Cloudflare, güvenlik uyarıları triajı için çok ajanlı AI harnesini devreye soktu

Neden tek ajan yeterli değildi

Cloudflare’ın ilk prototipi tüm araştırmayı tek bir genel amaçlı AI ajanına yüklemişti. Bu ajan yararlı analizler sundu, ancak aynı zamanda kanıtların doğrulamadığı iddialar da üretti. Telemetri, detektör tanımları, politikalar ve güvenlik gözlemleri tek bir istemde birleşince farklı rolleri karıştırdı. Üç sorun tekrarlandı: bağlam otorite gibi davrandı, sınırlar aşıldı ve zaman aşımına uğrayan bir isteğin sonucu, doğrulanmış ancak bulunamamış bir sonuçtan ayırt edilemediği için başarısızlıklar kayboldu.

Önce gözlem, sonra sonuçlar

Harnesin ön yarısı AI ajanları içermez. Deterministik kod, sürümlü API çağrılarıyla sabit gözlem iş akışlarını yürütür, müşteri kimliğini, tespit geçmişini, trafik temel metriklerini, uygulama sonuçlarını ve ağ gözlemlerini toplar. Her veri kaynağı, sürüm ve zaman damgasıyla birlikte saklanır ve aynı anlık görüntü yeniden çalıştırılabilir; böylece ajanlar arasındaki farklar arama değil, yorumlamadan doğar.

Cloudflare’ın Workers AI üzerinde çalışan açık kaynaklı çözüm modeli Clef, her uyarıyı kendi gözlem verilerine göre değerlendirir. Yüksek yanlış pozitif olasılığına sahip uyarılar tamamen atlanır; bilinen yüksek hacimli gürültü ise hacmi düşer düşmez pasif olarak sınıflandırılır.

Uzman ajanlar ve kanıt doğrulama

Koordinatör ajan dört uzmanı paralel olarak başlatır: trafik analizi, müşteri bağlamı, küresel telemetri ve güvenlik gözlemi. Sentez ajanı onların tipize edilmiş sonuçlarını tek bir öneride birleştirir; yeni kanıtlar aramaz veya doğrulanmış sözlüğün ötesinde sınıflandırma seçmez. Uzmanlar, sürümlü kanıt paketindeki öğeleri belirtmelidir; uygulama kodu ise her alıntıyı doğrular. Clef, kanıtları yeniden değerlendirerek azaltılmış listeden saldırı sınıflandırmalarını ve yanıt önerilerini seçer.

Küresel telemetri yalnızca toplu olarak çalışır ve asla başka bir müşterinin kayıtlarını kullanmaz. Sistem eksik kanıtlar için üç durumu ayırır: doğrulanmamış, doğrulanmış ancak eşleşen sonuç olmayan ve var olmadığını doğrulayan doğrulanmış kanıt. Kanıt yetersiz olduğunda ne sınıflandırma ne de yanıt önerisi verilir.

Son karar analistlerde kalır

Managed Defense analistleri kararlar ve hafifletme önlemleri konusunda yine sorumludur. Öneri, istek hızı sınırlama kuralları, ayarlanmış WAF kuralları veya DDoS koruması değişiklikleri gibi düzeltmeler sunar. Cloudflare, sabit kuralların atlayabileceği desenler için trafiği izleyen Custom Managed düzeyini ve sürekli çalışan AI ajanlarını planlıyor. Erken beta, Managed Defense’te ilgili uygulamanın güvenlik uyarıları ve olayları için kullanılabilir.

Kaynaklar: Cloudflare