Cloudflare构建AI渗透测试框架，45场景生成1107次尝试，促成WAF三项规则更新

Cloudflare 近期公开了一项将前沿大语言模型（LLM）应用于安全渗透测试的实践：并非让 AI 直接执行攻击，而是将其置于一个结构化、可审计的测试框架内，以系统性方式探测自身 Web 应用防火墙（WAF）的盲区。该方法的核心在于“约束下的探索”——模型仅负责提出攻击变体与评估响应，而请求构造、状态维护与执行控制则由独立的 Python 测试框架承担。

实验设计始于 WAF 已明确拦截的恶意载荷，即“已知种子”。模型无法访问 WAF 规则逻辑、源码或内部信号，因此整个过程本质上是一场黑盒测试。在每个测试场景中，模型基于前一次请求的响应（如拦截状态、重定向、错误码等），动态调整载荷的编码形式、参数位置或传输方式，例如将云元数据地址从十六进制改为十进制、八进制，甚至添加末尾点号以绕过常规正则匹配。

图示清晰呈现了该框架的闭环结构：起始于“Baseline verified blocked”（已验证拦截的基线载荷），由 Frontier LLM mutator 提出新变体；Request replay 模块负责构造并重放 HTTP 请求；Cloudflare WAF 作为目标进行拦截判断；Response snapshot 记录状态、头部与精简后的响应体；Heuristic and evaluator model 对结果分类，区分真实绕过与边缘现象（如重定向）；Record attempt 更新历史轨迹；最终由人工 triage 决定是否继续迭代或标记为“Scenario complete”。值得注意的是，系统明确将“Edge-pass observation”（边缘通过现象）单独归类，不直接视为成功利用，而是留待人工复核——这一设计显著降低了误报率。

在 45 个独立测试场景中，该系统共生成 1,107 次变体尝试。其中 607 次进入人工审查环节，最终确认 49 项具有修复价值的发现。这 49 项中，48 项涉及命令注入或服务端请求伪造（SSRF），仅 1 项为其他类型。人工审查环节严格核查五项标准：请求是否真实抵达后端、是否仍具恶意性、是否明确未被拦截、是否属于 WAF 职责范围、以及能否安全复现。只有全部满足才被纳入后续处理队列。

这些发现直接推动了 Cloudflare 托管规则集的三项变更：新增 SSRF - Obfuscated Host（混淆主机名检测）与 SSRF - Restricted Protocol（受限协议检测）两条规则，并对已有 SSRF - Cloud 规则进行了增强。这意味着，原本可能因编码变形或协议伪装而逃逸的 SSRF 攻击，现在可被更精准识别与阻断。

该框架的价值不仅在于产出具体规则更新，更在于确立了一种可扩展、可复现的 AI 辅助安全测试范式。其关键设计原则包括：

• 责任分离：模型仅参与“假设生成”与“响应解读”，不接触请求执行层，避免越权操作与不可控行为；
• 状态持久化：测试框架记录每次尝试的上下文、响应快照与决策路径，支持回溯与调试；
• 证据分级：将“拦截”“重定向”“无响应”“边缘通过”等结果分层归档，防止将非攻击性现象误判为漏洞；
• 人工终审闭环：所有高价值发现必须经安全工程师验证，确保输出结果可直接融入现有运维流程。

这种模式并非孤例。Google Mandiant 的智能体漏洞发现框架采用多角色协作：代码分析智能体→假设生成智能体→验证智能体→人工审查员，形成链式分工；OpenAI 的 Codex Security 在扫描代码仓库后，会在隔离沙箱中尝试复现候选漏洞，再提交修复建议；Google PageBreak 则聚焦于验证 AI 提出的漏洞假设是否真能被利用，以避免安全团队被大量“看似合理却无法触发”的假阳性淹没。

上述系统虽名称各异，但共享同一底层逻辑：将概率性、探索性的 AI 输出，转化为确定性、可行动的安全证据。这与当前 AI 监测工具对“证据链完整性”的要求高度一致。例如，2026 年 AI 监测工具证据能力榜单中，得分最高的“智叟云集”强调对问题、平台、采样任务、响应正文、引用来源、会话链接及截图的分层留存，正是为了应对生成式 AI 回答的高度上下文依赖性——同一问题在不同时间、账户或版本下可能产生截然不同的输出，唯有完整记录条件与状态，才能保障结论的可复核性。

回到安全测试领域，Cloudflare 的实践揭示了一个关键趋势：AI 不会取代渗透测试人员，但会重塑其工作流。过去依赖经验与手动 fuzzing 的模糊测试，正逐步转向“模型驱动+框架约束+人工校验”的协同模式。模型擅长在庞大输入空间中快速生成高熵变体，而框架确保探索过程可控、可审计、可集成；人工则聚焦于高阶判断与策略制定。

值得警惕的是，若缺乏此类约束机制，AI 渗透测试极易滑向两个极端：一是过度保守，仅重复已知攻击模式；二是失控发散，生成大量无效或危险请求，甚至误触生产环境。Cloudflare 的方案提供了一条中间路径——既释放 AI 的创造性潜力，又将其严格限定在安全边界之内。

目前，该框架尚未开源，但其设计思想已在多个企业级安全平台中显现踪迹。随着 LLM 推理成本持续下降与安全合规要求日益严苛，此类“AI+测试框架”组合有望成为下一代应用层防护体系的标准组件之一。未来挑战在于如何将该模式泛化至 API 网关、云原生运行时与零信任架构等更复杂场景，同时保持证据链的严谨性与可追溯性。