Cloudflare Hittar Buggar Med AI, Rättar Dem Inte Ännu

Cloudflare Söker Nu Igenom Kunders Källkod Efter Sårbarheter

Cloudflare lanserade Vulnerability Discovery and Remediation som en ny funktion inom Cloudflare Managed Defense, dess premiumsäkerhetstjänst, och kopplar samman OpenAIs Daybreak Defense Network och GPT-5.6-Cyber-modeller med Cloudflares egna trafik- och WAF-data. Pipelinen körs i steg: den samlar in ögonblicksbilder av trafik och säkerhet från en kunds webbtillgångar för att identifiera aktiva vägar och nyliga säkerhetshändelser, kopplar dessa vägar till de kodavsnitt som betjänar dem, och söker sedan igenom kundens auktoriserade källkod med den nätverkskontexten efter sårbarheter.

Cloudflare uppger att varje fynd "måste styrkas av bevis i källkoden", och det illustrativa scenariot i det egna tillkännagivandet beskriver en kodbas som ger upphov till 4 000 nya sårbarheter, 78 av dem kritiska, vilket visar omfattningen av den eftersläpning som denna pipeline är avsedd att hantera.

Tjänsten Föreslår Rättelser, Den Tillämpar Dem Inte

Cloudflares egen beskrivning drar en gräns som är värd att notera mot bakgrund av den aktuella vågen av berättelser om autonoma AI-säkerhetsagenter: modellerna validerar ett fynd, ger det en riskbedömning och tar fram en prioriterad lista med en kodrättelse och en WAF-regel bifogad, men en människa beslutar om den rättelsen någonsin når produktion. Cloudflare uppger tydligt att det är kunderna som beslutar om rekommendationer överhuvudtaget genomförs.

Den enda del som rullas ut automatiskt är WAF-åtgärdsregeln, och bara för en kund som separat har godkänt Vulnerability Discovery and Remediation att försvara sin zon. Cloudflare beskriver dessa regler som försiktigt begränsade till de metoder och vägar som faktiskt berörs.

Åtkomst Är En Inbjudan, Inte En Produktnivå

Vulnerability Discovery and Remediation är bara åtkomlig via early access, genom en ansökan till Cloudflares Managed Defense-team. Cloudflares tillkännagivande anger varken kundantal, ett datum för allmän tillgänglighet eller ett publicerat pris för funktionen, typiska tecken på en tjänst som fortfarande testas med en liten grupp designpartners.

Den åtkomstmodellen spelar roll för hur snabbt detta faktiskt når en vanlig Cloudflare-kund. En funktion som läser en kunds egen källkod är ett tydligt annorlunda förtroendelöfte än en WAF-regel eller en DNS-post, och Cloudflares inbjudningsbaserade utrullning antyder att företaget behandlar den så, åtminstone tills vidare.

Den Verkliga Frågan För En EU-Operatör Är Vad Som Lämnar Huset

Vulnerability Discovery and Remediation fungerar genom att ge en tredje part, OpenAIs modeller som körs via Cloudflares infrastruktur, direkt åtkomst till en kunds egen källkod. Källkod i en applikation kan innehålla inbäddade inloggningsuppgifter, interna arkitekturdetaljer eller, i en kodbas med dåligt underhåll, hårdkodade personuppgifter i testdata eller konfigurationsfiler, en annan tillgångskategori än de förfrågansloggar och header-metadata som de flesta EU-företag redan har accepterat i sina befintliga WAF- och CDN-avtal med Cloudflare.

Ett EU-företag som överväger denna tjänst har ett due diligence-steg att ta innan det väger säkerhetsvinsten: att kontrollera vad Cloudflares och OpenAIs respektive villkor för databehandling säger om kodlagring, användning för modellträning och gränsöverskridande överföring, samma frågor som ett GDPR-medvetet inköpsteam redan ställer till varje nytt personuppgiftsbiträde, här tillämpade på ett biträde som läser själva produkten.

Vad Som Bör Bevakas På Vägen Mot Allmän Tillgänglighet

Två saker kommer att markera punkten där detta slutar vara ett pilotprojekt med designpartners: ett publicerat kundantal eller en fallstudie som namnger en verklig implementering, och ett angivet datum för allmän tillgänglighet med offentligt pris. Ingetdera finns än, och Cloudflares egen formulering, en inbjudan via Managed Defense-teamet, stämmer med en tjänst som fortfarande finjusteras.

Fram till dess behöver ett företag som använder Cloudflare i dag inte konfigurera något nytt standardbeteende, eftersom funktionen ligger bakom en ansökningsprocess. Den dag detta blir ett självbetjäningsalternativ inom Managed Defense blir frågan om källkodens dataflöde som beskrivs ovan ett verkligt inköpsbeslut.

Servola Journal

Vi gör detta för alla som försöker hålla jämna steg med vad tekniken gör med våra liv. Människorna som bygger den, och människorna det händer med. Servola Journal finns så att det vi lär oss tillhör dem alla.

Ingen betalar oss för detta. Inga annonser, ingen betalvägg, gratis för alla. Vi tror helt enkelt att förståelse av vad som händer oss alla inte borde bero på vem som har råd att betala för det.

Om det gav dig något idag, säg till oss att fortsätta. Följ oss, lämna en gilla-markering, eller skriv en positiv kommentar. Vi läser varenda en, och de är det som håller oss igång.

Läs vidare: Varför OpenAIs nya chip inte ersätter Nvidia  |  OpenAIs Effektivitetspåstående Är Ännu Inte Bekräftat