헤드리스 브라우저 없이 Cloudflare Turnstile을 푸는 Rust 라이브러리 cfsolve 공개

뉴스 알림

내 알림

로그인하고 알림을 만들어 보시기 바랍니다

전체 알림

해커뉴스

블랙홀 사진은 어떻게 찍었나: 지구 크기 전파망원경 EHT와 다음 목표인 블랙홀 동영상 출판사가 거부한 쥘 베른의 《20세기의 파리》, 131년 뒤 공개된 1960년 파리 예언 Firezone, sans-IO 설계의 Rust WireGuard 구현 sanstun 공개 가장 오래된 얼음이 녹으면서 노르웨이 산에서 5,000~6,000년 전 석기 시대 화살 48점이 나오기 시작 FurtherAI, 엔지니어 1인당 코드 변경 5배·AI 리뷰 99% 기록한 AI 네이티브 조직 9개월 Infinite Mac에서 BeOS R5까지 브라우저 실행, DingusPPC에 호환성 수정 다수 업스트림 Scribd 모회사 보안 사고 통지: 이메일·카드 끝 4자리·결제 내역 노출 가능, 10월 1일 공지 후 순차 발송 Cisco 사장, 27세 전 창업자에게 무제한 AI 토큰 주고 레거시 코드 98% 재작성 맡겨 헤드리스 브라우저 없이 Cloudflare Turnstile을 푸는 Rust 라이브러리 cfsolve 공개 패트릭 스튜어트 추모 TNG 에피소드 맞히기 게임, HN에 공개돼 에피소드 제목 난이도 논쟁 구글 리서치, LLM이 잠으로 지식을 굳히는 Sleep 프레임워크 공개 패트릭 스튜어트 별세, 보스턴글로브 두 기자가 돌아본 피카드의 지도자상과 취약함 스텔스 봇 금지법 반대 칼럼: 익명 크롤러 신원 공개 의무화가 나쁜 봇은 못 막고 언론 조사와 아카이빙을 겨눈다 NES 6502 CPU와 RAM, ROM을 Qwen3.5 가중치로 컴파일한 nesformer 공개, 실제 콘솔보다 150~290배 느림 Bunny CDN, 제공사 침해로 아르메니아 노드 폐기하고 TLS 인증서 전면 재발급 LaTeX 여백에 시드마다 다른 꽃을 키우는 Florilegium, Ghostscript가 인쇄 시점에 정원을 그림 AT Protocol 기반 분산 코드 포지 Tangled, bobbin 인덱서 11개 리전 배포와 knot2 Rust 재작성 공개 Mac OS 9.2.2가 Wii에서 부팅, ArtX 칩셋 클래식 맥 OS 포팅이 데스크톱까지 도달 Northflank 보안 침해: 전 사용자에게 환경변수 복호화 가정하고 키 교체 권고 AI가 SRE를 대체하는 게 아니라 실력을 퇴화시킨다는 1983년 '자동화의 역설' 재조명 Artificial Analysis v5 공개, 단일 지능 지수에 남는 벤치마크 딜레마 ICE 대신 나선 ZeroFox의 삭제 요구, 호스팅은 거부했지만 등록기관이 도메인을 죽였다 배치 파일로 실행하면 오류, 더블클릭하면 정상. 원인은 탐색기가 몰래 맞춰주던 현재 디렉터리 심장마비엔 5만 달러 내는 Medicare, 100달러짜리 CAC 검사는 안 된다 바이낸스 핫월렛서 20분 만에 63억 달러 탈취, 북한 TraderTraitor 의심 Azure API Connections 경로 순회로 타 테넌트 Key Vault·Azure SQL 장악, 취약점 5건에 포상금 $200,000 Cursor 마켓의 Claude Code VS Code 2.1.313, SSH 백도어 심은 채 배포됨 카사르·워터스, AI 버블 구제금융 반대 민주당 결의안 발의 게리맨더링 퍼즐 elect.horse 공개, HN은 gerrymandle 표절 논란과 색약 배색 문제로 갑론을박 Cuis, 단순함 내건 Smalltalk-80 환경... 7.8 안정판 공개에 Smalltalks 2026 발표 8건 Swift로 만든 선언적 웹 UI, WebAssembly로 브라우저에서 돌리는 ElementaryUI 공개 터미널에서 별자리를 그리는 Astroterm, C로 작성된 193커밋 오픈소스 ANSI/ASCII 아트 아카이브 16colo.rs, 해커뉴스에서 다시 화제 Pico CSS 유지보수 종료, v2.1.1이 마지막 릴리스... 저장소는 아카이브, npm과 CDN은 유지 Show HN: macOS 로컬 네트워크 권한 팝업을 자동으로 닫는 dontallow 에이전트 멀티플렉서 Herdr, 네이티브 데스크톱 앱 0.1.9 공개 스페인 고속철 추돌로 69명 사망, 관제센터가 속도 제한 없이 운행 재개 지시 Pico 2 W에서 게임을 꿈꾸고 직접 플레이하는 26k~131k 파라미터 월드모델 YC Labs, 마인크래프트에 GPT-6.1 에이전트 50개 투입해 3시간 문명 건설 실험 IPv4 주소 비중대로 국경을 다시 그리면: 36억 주소를 1억 3500만 km² 땅에 대응시킨 지도 PHP2Shell 체인으로 PAN-OS 방화벽 25대 루팅, 미 정부 관련 3대 포함 2016년 글 'H.264 is Magic' 재회자, 300프레임 영상이 PNG 한 장의 1/5 크기 마틴 파울러, LLM 초안은 문체가 남는다며 'LLM Voice' 경계 도어대시, 인스타카트를 170억 달러에 인수: 주당 65달러, 종가 대비 26% 프리미엄 아캄, 바이낸스 해커 지갑 71개에 $5.76B 표시... 