Cloudflare 用前沿 AI 模型攻击自家防火墙，把 49 项发现变成新规则

Cloudflare 于 2026 年 9 月 29 日介绍了它如何用最新的 AI 模型测试自家 Web 应用防火墙（Web Application Firewall，WAF）。据该公司介绍，客户总在问同一个问题：你们的 WAF 准备好应对前沿 AI 模型（frontier AI models）了吗？Cloudflare 试图通过攻击自己的系统来回答这个问题。

测试如何进行

模型扮演攻击者，无法访问源代码或防火墙规则，每次只能看到响应的一部分。它从防火墙已能拦截的已知攻击出发，再通过改变编码方式、载荷（payload）在请求中的位置或目标地址的写法，尝试绕过拦截。每次尝试中，一次调用提出新的变体，另一次调用评估结果。模型本身不发送请求；允许列表、尝试次数上限和日志记录由单独的软件负责。测试目标是一家已获授权客户的预发布（staging）环境。

45 个场景共记录了 1,107 次尝试。跨站脚本（XSS）、SQL 注入、路径遍历（path traversal）和 Log4j 攻击几乎被完全覆盖。经人工复核，与防火墙相关的发现剩下 49 项，其中 48 项属于命令注入或服务端请求伪造（Server-Side Request Forgery，SSRF），后者会迫使服务器向内部地址发起请求。其中一个例子是在云元数据地址末尾加一个点的写法：十进制和八进制写法此前都已被拦截，这种写法却只得到一次重定向，没有被拦截。Cloudflare 强调，服务器没有返回任何成功响应，也没有数据泄露。

这些发现催生了两条新的 SSRF 规则，并更新了一条现有规则，已于 7 月和 8 月自动推送给所有客户。该公司没有透露使用了哪些 AI 模型。它总结的经验中有两条值得注意：对同一场景增加尝试次数，到一定程度后就不再有帮助，因为模型开始重复之前的思路；而如果没有人工复核，一项真实发现也不会出现。

Threat Signals 向所有人免费开放

同日发布的 Threat Signals 会通过 RSS 跟踪用户选定的公开威胁报告。AI 技能（skills）会总结每份报告，提取其中的失陷指标（Indicators of Compromise，IoC），并用账户已有的标签加以标注。每个指标都会成为账户私有威胁数据中的一条记录，并可转化为防火墙规则。自即日起，每个 Cloudflare 账户可免费获得一个 RSS 源和 30 天存储，Cloudforce One 的 Threat Events 平台也向所有人免费开放。更多订阅源和自定义技能属于付费套餐。

WAF 测试中使用的工具不向客户提供；Cloudflare 表示正在打造一项类似的服务 Adaptive Security，将用 AI 智能体定期测试选定的 URL，但没有给出时间。本次测试仅在一个客户环境中以黑盒方式进行，攻击者了解规则情况下的测试结果将另行公布。想了解这一方法在其他环境中的表现，值得关注独立安全研究人员的工作。

来源：Cloudflare：我们用前沿 AI 模型测试了自家 WAF、Cloudflare：推出 Threat Signals、Cloudflare：面向 AI 时代的自适应应用安全。