Cloudflare、OpenAIのDaybreakとCodexで脆弱性発見から防御までを連携

TL;DR

Cloudflareは、Daybreakを通じてアクセスするOpenAIモデルと、自社のグローバルネットワークおよび脅威コンテキストを組み合わせ、Cloudflare Managed Defenseを通じて提供される早期アクセスサービスである脆弱性発見と修復を強化しています。このサービスは、顧客が承認したコードを調査し、パッチとWebアプリケーションファイアウォールルールを提案し、最終的な決定は顧客に委ねます。また、OpenAIの投稿によると、Cloudflareのソフトウェア開発者の100%がCodexを使用しています。

発表内容

OpenAIは、Cloudflareがセキュリティ分析とソフトウェアエンジニアリングという2つの異なる分野でOpenAIモデルをどのように使用しているかを説明するカスタマーストーリーを公開しました。

セキュリティ: Cloudflareの脆弱性発見と修復サービスは、Daybreakを通じてアクセスするOpenAIモデルを使用してコードを調査し、潜在的な脆弱性を評価します。その後、Cloudflareはライブトラフィックデータ、セキュリティシグナル、検証を追加して、調査結果に優先順位を付け、顧客がレビューできるように、推奨される緩和策とパッチを準備します。
エンジニアリング: Codexは、Cloudflareのエンジニアリング組織全体におけるOpenAIの役割を拡張し、開発者はこれを使用して成果を高め、コード品質を向上させています。

このサービスは、Cloudflare Managed Defenseを通じて提供される早期アクセス提供として説明されています。Cloudflareは世界最大級のネットワークを運営し、ウェブトラフィックの約20%をプロキシしており、これが同社がセキュリティワークフローにもたらすコンテキストです。

脆弱性ワークフローが発見から防御までをどうつなぐか

Cloudflareが掲げる目標は、ソースコードの脆弱性を本番環境で実際に起きていることにつなげることです。このサービスは、影響を受けるルートがアクティブかどうか、不審なトラフィックを受信しているかどうか、既存のセキュリティ制御がすでに保護しているかどうかといった質問に答えます。

投稿によると、パイプラインは次のように機能します：

Daybreakを通じてアクセスするOpenAIモデルが、顧客が承認したコードを調査し、潜在的な脆弱性を特定し、各調査結果を裏付ける証拠を確認します。
Cloudflareはライブトラフィックデータとセキュリティシグナルを追加して、調査結果に優先順位を付けます。
このサービスは、推奨されるコードパッチと、必要に応じてカスタムWebアプリケーションファイアウォールルールを準備し、開発者が修正をレビューしている間の露出を減らします。
Cloudflareはこれらの提案に対して自動チェックを実行し、顧客と共有する前に自社チームがレビューします。
顧客は、どの変更を実装するかの制御を保持します。

記載されている顧客へのメリットは、脆弱性の特定から影響を受けるアプリケーションの保護までの明確な経路です：脆弱性に優先順位を付けるための証拠、露出を減らすための推奨エッジ保護、レビューするためのコード修正です。

Cloudflareの収益担当プレジデントであるMark Anderson氏は、この問題をデータ不足ではなくアナリストのキャパシティの観点で捉えています：

「従来のセキュリティチームには、有用なデータが大量にあります。ただ、それを処理する人材と時間がないだけです。」

Cloudflareのエンジニアリング組織全体でのCodex使用

OpenAIの投稿では、CodexがCloudflareのエンジニアリング組織内で広く使用されていると述べています。Anderson氏は、その使用を開発者の生産性向上、コード品質の改善、開発中に導入されるバグの削減に関連付けています。

「Cloudflareでは、会社の3分の1が当社プラットフォーム向けのサービスと機能を構築するソフトウェア開発者であり、その100%がCodexを使用して成果を高め、より良いコードを提供しています。」 —Mark Anderson、Cloudflare収益担当プレジデント

投稿では、その生産性の変化の具体的な例を1つ挙げています。Anderson氏は、チームが延期していた再構築について説明し、「人材がいなかったため、構築を先延ばしにしていました」と述べています。Codexが開発者の生産性を拡大することで、質問は「これを引き受けられるか？」から「なぜやらないのか？」に変わると彼は言います。

Anderson氏は、この作業には数ヶ月の順序立てと「おそらく10倍の開発者」が必要だったと見積もっています。代わりに、Cloudflareの4人の開発者チームがその構築に取り組みました：

「3日で構築し、展開してテストし、トークンに1,100ドルを費やしました。」 —Mark Anderson、Cloudflare収益担当プレジデント

人間の判断の枠組み

ストーリーの両方の部分は、エンジニアリングとセキュリティ作業のどこに自動化が属するかについての議論として提示されています。Anderson氏は、分業を次のように説明しています：

「DaybreakとCodexが提供する自動化の素晴らしさは、単純作業を機械に割り当て、人間が最も重要なエンジニアリングとセキュリティの決定に判断を行使できることです。」

彼はその考えをプロセス設計に拡張し、AIを日常のエンジニアリングの一部にすることは「機械を念頭に置いて内部プロセスを再構築し、それを別個の要素としてではなく、ビルドプロセスに統合されたものとして扱うこと」を意味すると述べています。

投稿が明記していることと明記していないこと

ソースで明記されているもの： サービス名（脆弱性発見と修復）、その提供チャネル（Cloudflare Managed Defenseを通じた早期アクセス）、DaybreakがOpenAIモデルへのアクセス経路としての役割、Cloudflareのエンジニアリング組織におけるCodexの役割、100%の開発者採用率、4人の開発者による3日間の再構築、1,100ドルのトークン費用。

ソースで明記されていないもの： Daybreakの背後にある特定のOpenAIモデル名やバージョン、サービスの価格や一般提供日、早期アクセスプログラムの顧客数、測定された検出または修復のベンチマーク。投稿では、このサービスがいくつの脆弱性を発見または修正したかは述べられていません。

これが重要な理由

この投稿は、同じモデルアクセスレイヤーがセキュリティ問題の2つの側面、すなわちコードの脆弱性の発見と実行中のアプリケーションの防御にどのように役立つかを示すパターンを説明しています。Cloudflareの貢献は、本番コンテキスト（ライブトラフィック、セキュリティシグナル、検証）をモデル駆動のコード調査の上に重ね、顧客に届く前に自動チェックと人間のレビューを行うことです。

2つ目のパターンは、技術的というより組織的です。Cloudflareの説明では、人材不足で以前は延期していた4人の開発者による3日間の再構築が、エンジニアリングコストの削減が既存の作業の速度だけでなく、どのプロジェクトが試みられるかを変える証拠として提示されています。