Cloudflare 用前沿 AI 模型对自家 WAF 做自适应测试

用途与做法

Cloudflare 官方博客（发布时间 2026-09-29）介绍了一次自适应 AI 驱动的 WAF 测试。其出发点是：大模型在攻击载荷上的强项不是“更懂漏洞”，而是能比人更快地迭代和变异载荷，并依据实时响应切换技术，例如更换编码、把同一载荷放到 HTTP 请求的不同位置。

测试采用动态方式，让模型扮演攻击者，但模型看不到源码、看不到 WAF 规则，只能看到被选定的 HTTP 响应数据。系统从已知利用载荷出发，改变编码或投递位置后重发，再根据响应决定下一个变体。每次循环包含两次模型调用：一次提出下一个变体，一次复核请求上下文、响应状态、部分响应头和响应体。请求的发送由代码控制而非模型直接发出，会检查目标主机是否在白名单内、禁用重定向、记录尝试并限制次数。未被拦截的请求只作为人工复核的线索，不等于确认的漏洞。

测试规模与结果

主要测试在经授权的客户预发布环境上进行，覆盖跨站脚本、SQL 注入、命令注入、SSRF、路径遍历/LFI、Log4j 六类攻击。共运行 45 个场景，记录 1107 次尝试；经人工去重并剔除格式错误、良性、越界与无法复现的结果后，得到 607 项计入结果：558 次被拦截请求和 49 项与 WAF 相关的发现，其中 48 项集中在命令注入和 SSRF。XSS、LFI、SQLi、Log4j 的覆盖接近完整。

博文提到，两版同族模型产生了不同的变体，但底层问题在两次运行中都出现；在单场景内增加尝试次数并不总能发现更多，扩大起始请求、攻击类别和输入位置的覆盖面更有效。相关发现已促成 Cloudflare Managed Ruleset 的三处变化：7 月 21 日版本新增 SSRF - Obfuscated Host 与 SSRF - Restricted Protocol 检测，并改进既有的 SSRF - Cloud 规则。

限制与待核实事项

• 结果仅描述该测试环境中整体配置下的 WAF 边界表现，不代表任何单条规则或检测机制的效果。
• 模型给出的“假设”只是它自称尝试的方向，并非逐字记录，也不能证明解释正确；博文所举的某次跳过拦截的案例只是待排查线索。
• 该实验面向特定授权客户环境，官方建议客户无需复现，可用日志模式先观察托管规则匹配情况再切到拦截。
• 博文预告后续将发布白盒方式（模型同时了解应用漏洞与 WAF 规则）的测试结果，尚未给出。