Cloudflare と OpenAI による、脆弱性の発見から防御への連携

Cloudflare は世界最大級のネットワークを運用し、ウェブトラフィックの約 20% を中継しています。多くの組織がこのネットワークを利用して、アプリケーションやサービスの安全性、速度、信頼性を維持しています。

Cloudflare は、Cloudflare Managed Defense を通じて提供する早期アクセス版サービス「脆弱性の発見と修復⁠（新しいウィンドウで開く）」で、Daybreak 経由で利用する OpenAI のモデルと、自社のグローバルネットワークおよび脅威に関する状況情報を組み合わせています。これらのモデルがコードを調査し、潜在的な脆弱性を評価します。Cloudflare は、リアルタイムのトラフィックデータやセキュリティシグナル、検証結果を加えて検出事項の優先順位を付け、お客様が確認できる緩和策やパッチの案を用意します。

Codex によって、OpenAI の活用は Cloudflare の開発組織全体に広がっています。開発者は Codex を使い、生産性とコード品質を向上させています。

セキュリティチームには、脆弱性情報やアラートが絶えず寄せられます。そのデータを手作業で精査するには時間と労力がかかり、重大な問題の調査や対処に割ける余力が減ってしまいます。「従来のセキュリティチームには、有用なデータが大量にあります。ただ、それを扱う人手と時間が足りないのです」と Anderson 氏は言います。

Cloudflare のアプローチは、ソースコードの脆弱性を、本番環境で起きていることと結び付けるものです。影響を受けるルートは稼働していますか？不審なトラフィックが届いていますか？既存のセキュリティ対策ですでに保護されていますか？こうしたシグナルは、何から調査すべきかをセキュリティチームが判断するための、より詳しい状況情報となります。

Cloudflare は「脆弱性の発見と修復⁠（新しいウィンドウで開く）」を通じて、Daybreak 経由で利用する OpenAI のモデルでお客様が許可したコードを調査し、潜在的な脆弱性を特定して、各検出事項を裏付ける証拠を確認します。このサービスはコードのパッチ案を用意し、必要に応じてカスタムのウェブアプリケーションファイアウォールルールも作成します。これにより、開発者が修正内容を確認している間も、攻撃にさらされるリスクを軽減します。Cloudflare はこれらの提案に対して自動チェックを実行し、担当チームがレビューしたうえでお客様に共有します。

Cloudflare のお客様にとっての利点は、脆弱性の特定から、影響を受けるアプリケーションの保護までの道筋が明確になることです。このサービスは、脆弱性の優先順位を付けるための証拠、攻撃リスクを軽減するエッジでの保護策の提案、レビュー用のコード修正を提供します。どの変更を実施するかは、引き続きお客様が決定します。

アプリケーションの保護は、チームが作成し、保守するコードにも左右されます。Anderson 氏は、Cloudflare での Codex の活用が、開発者の生産性向上、コード品質の改善、開発時に生じるバグの削減につながっていると説明します。

Anderson 氏は、チームが先送りしていた再構築に最近取り組んだ事例を紹介しています。「人手が足りなかったため、開発を先送りしていました」と同氏は言います。Codex によって開発者の生産性が高まると、問いは「取り組めるだろうか？」から「取り組まない理由はあるだろうか？」へと変わります。

Anderson 氏の見積もりでは、この作業には数か月にわたる段階的な開発と、「おそらく 10 倍の開発者」が必要だったといいます。Codex を活用することで、Cloudflare の開発者 4 人のチームが開発を担いました。「3 日で構築し、展開してテストしました。トークンにかかった費用は 1,100 ドルでした」と同氏は言います。

Anderson 氏にとって、日々の開発に AI を取り入れるとは、「機械の活用を前提に、技術開発の社内プロセスを組み直すことです。機械を独立した要素として扱うのではなく、開発プロセスに組み込みます」。

Cloudflare の早期アクセス版セキュリティサービスは、コード調査を、本番環境の証拠やお客様が確認できる対策案と結び付けることで、このアプローチを実践しています。目指しているのは、変更の決定権をお客様に残しながら、セキュリティチームが脆弱性の優先順位を判断し、影響を受けるアプリケーションの保護と修正の方法を決めるために必要な情報を提供することです。