Cloudflare zafiyet avını kod tabanına soktu: bulgu, kaynak kodda kanıtlanmadan raporlanmıyor
Cloudflare Managed Defense'e eklenen zafiyet keşfi ve giderme özelliği, kaynak kodu üretim trafiği ve güvenlik sinyalleriyle birlikte okuyor. Kural net: her bulgu kaynak kodda bir kanıtla doğrulanmalı. Keşif ve doğrulamada OpenAI'ın GPT-5.6 Cyber modeli kullanılıyor, çıkarım Cloudflare'in uç ağında
Cloudflare, kurumsal güvenlik hizmeti Managed Defense için zafiyet keşfi ve giderme özelliğini duyurdu. Hizmet müşterinin kaynak kodunu, üretim trafiğini ve güvenlik sinyallerini birlikte inceliyor; bulguları gerçek maruziyet kanıtına göre sıralıyor; kod yaması ve WAF önlemi öneriyor. Uygulama kararı müşteride kalıyor. Duyuru 3 Eylül'de yapıldı, erişim şimdilik davetle.
Kanıt kuralı
Cloudflare'in koyduğu ölçüt tek cümle: "Her zafiyet bulgusu kaynak kodda bir kanıtla doğrulanmalı." Yazıdaki örnek tabloya göre sorun bulunan zafiyet sayısı değil; bir tarama 4.000 yeni zafiyet ve 78 kritik bulgu üretiyor, ekip hangisinin gerçekten erişilebilir olduğunu bilmiyor. Şirkete göre büyük dil modelleri kod tabanındaki zayıflıkları dakikalar içinde yüzeye çıkarabiliyor; eksik olan, o listeyi maruziyet kanıtına bağlamak.
Hangi veriye bakıyor
- Web Assets envanteri, yetkilendirilmiş okuma erişimiyle
- WAF kuralları ve denetimleri
- Workers Trace Events Logpush, varsa
- Etkin rotaları ve tetiklenen tespitleri gösteren trafik meta verisi ile güvenlik olayı anlık görüntüleri
- Müşterinin izin verdiği kapsamdaki kaynak kod
Model nerede çalışıyor
Keşif, avlanma ve doğrulama adımlarında OpenAI'ın Daybreak modelleri, özellikle GPT-5.6 Cyber kullanılıyor. Cloudflare, çıkarımın kendi uç ağında değil, Cloudflare AI Gateway üzerinden OpenAI sunucularında yapıldığını yazıyor. Model, önerdiği yamayı ya da kuralı kendisi uygulayamıyor.
Kurumsal okur için
Bu, "tara ve bin bulgu bas" yaklaşımından "kanıtla ve önceliklendir" yaklaşımına geçme denemesi; uyarı yorgunluğu yaşayan ekipler için doğru soru. Kararın ikinci yarısı sözleşmede: kaynak kod, yetkilendirilen kapsamda üçüncü taraf bir modele gidiyor. Kurumun sorması gereken hangi depo, hangi süre, hangi saklama olduğu; Cloudflare çıkarımın nerede koştuğunu açıkça yazmış, gerisi kurumun kendi veri sınıflandırmasına bağlı.
Kaynaklar
- Birincil kaynak: Cloudflare blogu, 3 Eylül: blog.cloudflare.com/vulnerability-discovery-remediation
- Cloudflare Managed Defense
- OpenAI, sınır siber modellerini güvenilir ellere veriyor
