أجرت Cloudflare تجربة حاولت فيها نماذج ذكاء اصطناعي كبيرة اختراق جدار تطبيقات الويب (WAF) التابع لها. بدأت النماذج من حمولات كان الجدار يحظرها بالفعل، ثم أدخلت عليها تعديلات — كتغيير الترميز أو موضع الحمولة أو طريقة إرسالها — استنادًا إلى كيفية التعامل مع المحاولات السابقة. جرت العملية بأسلوب الصندوق الأسود؛ فلم تطّلع النماذج على مجموعة قواعد Cloudflare أو الإشارات الداخلية لديها.
نتائج الاختبار
أدار الاختبار إطار عمل برمجيًا بلغة Python، تولّى إنشاء طلبات HTTP والاحتفاظ بالحالة وفرض الحدود وجمع الردود، فيما اقترح الذكاء الاصطناعي التعديل التالي وقيّم النتيجة. وعلى امتداد 45 سيناريو، أنشأ النظام 1,107 محاولات تعديل. وبعد مراجعة بشرية أولية، اعتُبرت 49 نتيجة جديرة بمزيد من العمل، تعلّق 48 منها بحقن الأوامر أو تزوير الطلبات من جانب الخادم (SSRF). وأفضت التجربة إلى ثلاثة تعديلات على مجموعة القواعد المُدارة لدى Cloudflare: اكتشافان جديدان هما SSRF – Obfuscated Host وSSRF – Restricted Protocol، وتحسين قاعدة SSRF – Cloud الحالية.
كيف ينسجم هذا النهج مع أساليب أخرى
يشبه إعداد Cloudflare أطر اختبار أخرى تركّز على الأمن. إذ يربط إطار Mandiant Agentic Vulnerability Discovery Harness من Google بين وكلاء متخصصين لتحليل الشيفرات وتوليد الفرضيات والتحقق منها. كذلك تستخدم كل من Codex Security من OpenAI وPageBreak من Google نموذجًا ضمن حلقة الاختبار، مع تقييد التنفيذ بإحكام واشتراط مراجعة بشرية قبل تطبيق أي إصلاح.
لماذا يهم
بالنسبة إلى مالكي المواقع الذين يستخدمون Cloudflare، يعني الاختبار المدعوم بالذكاء الاصطناعي أن الجدار الناري بات يحظر مزيدًا من الحيل الملتوية المرتبطة بـSSRF التي كانت تفلت منه سابقًا. ويُظهر ذلك أن الاختبارات الآلية الموجّهة بالنماذج قادرة على كشف تنويعات دقيقة للهجمات من دون كشف مجموعة القواعد الأساسية. لكن القرار النهائي يبقى للمحللين البشر، لذا قد تعتمد سرعة توفير وسائل حماية جديدة على قدرتهم على المراجعة.