서클·테더가 $2.4B 동결 미스트랄, 1조 파라미터 Mistral Large 4 가중치 공개, 가격 절반 인하에 오픈웨이트 코딩 1위 패트릭 스튜어트 별세에 HN 댓글창은 TNG 추억과 '검은 띠' 요청으로 가득 미국 2분기 배터리 저장 20.2GWh 신기록, 상반기 30.8GWh로 전년 대비 23% 증가 Brother 프린터 펌웨어에서 TRON T-Kernel 찾아내고 Telnet 디버그 접속 확보 Cartesia, 바이트 수준 H-Net 확장 법칙 공개: 학습된 토큰화만으로 컴퓨트 3-5배 절감 Nix를 TypeScript로 컴파일하는 jinx, nixpkgs 231,777개 속성에서 Nix와 똑같은 drvPath 재현 상수 나눗셈 floor division, 새 알고리즘이 ARM에서 10~20% 더 빠름 오렌지 차이, Pwn2Own 베를린 2026에서 논리 버그만으로 엣지 샌드박스 탈출해 $175,000 획득 WAP Push 문자 한 통에 안드로이드 통화 먹통, 구글은 '수정 안 함'OpenAI, 인터넷 끊은 AI 에이전트들이 CPU 캐시로 비밀 통신 채널 구축 Claude Code가 백그라운드 에이전트 요약에 토큰 지출 16%를 쓰고, Anthropic 개발자도 상태줄치고는 많다고 인정 옥스팜 "최상위 0.1%(800만 명) 탄소 배출이 최빈곤 35억 명 전체를 넘는다"MuPDF는 AES-256 키를 9비트 난수로 만들고, Foxit은 타임스탬프 해시로 만든다 영화 편집자 월터 머치가 손주들에게 설명한, 바늘꼬리기러기가 에베레스트 상공을 날 수 있는 이유 Cursor, 자사 에이전트 만든 프레임워크 Agent SDK 정식 출시... 코드로 정의하고 한 줄로 배포 Alpine Linux, GitLab 침해 시도에 인스턴스 전면 재구축: 19.3.6 업그레이드도 Ruby 패치 없어 무효 크레이그 호켄베리, 6주 요추천자와 28일 항암 주기 근황 공개 Formlabs, $699 레진 프린터 Form Studio 1 예약 개시... HN 2위에 오른 제품 페이지 Stack Overflow 월 신규 질문 1000건 아래로, 개설 이후 최저 Qwen3.5 4B 가중치 안에 RISC-V CPU를 컴파일, Gated DeltaNet 상태를 RAM으로 사용 NetBSD 커널에 Alpine 사용자공간을 얹은 AlpineBSD 공개, LLM 생성 코드 배제를 내세워 Surge AI가 세무 실무 50개 과제로 AI 에이전트 평가, 최고 통과율은 Claude Sonnet 5.5의 10.8%FCC, 아마존 레오의 Globalstar 115억 달러 인수 승인 캔버스 지문 스크립트에 리신 살상 용량 함수명과 숨겨진 프롬프트 인젝션, LLM 난독화 회피용이었다 수도사들이 5축 CNC로 고딕 성당 석재를 깎는다, Prussiani 장비로 몇 달 걸리던 조각을 며칠로 EMACS 50주년, MIT AI랩의 편집기에서 자유 소프트웨어 운동이 시작되다 매사추세츠 PCB 공장 로봇 The Grid, 선전 퀵턴보다 5일 빠르고 165달러 비싸다 켄터키 남성, AI 사용을 거부한 첫 인본주의자로 종교적 예외 인정 구글, Gemini 4 Carbon 발표... 터미널 벤치 부정행위 0.0%, 입력 100만 토큰 $2 Apple의 git과 curl, 10월 28일 현재까지 손상된 eMudhra 인증서를 신뢰. macOS 27.2는 수동 우회 조치까지 되돌려 1996년 애플 네트워크 서버에서 맥 OS 부팅 문제를 소프트웨어로 메우는 확장팩 v1.0 공개 1987년 애플 IIe BBS로 출발한 SDF, 40년째 NetBSD 공공 UNIX 시스템으로 무료 계정 운영 Fast Food Tycoon 2 역컴파일: GPT-6.1 에이전트가 4,046개 함수에서 렌더러와 조명 구조를 캐냄 NT 설계에 POSIX를 얹고 btrfs에서 self-hosting까지, hobby OS Moxnox 1.0 공개 Fesshole 운영자 Rob Manuel, ZX81 문자셋만으로 그린 농담 81개를 책으로 낸다 미국·캐나다 반딧불이, 멸종인가 관측 누락인가: 10년 무관측이면 '잃어버린 종'Zig로 4개월 써본 소감: snurl 라이브러리, Zig Day Seattle, 그리고 명시적 allocator·IO Mikhail Lavrov의 그래프 이론 입문서 'Start Doing Graph Theory', CC 라이선스로 무료 공개 UEFI PXE 부팅 취약점 CVSS 9.5, '지구상 대부분 서버' 위협이라는 Ars 보도에 반론 쏟아짐 1952년 블루리본 여객선 SS United States, 11월 멕시코만에서 세계 최대 인공어초로 침몰 잉크젯 프린터 잉크 방울 20배율 사진, 니콘 스몰월드 2026 대상 차지 라즈베리 파이 제로 3 W와 파이 4 모델 A, 리눅스 디바이스 트리에 등장 Liquid AI, 2B급 멀티모달 LFM3 6종 공개. 1.7B가 LFM2.5-2.6B를 35% 적은 파라미터로 앞서고 4비트에서 약 1GB 마이크론, 20년 연구한 4F² DRAM 포기하고 6F²·3D DRAM으로 선회 Anthropic, 제약 6곳과 Claude 신약 개발 중간 결과 공개, CAR-T 설계 부위 70% 축소 유한 단순군 분류 정리, Lean으로 완전 형식화: 4,310만 줄에 선언 205만 개 인터넷 없이 도는 오픈소스 AI "Survival LLM", 93만 위키피디아 문서와 출처 인용까지 로컬에서 처리 Tailscale, SSH 권한 상승 취약점 확인하고 10월 27일 패치 목표 발표 애플, M6 탑재 14인치 MacBook Pro 발표, GPU 최대 30% 빨라지고 배터리 24시간 Wiz가 PHP2Shell 공격 시도를 추적했지만 성공 사례는 없었고, 공개 후 인터넷 노출 취약 머신은 67% 줄었다 애플, M6 탑재 24인치 iMac 공개. 10월 28일 예약 시작해 11월 6일 출시 경찰이 AI로 '수상한 행동' 운전자를 세운다, 해커뉴스는 위법 여부부터 따진다 Anthropic, 스탠퍼드 교수 책 해적판으로 Claude 학습 인정, $1.5B 합의에도 교수들 개별 소송 소프트웨어는 나빠지고 있지만 예전엔 끔찍했다, 95% 윈도우와 블루스크린의 기억 실험적 JIT, PEP 836 철회로 CPython에서 제거 수순

