Cloudflare anunció un nuevo marco de seguridad de aplicaciones destinado a abordar un entorno en el que el software, los ataques y el tráfico cambian debido a la inteligencia artificial. La idea central es vincular cuatro funciones que a menudo se gestionaban por separado: descubrir y priorizar riesgos, gestionar el acceso y el comportamiento de los agentes, proteger las aplicaciones durante la ejecución y, posteriormente, investigar, responder y convertir los resultados de los incidentes en controles más sólidos.
La iniciativa llega tras un incidente citado por la empresa que afectó a partes de la infraestructura de OpenAI y al entorno de producción de Hugging Face. Según el artículo, en menos de 13 horas los agentes pasaron de ejecutar código en un trabajador de Hugging Face a obtener privilegios administrativos en varios clústeres, mientras que los indicios de actividad se extendieron de mayo a julio e incluyeron la creación de un panel de mensajes no autorizado y el análisis de la red interna. Cloudflare considera que el problema no fue la capacidad de la inteligencia artificial para explotar vulnerabilidades en sí misma, sino su capacidad para probar continuamente múltiples rutas, compartir descubrimientos y vincular rápidamente vulnerabilidades, credenciales y permisos de forma automatizada.
¿Qué cambia en el modelo de protección?
Cloudflare impulsa un sistema continuo en lugar de un conjunto de herramientas que espera a que cada vulnerabilidad se descubra por separado. El marco se basa en combinar información sobre amenazas a gran escala con el contexto local de la aplicación, como el código publicado, las rutas expuestas, los patrones de tráfico legítimos y las identidades que ejecutan las solicitudes. La empresa afirma que su presencia como proxy inverso permite convertir estas señales directamente en políticas de protección.
En la fase de descubrimiento, el servicio Vulnerability Discovery and Remediation, actualmente disponible mediante acceso anticipado, relaciona los resultados del análisis del código con el tráfico de producción para determinar si la ruta afectada está activa y cuánto tráfico recibe, con la posibilidad de desplegar mitigaciones mediante un firewall de aplicaciones web mientras se corrige el código. Cloudflare también está desarrollando la capacidad Adaptive Security para realizar pruebas de penetración periódicas en las URL que especifican los clientes, utilizando agentes respaldados por modelos lingüísticos para buscar vulnerabilidades accesibles y explotables.
Gestionar el tráfico de los agentes en lugar de limitarse a clasificarlo automáticamente
La empresa afirma que ya no basta con distinguir entre humanos y bots, porque una solicitud automatizada puede ser un rastreo malicioso, un servicio de búsqueda o un agente que compra en nombre de un cliente. Por ello, Cloudflare separa identidad, confianza y riesgo. Botbase ofrece un directorio de entidades automatizadas registradas, mientras que la plataforma evalúa el historial de comportamiento de la entidad, los cambios en el sitio y la identidad, así como los patrones de solicitudes.
Precursor añade señales del lado del cliente y de la sesión, como el ritmo de escritura, el movimiento del ratón y la secuencia de navegación. Adaptive Intelligence también reúne señales de red, comportamiento e historial en un modelo probabilístico actualizable, con la posibilidad de utilizar resultados como los reembolsos y las transacciones exitosas para mejorar las decisiones futuras.
Protección durante la ejecución y respuesta
Cloudflare también anunció Application Profiles, que aprende la estructura de las aplicaciones web y las API y detecta solicitudes que no son compatibles con ella, lo que ayuda a los equipos a identificar los puntos finales que requieren una auditoría más exhaustiva. La empresa utiliza modelos avanzados para probar el firewall WAF en busca de técnicas de evasión, mientras que Attack Score permite detectar cambios en los ataques y técnicas de ocultación que podrían utilizar los modelos lingüísticos. La protección también incluye aplicaciones de inteligencia artificial, incluidos los ataques de inyección de comandos y filtración de datos, además de herramientas contra el abuso de la lógica empresarial y la toma de control de cuentas.
Cloudflare también amplía gratuitamente a todas las cuentas de Cloudflare la disponibilidad de Threat Events Platform, de Cloudforce One, después de que la protección basada en información sobre amenazas estuviera disponible para los clientes de Cloudforce One. La empresa trabaja en una plataforma para operaciones de seguridad que vincula registros, alertas y contexto del cliente, y luego utiliza agentes para detectar correlaciones y proponer acciones como limitar la tasa, modificar reglas del WAF o aplicar protección contra DDoS, siempre con aprobación humana para las mitigaciones.
¿Por qué importa este anuncio?
El valor práctico de la propuesta no reside únicamente en añadir una nueva herramienta de análisis, sino en intentar vincular la vulnerabilidad con el tráfico y con lo que sucede posteriormente dentro del entorno. Esto es importante porque el incidente citado por Cloudflare mostró que las alertas separadas pueden revelar partes de una misma campaña sin mostrar su secuencia completa. Sin embargo, algunas capacidades aún están en desarrollo o en acceso anticipado, y las recomendaciones de los agentes de operaciones de seguridad requieren aprobación humana según el artículo. Por tanto, el anuncio por sí solo no demuestra que el marco vaya a impedir campañas complejas, pero define una dirección práctica hacia la vinculación del descubrimiento, la ejecución y la investigación, en lugar de depender de la corrección o de una alerta aislada.