Cloudflare 把漏洞狩猎放进代码库：没有源码证据就不出结论
Cloudflare 在 Managed Defense 中推出漏洞发现与修复功能，把源代码与生产流量、安全信号一起阅读。门槛写得很明确：每条结论都要有源代码中的证据。侦察与验证使用 OpenAI 的 GPT-5.6 Cyber，推理在 OpenAI 服务器上进行，而非 Cloudflare 边缘网络。
Cloudflare 为其企业安全服务 Managed Defense 推出了漏洞发现与修复功能。该服务把客户的源代码与生产流量、安全信号放在一起审查，按真实暴露的证据排序结果，并给出代码补丁与 WAF 缓解建议，是否采用由客户决定。公告发布于 9 月 3 日，目前仅限受邀访问。
证据规则
Cloudflare 用一句话定下门槛：“每一条漏洞结论都必须有源代码中的证据佐证。”在文章开头的例子里，问题不是数量：一次扫描产出 4000 个新漏洞、78 个严重项，团队却不知道哪些真正可达。该公司表示，大语言模型能在几分钟内暴露代码库中的弱点；缺的是把这份清单与暴露证据对上。
它读取哪些数据
- Web Assets 资产清单，使用经授权的只读权限
- WAF 规则与控制项
- Workers Trace Events Logpush，若可用
- 显示活跃路由与已触发检测的流量元数据和安全事件快照
- 客户授权范围内的源代码
模型在哪里运行
侦察、狩猎与验证环节使用 OpenAI 的 Daybreak 模型，具体为 GPT-5.6 Cyber。Cloudflare 写明推理在 OpenAI 的服务器上、经由 Cloudflare AI Gateway 进行，而非在自家边缘网络；模型也无法自行应用它建议的补丁或规则。
对企业读者而言
这是从“扫描并堆出上千条结论”转向“先取证再排优先级”的一次尝试，对被告警疲劳困住的团队来说是对的问题。决定的另一半在合同里：源代码会在授权范围内交给第三方模型。要问的是哪个代码仓库、保留多久、如何留存。Cloudflare 已明说推理在何处运行，其余取决于机构自己的数据分级。
来源
- 一手来源：Cloudflare 博客，9 月 3 日：blog.cloudflare.com/vulnerability-discovery-remediation
- Cloudflare Managed Defense
- OpenAI：把前沿网络安全模型交到更可信的手中
