Cloudflare 借助 OpenAI 的 Daybreak 和 Codex 将漏洞发现与防御相连
概要
Cloudflare 正在将通过各种方式接入的 OpenAI 模型与自身全球网络和威胁上下文相结合，为漏洞发现与修复服务提供支持，这是一项通过 Cloudflare Managed Defense 提供的早期访问服务。该服务会调查客户授权的代码，提出补丁和 Web 应用防火墙规则建议，并将最终决定权留给客户——根据 OpenAI 的博文，Cloudflare 的 100% 软件开发人员都在使用 Codex。
公告内容
OpenAI 发布了一篇客户案例，描述 Cloudflare 如何在两个不同领域使用 OpenAI 模型：安全分析和软件工程。
- 安全： Cloudflare 的漏洞发现与修复服务通过 Daybreak 访问 OpenAI 模型，用于调查代码并评估潜在漏洞。随后，Cloudflare 会加入实时流量数据、安全信号和验证，以确定优先级，并为客户审查准备拟议的缓解措施和补丁。
- 工程： Codex 将 OpenAI 在 Cloudflare 工程组织中的作用进一步扩展，开发人员使用它来提高产出和代码质量。
该服务被描述为通过 Cloudflare Managed Defense 提供的早期访问服务。Cloudflare 运营着全球最大的网络之一，代理着大约 20% 的网络流量，这也是公司在安全工作流中引入的上下文。
漏洞工作流如何将发现与防御相连
Cloudflare 所声称的目标是将源代码中的漏洞与实际生产环境中的情况联系起来。该服务会回答诸如受影响的路由是否活跃、是否在接收可疑流量、以及现有安全控制措施是否已对其提供保护等问题。
根据该博文，该流程如下：
- 通过 Daybreak 访问的 OpenAI 模型会调查客户授权的代码，识别潜在漏洞，并检查支持各项发现的证据。
- Cloudflare 会加入实时流量数据和安全信号，以确定发现的优先级。
- 该服务会准备拟议的代码补丁，并在适当情况下，准备自定义的 Web 应用防火墙规则，以减少暴露面，同时开发人员审查修复方案。
- Cloudflare 会运行自动化检查，并与客户分享之前由其自身团队进行审查。
- 客户保留选择实施哪些变更的控制权。
所声称的客户收益是，从识别漏洞到保护受影响应用有一条清晰路径：用于确定漏洞优先级的证据、用于减少暴露面的拟议边缘保护措施以及用于审查的代码修复。
Cloudflare 营收总裁 Mark Anderson 将问题描述为分析师能力的问题，而非数据稀缺：
“传统安全团队有大量有用的数据。他们只是缺少处理这些数据的人员和时间。”
Codex 在 Cloudflare 工程组织中的使用情况
OpenAI 的博文指出，Codex 在 Cloudflare 工程组织中被广泛使用。Anderson 将该使用与更高的开发人员生产力、更好的代码质量和开发过程中引入的缺陷减少联系起来。
“在 Cloudflare，我们公司三分之一的人员是软件开发人员，他们为我们的平台构建服务和功能，而他们 100% 都在使用 Codex 来提高产出并交付更好的代码。” —Mark Anderson，Cloudflare 营收总裁
该博文引用了一个体现这一生产力转变的具体例子。Anderson 描述了他们推迟的一次重建，说：“我们一直推迟构建，因为没有人手来完成它。”随着 Codex 提升开发人员生产力，他说问题从“我们能承担这个任务吗？”变成了“为什么不呢？”
Anderson 估计这项工作原本需要数月的排期和“大约 10 倍的开发人员”。相反，Cloudflare 的一个四人开发团队承担了这个构建：
“我们三天内完成了构建，部署并进行了测试，花费了 1,100 美元在令牌上。” —Mark Anderson，Cloudflare 营收总裁
人类判断的框架
故事的两个部分都被呈现为关于自动化在工程和安全工作中应处位置的论述。Anderson 这样描述分工：
“Daybreak 和 Codex 提供的自动化的美妙之处在于，你可以让机器去承担琐碎的工作，这样人类就能在最重要的工程和安全决策上运用他们的判断力。”
他将这一理念延伸到流程设计，称让 AI 成为日常工程的一部分意味着“重建内部流程，以便在构建技术时考虑到机器的因素，不是作为独立元素，而是作为集成到构建过程中的一部分。”
该博文明确说明了什么，未说明什么
来源中明确说明的内容： 服务名称（漏洞发现与修复）、其交付渠道（通过 Cloudflare Managed Defense 提供早期访问）、Daybreak 作为 OpenAI 模型访问路径的角色、Codex 在 Cloudflare 工程组织中的角色、100% 的开发人员采用率、由四名开发人员完成的三天重建、以及 1,100 美元的令牌花费。
来源中未明确说明的内容： 支撑 Daybreak 的具体 OpenAI 模型名称或版本、该服务的定价或普遍可用日期、早期访问计划中的客户数量，以及任何实测的检测或修复基准。该博文并未说明该服务已发现或修复了多少漏洞。
为何重要
该博文描述了一种模式，其中相同的模型访问层服务于安全问题的两个方面：发现代码中的漏洞并保护运行中的应用。Cloudflare 的贡献在于生产环境上下文——实时流量、安全信号和验证——叠加在模型驱动的代码调查之上，并在任何内容到达客户之前进行自动化检查和人工审查。
第二个模式是组织层面的，而非技术层面的。Cloudflare 描述的由四名开发人员在三天内完成重建，而此前因缺乏人力而推迟的案例，被提出作为证据，表明工程成本的降低不仅改变了已有工作完成的速度，还改变了哪些项目会得到尝试。