Cloudflare 利用 AI 与测试框架结合，完成 WAF 黑盒渗透测试

一句话结论

Cloudflare 通过受控测试框架驱动 AI 模型进行黑盒 WAF 渗透测试，成功发现漏洞并促成三项安全规则变更。

关键要点

• 测试在 45 个场景中生成 1,107 次攻击尝试，人工筛选后保留 49 项有效发现。
• 49 项发现中 48 项涉及命令注入或服务端请求伪造（SSRF）。
• 测试框架负责构造和重放 HTTP 请求，AI 模型仅负责生成变体策略。
• 该测试直接导致 Cloudflare 新增“SSRF - Obfuscated Host”和“SSRF - Restricted Protocol”规则。
• 模型无法访问 WAF 规则、源代码或内部安全信号，完全在黑盒环境下运行。

背景与事实

Cloudflare 将前沿 AI 模型置于一个受控测试框架中，用于探测其 Web 应用防火墙（WAF）。实验的核心机制是以 WAF 已经拦截的攻击载荷为起点，让模型生成和改进新的变体。模型并非反复重放固定测试用例，而是根据此前尝试得到的响应，动态提出对编码方式、载荷位置或交付方式的修改。由于模型无法访问 Cloudflare 的 WAF 规则、源代码或内部安全信号，这实际上是一场黑盒测试。

实验中，一项 SSRF 测试展示了这种反馈循环的工作方式。测试器不断改变某个云元数据地址的表示方式和出现位置，尝试了十进制、八进制及其他形式。最终，一个使用十进制表示方式的请求遭到拦截。在下一次尝试中，模型保留了相同的请求结构，但将该地址改为末尾带点的表示形式；这一次，客户端遇到的是重定向，而不是 WAF 拦截。Cloudflare 保留了这一结果以供调查，而没有将其视为攻击已经成功的证据。在记录的 1,107 次变体尝试中，有 607 次形成了经过筛选后的结果集：其中 558 个请求被 WAF 拦截，49 项发现被认为与进一步的修复工作相关。

人工审查仍是最终的验证环节。审查人员会检查请求是否真正到达目标、是否仍具有恶意性、是否明确未被拦截、是否属于 WAF 的职责范围，以及能否安全复现。保留下来的案例随后会被重新执行，并作为修改规则、规范化处理或其他缓解措施的候选项进行评估。这项工作最终促成了 Cloudflare 托管规则集的三项变更：新增两项检测规则“SSRF - Obfuscated Host”和“SSRF - Restricted Protocol”，并改进了现有的“SSRF - Cloud”规则。

影响分析

这是分析判断：该框架模式对中文开发者与从业者具有直接参考价值。首先，它证明了“AI 生成变体 + 框架控制执行 + 人工最终验证”的三层架构是当前 AI 渗透测试的可靠落地方式，AI 不直接控制请求执行，而是作为策略生成器，有效降低了失控风险。其次，该实践表明 AI 在安全测试中的核心价值不在于替代渗透测试工程师，而在于将概率性的探索转化为现有安全工作流可以使用的证据，大幅提升了漏洞发现的效率与覆盖面。对于正在建设安全团队的企业而言，这套模式可以作为自动化渗透测试系统设计的参考模板，特别是在需要规避直接访问目标系统内部信息、仅依赖外部响应进行黑盒测试的场景中。

适用边界

该结论在需要白盒或灰盒测试的场景下不适用。因为模型无法访问 WAF 规则、源代码或内部安全信号，其能力完全依赖于外部 HTTP 响应，对于需要结合源代码分析、内部架构理解或特定业务逻辑验证的漏洞类型，该框架无法直接覆盖。此外，49 项发现中 48 项集中于命令注入和 SSRF，表明该框架在特定漏洞类型上效果显著，但不能推断其在逻辑漏洞、业务流缺陷等其他类别中同样高效。

孤本观察

这是基于本文事实的编辑判断：Cloudflare 将 AI 渗透测试的核心价值定位为“将概率性探索转化为现有安全工作流可以使用的证据”，这一表述精准揭示了当前 AI 安全测试的瓶颈——不是模型不够聪明，而是缺乏将模型输出转化为可操作工程动作的标准化验证管线。

来源：InfoQ 中文 AI