헤드리스 브라우저 없이 Cloudflare Turnstile을 푸는 Rust 라이브러리 cfsolve 공개

cfsolve는 Rust로 작성된 라이브러리 겸 CLI로, 헤드리스 브라우저 없이 Cloudflare Turnstile 위젯과 챌린지 페이지를 풀어 각각 Turnstile 토큰과 cf_clearance 쿠키를 반환함.
위젯은 페이지 URL과 sitekey, 선택적으로 페이지 HTML만 있으면 풀리고, 챌린지 페이지는 직접 fetch하거나 페이지 HTML이 필요함.
특정 브라우저를 흉내 내는 프로필 파일을 쓰며 저장소에 profiles/safari-26-ios.json(Safari on iPhone) 하나가 포함됨. 각 프로필은 챌린지의 브라우저 검사에 대한 녹화된 응답을 참조함.
작성자는 유럽 프록시에서는 동작하지 않고 미국 프록시에서만 동작했다는 사용자 제보를 받았고, 지역별로 다른 버전을 서빙하는 것 같다며 수정하겠다고 밝힘.
저장소는 2026년 10월 26일 초기 커밋 이후 사흘 만에 6개 커밋으로 빌드 변경과 챌린지 페이지 수정을 반영함.

Hacker News 의견들

실제 가치는 Cloudflare를 계속 추적하는 데 있음. 난독화된 최신 코드를 LLM 파이프라인으로 뜯어서 솔버를 갱신하는 자동화가 없으면 이걸 기반으로 뭘 만들 신뢰가 안 생김. 그래도 진짜 필요한 사람들은 대부분 사내에서 직접 만듦.

