A Cloudflare Já Procura Vulnerabilidades No Código Dos Clientes

A Cloudflare lançou o Vulnerability Discovery and Remediation como nova funcionalidade dentro do Cloudflare Managed Defense, o seu serviço de segurança premium, associando a Daybreak Defense Network e os modelos GPT-5.6 Cyber da OpenAI aos dados de tráfego e WAF da própria Cloudflare. O pipeline funciona por fases: recolhe instantâneos de tráfego e segurança dos ativos web de um cliente para identificar rotas ativas e eventos de segurança recentes, associa essas rotas às secções de código que as servem, e depois procura vulnerabilidades no código-fonte autorizado pelo cliente usando esse contexto de rede.

A Cloudflare afirma que cada deteção "tem de ser corroborada por prova no código-fonte", e o cenário ilustrativo no seu próprio anúncio descreve uma base de código que revela 4.000 novas vulnerabilidades, 78 delas críticas, o que ilustra a escala do atraso acumulado que este pipeline foi concebido para tratar.

O Serviço Propõe Correções, Não As Aplica

A própria descrição da Cloudflare traça uma linha que se destaca face à atual vaga de relatos sobre agentes de segurança com IA autónoma: os modelos validam uma deteção, atribuem-lhe uma classificação de risco e produzem uma lista ordenada com uma correção de código e uma regra de WAF anexadas, mas é uma pessoa que decide se essa correção chega perto da produção. A Cloudflare afirma claramente que são os clientes que decidem se as recomendações chegam a ser implementadas.

A única parte que é implantada automaticamente é a regra de mitigação do WAF, e apenas para um cliente que tenha autorizado separadamente o Vulnerability Discovery and Remediation a defender a sua zona. A Cloudflare descreve estas regras como limitadas de forma conservadora aos métodos e caminhos efetivamente afetados.

O Acesso É Um Convite, Não Um Nível De Produto

O Vulnerability Discovery and Remediation só está acessível em acesso antecipado, através de um pedido à equipa Managed Defense da Cloudflare. O anúncio da Cloudflare não indica qualquer número de clientes, qualquer data de disponibilidade geral nem qualquer preço publicado para a funcionalidade, sinais típicos de um serviço ainda testado com um pequeno grupo de parceiros de design.

Esse modelo de acesso importa para saber com que rapidez isto chega realmente a um cliente comum da Cloudflare. Uma funcionalidade que lê o próprio código-fonte de um cliente é uma promessa de confiança claramente diferente de uma regra de WAF ou um registo DNS, e o lançamento por convite da Cloudflare sugere que a empresa o trata assim, pelo menos para já.

A Verdadeira Questão Para Um Operador Da UE É O Que Sai Da Empresa

O Vulnerability Discovery and Remediation funciona dando a um terceiro, os modelos da OpenAI a correr através da infraestrutura da Cloudflare, acesso direto ao próprio código-fonte de um cliente. O código-fonte de uma aplicação pode conter credenciais incorporadas, detalhes de arquitetura interna ou, numa base de código com pouca higiene, dados pessoais codificados em ficheiros de teste ou de configuração, uma categoria de ativo diferente dos registos de pedidos e metadados de cabeçalho que a maioria das empresas da UE já aceitou nos seus contratos existentes de WAF e CDN com a Cloudflare.

Uma empresa da UE que considere este serviço tem um passo de diligência devida a dar antes de ponderar a vantagem de segurança: verificar o que os respetivos termos de tratamento de dados da Cloudflare e da OpenAI dizem sobre retenção de código, uso para treino de modelos e transferência transfronteiriça, as mesmas perguntas que uma equipa de compras atenta ao RGPD já coloca a qualquer novo subcontratante, aqui aplicadas a um subcontratante que lê o próprio produto.

O Que Acompanhar Até À Disponibilidade Geral

Duas coisas vão marcar o momento em que isto deixa de ser um piloto com parceiros de design: um número de clientes publicado ou um caso de estudo que nomeie uma implementação real, e uma data anunciada de disponibilidade geral com preço público. Nenhuma existe ainda, e a própria formulação da Cloudflare, um convite através da equipa Managed Defense, é consistente com um serviço ainda a ser afinado.

Até lá, uma empresa que use a Cloudflare hoje não enfrenta qualquer novo comportamento por defeito a configurar, já que a funcionalidade está por trás de um processo de pedido. No momento em que isso mudar para uma opção de autoatendimento dentro do Managed Defense, a questão do fluxo de dados do código-fonte descrita acima torna-se uma decisão de compra real.

Servola Journal

Fazemos isto por todos os que tentam acompanhar o que a tecnologia está a fazer às nossas vidas. As pessoas que a constroem, e as pessoas a quem acontece. O Servola Journal existe para que o que aprendemos pertença a todos eles.

Ninguém nos paga por isto. Sem anúncios, sem barreira de pagamento, grátis para todos. Acreditamos simplesmente que compreender o que está a acontecer a todos nós não deveria depender de quem pode pagar por isso.

Se isto lhe deu algo hoje, diga-nos para continuarmos. Siga-nos, deixe um like, ou escreva um comentário positivo. Lemos cada um deles, e são eles que nos fazem continuar.

Leia a seguir: Porque o chip da OpenAI não vai substituir a Nvidia  |  A Eficiência Da OpenAI Ainda Não Está Verificada