클라우드플레어, 사상 최고가 353달러 찍은 다음날 '테넌트 간 샌드박스 유출' 공개

아무도 지우지 않은 60킬로바이트

클라우드플레어 주가가 사상 최고치인 353.04달러를 기록한 하루 뒤, 회사는 AI 전략의 한복판에 놓인 샌드박스 제품에 대한 취약점 공개 글을 블로그에 올렸다↗¹². 어컴플리시의 오렌 욤토프가 9월 4일 해커원(HackerOne)을 통해 이 문제를 신고했다. 워커스 유료(Workers Paid) 계정만 있으면 같은 호스트에서 다른 고객의 컨테이너가 쓰다가 반납한 디스크 블록을 되살려낼 수 있었다는 게 요지다¹.

원인은 설정 하나였다. 컨테이너 루트 디스크는 리눅스 씬 프로비저닝(thin provisioning) 방식으로 64KiB 블록 단위로 관리되는데, 공유 풀에는 블록 제로화를 생략하는 skip_block_zeroing이 걸려 있었다. 재활용 블록이 초기화되지 않은 채 다음 테넌트로 넘어갈 수 있었던 것이다¹. 이런 블록에 4KiB를 기록한 뒤 raw 상태로 다시 읽으면 나머지 60KiB에는 직전 사용자의 바이트가 고스란히 남아 있었다¹.

자기 것이 아닌 디렉터리 아이노드 2700개

연구진이 집계한 6개 배치에서 검사 가능한 디렉터리 블록은 모두 5614개였다. 이 가운데 자신들의 파일시스템 것으로 확인된 것은 0개였고, 서로 다른 외부 디렉터리 아이노드(inode) 2700개가 식별됐다¹. 배치 전반에서 잔존 데이터는 24개 기저 노드 가운데 18개, 22개 기저 노드 가운데 20개에서 모습을 드러냈고, 4개 대륙에 걸쳐 있었다¹³. 클라우드플레어는 디렉터리 구조와 데이터베이스 페이지, 구조가 온전한 SQLite 데이터베이스를 확인했다. 연구진 보고서는 여기에 크로미엄(Chromium) 프로필과 .env 파일, 자격 증명 파일을 추가했고 이들을 '다른 고객의 파일'이라고 설명했다¹³⁴.

증거 없음, 조치 불필요, 노출 기간 미상

클라우드플레어는 개념 증명(PoC)을 바탕으로 탐지 로직을 만든 뒤 자사가 보유한 디스크 입출력(I/O) 텔레메트리에 적용해 확인했다. 걸린 것은 연구진과 자사 엔지니어의 승인된 테스트뿐이었으며, 고객이 취할 조치는 없다는 게 회사 쪽 설명이다¹. 다만 공개 글에는 skip_block_zeroing이 처음 적용된 시점이 나와 있지 않아↗ 노출 기간은 알 수 없다³.

연구진은 같은 디스크 구성이 브라우저 런(구 브라우저 렌더링)↗에도 영향을 미쳤다고 지적했다. 클라우드플레어 공개 글에는 이 제품 이름이 없다³⁴⁹. 해당 제품을 거쳐 간 자격 증명을 교체할지 고민하는 테넌트 입장에서는 살펴야 할 표면이 하나 더 늘어난 셈이다. 이에 대한 플랫폼 쪽의 답은 텔레메트리가 이미 결론을 냈다는 것이다¹³.

문제의 제품, 곧 랠리 그 자체

이번에 문제가 드러난 제품군이 바로 시장이 값을 올려 가며 사들이는 제품군이다. 클라우드플레어는 샌드박스 SDK를 "신뢰할 수 없는 코드를 안전하게 실행"하는 방법으로 내세워 팔고 있다↗. 이 위에서 클로드 코드(Claude Code), 코덱스(Codex), 커서(Cursor) 클라우드 에이전트, 데빈(Devin)을 돌리는 튜토리얼도 제공한다⁵.

2026년 2분기 매출은 6억9600만 달러로 36% 증가했다⁶⁷. 353.04달러에서 정점을 찍은 랠리는 시가총액을 연초 대비 78% 오른 1250억 달러까지 끌어올렸고, UBS는 목표주가 350달러를, TD커웬은 355달러를 내걸었다↗². 불과 일주일 전만 해도 주가는 300달러 안팎에서 거래됐고, 그 밑에는 189달러의 내재가치 추정치가 깔려 있었다⁷.

여섯 번째 탈출

어컴플리시는 이번 건을 지난 7월 이후 여섯 번째 샌드박스 탈출로 꼽는다. 클로드 코워크(Claude Cowork), 클로드 코드, 커서 CLI, 도커, 오픈AI 코덱스에 이어서다³. 이 가운데 코덱스 관련 두 건은 8월 12일 보고돼 8일 만에 패치됐다↗⁸. 기록 어디에도 이 연속 탈출이 밸류에이션 멀티플과 이어진다는 증거는 없다. 그렇다고 가능성을 배제하는 증거도 없다. 다섯 번째가 바꾸지 못한 것을 여섯 번째가 바꿀지 지켜볼 일이다. 클라우드플레어는 AI 코드용 안전방을 팔고 있다. 그런데 이번 달 그 방의 바닥은 재활용 블록이었다.