Cloudflare用AI黑盒测试WAF，45场景发现49项问题

Cloudflare把大语言模型放入受控测试框架，用于评估Web应用防火墙（WAF）的防御能力。系统从已被拦截的攻击载荷出发，让模型不断生成新的变体；在45个测试场景中共完成1107次尝试，经人工筛选后形成49项有效发现，并推动托管规则集进行三项调整。

整个实验采用黑盒方式进行，模型只能依据WAF返回的结果，调整载荷编码、参数位置或交付方式，无法查看防火墙规则、源代码及内部安全信号。请求构造、HTTP重放、场景状态管理、限制条件执行和响应收集均由Python框架负责。模型一次调用提出下一种变体，另一次调用分析响应，从而保留探索能力，同时避免模型直接控制请求执行。

SSRF测试体现了这一反馈机制。测试程序持续改变云元数据地址的写法和出现位置，尝试十进制、八进制等多种表示形式。其中一次十进制地址请求被拦截，模型随后保留原有请求结构，仅将地址改为末尾带点的形式，结果客户端收到重定向而非WAF拦截。Cloudflare将该结果留作后续调查，并未直接认定攻击成功。

在全部尝试中，607次进入筛选结果集，其中558个请求被WAF拦截，49项发现被认为值得进一步修复；这49项里有48项涉及命令注入或服务器端请求伪造（SSRF）。人工审核仍是最终验证环节，审核人员需要确认请求确实抵达目标、仍具恶意性、未被明确拦截、属于WAF职责范围且能够安全复现。通过审核的案例会重新执行，并作为规则修改、规范化处理或其他缓解措施的候选方案。

这套流程最终促成三项托管规则集变更：新增“SSRF - Obfuscated Host”和“SSRF - Restricted Protocol”两项检测规则，并改进已有的“SSRF - Cloud”规则。类似的发现与验证分离模式也被用于其他安全工程实践，例如Cloudflare自身的漏洞发现框架，以及Google Mandiant让多个专业智能体依次完成源代码分析、假设生成和验证，再交由人工审核的框架。

不同系统虽然使用的术语并不相同，但共同强调限制执行、保存状态和验证结果。OpenAI的Codex Security会为代码仓库建立威胁模型、搜索漏洞，并在隔离环境中尝试复现候选问题，再提交修复建议供人工审查；Google的PageBreak则重点验证AI提出的漏洞假设是否确实可利用，以减少大量看似合理却未经证实的结果淹没安全团队。总体而言，测试框架承担了把模型的概率性探索转化为安全流程可用证据的任务。