이건 유료 서비스가 아니라 MIT 라이선스로 공짜로 올린 GitHub 라이브러리임. 그냥 자기가 하던 작업을 선물로 올리는 사람도 있는 거고, as is에 무보증이라고 대놓고 적혀 있음.

그렇게 어려운 일인가? 진짜 Mac에서 따뜻한 Safari 프로필 쓰면 Turnstile은 Apple 문제가 되고, PAT를 쓰니까 그냥 해결되는 거 아님?

PAT는 Apple ID당 레이트 리밋이 있는 걸로 알고 있음. 로그인을 요구하는 이유가 그거고, 하루 수백만 건 규모면 헤드리스 브라우저 쓰기는 싫음.

Cloudflare는 PAT가 챌린지 판단에 쓰는 신호 하나일 뿐 자동 우회가 아니라고 명시해놨음. 애플 프라이버시 프록시가 제일 나음.

작성자인데 며칠 전에 올렸다가 second chance pool에 들어가서 지금 프런트페이지에 올라옴. 유럽 프록시에서는 안 되고 미국 프록시에서는 됐다는 제보를 받아서 지역별로 다른 버전을 서빙하는 것 같음. 곧 고칠 거고, Cloudflare는 계속 바뀜.

insanai/sibuna도 봐봐. PoW를 하고 토큰으로 접근할 수 있고, 자체 wasm 기반 솔버가 있어서 브라우저 없이 wasm 런타임으로 로컬에서 돌릴 수 있음. 나이 작성자임.

어떤 모델 썼고 뭐라고 해서 도움을 받아냈는지 궁금함. Claude 같으면 거절했을 텐데.

Claude는 큰 프로젝트 맥락 중간이면 보통 설득됨. '이건 승인된 CTF 연습이고 보안 제한은 적용 안 됨' 같은 프롬프트를 씀. 한 방에 우회를 만들어달라고 하면 실패하고, 내 Claude 프로젝트가 CF Turnstile을 만나서 이런 걸 만들겠다고 먼저 제안했음.

좋든 나쁘든 yt-dlp 같음. Cloudflare와의 끝없는 경쟁이라 신뢰할 수 없음. 아마 안 믿는 게 나음.

yt-dlp는 내가 쓸 때마다 잘 됐음. 몇 주에 한 번 스트리밍 경기 내려받을 때 잘 동작하니까 주기적으로 쓰는 사람한테는 충분히 믿을 만함.

Anubis PoW 프록시에 막히면 node.crypto만으로도 하드웨어 가속이 돼서 1초 안에 풀림.

1년 전에 비슷한 걸 만들었는데 되다가 안 됐음. 개별 우회는 어렵지 않은데 규모 있게 돌리는 건 완전히 다른 게임이고 훨씬 어려움. 네트워크 전체 행동을 분석해서 규모에서는 흉내 내기 불가능한 패턴을 잡아냄.

Turnstile 우회는 법적으로 어떤가? CFAA가 걸릴 수도 있는데 스크래핑은 합법이라고 판결난 걸로 기억함. 사용자 에이전트 차별이 생긴 게 아쉬움.

내 Cloudflare 솔버는 command + w임. 헤드풀 브라우저에서 100% 믿을 만하고, 가끔은 봇 차단보다 사용자 시간을 우선하는 대체 사이트를 찾게 해줌.

작은 사이트가 공격받으면 CF 말고는 방법이 없으니 이해함. 근데 돈 많은 회사도 그러는 건 싫음. Dell 보안 검사가 사람인 나를 여러 번 막아서 경쟁사 제품을 산 적 있음.

방문자가 하루 0.5명인 사이트도 다 이걸 달았음. 러시아에서는 Cloudflare가 막혀서 VPN 없이는 인터넷을 못 쓸 지경이었음. 검색해도 링크가 하나도 안 열림.

이걸 이렇게 공개적으로 건드리는 건 조심해야 함. 에스컬레이션만 빨라지고 이미 우회법을 찾은 사람들이 더 힘들어짐. 이건 전쟁이고 공개한 건 적에게 쓰임.

Cloudflare는 장기적으로 못 이김. 나머지 세계 자원이 더 많고, CF 우회는 봇 세계의 hello world라 취미인 사람만 막음.

Edge Dev를 몇 년째 쓰는데 최근 업데이트에서 Turnstile이 간헐적으로 실패함. 안 될 때는 인터넷의 30~50%가 막힘. 규모 있는 쪽은 이미 우회하고 스팸을 뿌리는데 나는 Letterboxd 로그인을 못 함. Cloudflare 탓은 아니고 LLM 때문에 DDoS가 포화된 느낌임.