 방식입니다.
역할 기반 액세스 제어(RBAC): — 개별 사용자나 에이전트의 역할에 따라 리소스 접근 권한을 정의하는 방식입니다. Cloudflare는 이를 확장하여 특정 리소스 단위로 권한을 세분화하는 리소스 스코프 RBAC 기능을 제공하여 보안성을 높였습니다.
오픈 인증(OAuth): — 사용자가 자신의 비밀번호를 노출하지 않고 서드파티 애플리케이션에 계정 데이터 접근 권한을 부여할 수 있게 해주는 개방형 표준 프로토콜입니다. 에이전트가 사용자를 대신해 작업을 수행할 때 안전한 권한 위임을 위해 사용됩니다.

기술

Cloudflare API
GitHub Secret Scanning
Cloudflare AI Gateway
OAuth
Terraform

활용 사례

AI 에이전트의 안전한 인프라 배포
서드파티 도구의 계정 접근 권한 관리
코드 저장소 내 비밀번호 유출 자동 방어

언급된 리소스

문서Cloudflare Roles and Scopes Documentation