クラウドフレアがAIハーネスでWAFの弱点を探り、ルールを強化
2026年10月10日 · 読了 1 分
クラウドフレアは、最先端のAIモデルを管理されたテスト環境に配置し、Webアプリケーションファイアウォールの弱点を探る実験を行った。この取り組みは、ブロックされた攻撃を起点にモデルが新しい攻撃バリアントを生成・改善する仕組みを採用している。
実験では45のシナリオが設定され、合計1107回の試行が行われた。人間による選別を経て、最終的に49件の所見が残り、これによりクラウドフレアの管理ルールセットに3つの変更が反映された。モデルはWAFのルールやソースコードにアクセスできず、ブラックボックスとして動作した。
Python製のハーネスがHTTPリクエストの構築や状態管理、制限の適用を担当し、モデルに直接の制御権を与えなかった。1つのモデルが次の変更を提案し、別のモデルが結果をレビューするフィードバックループが機能した。例えば、サーバーサイドリクエストフォージェイのテストでは、アドレスの表現形式を変えて試行し、最終的にリダイレクトが発生するケースが見つかった。
1107回の試行のうち、607件が選別後の結果セットを構成し、558件はWAFによりブロックされた。残る49件の所見のうち48件は、コマンドインジェクションまたはサーバーサイドリクエストフォージェイに関連していた。人間によるレビューは最終的な検証段階として機能し、攻撃が実際にターゲットに到達したか、悪意があるか、WAFの責任範囲内かを確認した。
この作業の結果、管理ルールセットには2つの新しい検出ルールと既存ルールの改善が追加された。同様のパターンは他のセキュリティエンジニアリングでも見られ、モデルの周りにハーネスを設け、実行を制約し、状態を保持し、所見を検証することで、確率的な探索を既存のセキュリティワークフローで使える証拠に変換する共通点がある。