本ドキュメントの目的は、Cloudflare の AI Security for Apps が Cloudflare WAF を補完し、AI 搭載アプリケーション向けの脅威検知・緩和レイヤーを提供する仕組みを示すことです。あわせて、ユースケース、具体的な AI 脅威、アーキテクチャについても説明します。
本ドキュメントは、AI セキュリティの必要性と、AI 搭載アプリケーションの保護方法を理解したい IT / セキュリティ担当者向けです。Cloudflare の AI Security for Apps が Cloudflare WAF を補完し、AI 脅威の検知と緩和を行うセキュリティレイヤーを提供する点を説明します。ユースケース、具体的な AI 脅威、アーキテクチャとトラフィックフローも扱います。主に、組織の Web アプリケーションセキュリティプログラムを担う最高情報セキュリティ責任者（CSO / CISO）とその直属チームを想定しています。
対象は AI 搭載アプリケーションのセキュリティです。Cloudflare 全体のアーキテクチャや、Application Performance and Security、Network Services、Zero Trust / SASE、Developer Services の幅については、アーキテクチャセンター を参照してください。
Cloudflare の基礎を固めるには、次のリソースをおすすめします。
-
Ebook: How Cloudflare strengthens security everywhere you do business ↗（10 分）
-
Cloudflare の基盤となるセキュリティアーキテクチャと基本サービスは、Cloudflare Security Architecture を参照してください。
-
AI Security for Apps の解説とデモは、Cloudflare AI Security Suite: Protect AI-powered apps with AI Security for Apps ↗（16 分）を参照してください。
AI は幅広い業界でイノベーションを加速しています。急速な革新では、セキュリティが後回しになり、攻撃面が十分に把握されないことがあります。この環境では、ユーザーが意図的または意図せず脆弱性、問題、機密情報を露呈し、企業に有害な結果や法的責任をもたらす可能性があります。
たとえば、AI を使うアプリケーションは、従来の決定論的なアプリケーションより確率的です。プロンプトインジェクション攻撃を正規表現で特定してブロックすることはできません。攻撃の言い回しが多すぎ、モデルの応答も予測しにくいためです。代わりに、やり取りの文脈と意図を理解し、それに応じた緩和を行う別の LLM で AI モデルを守る必要があります。適切な対策がなければ、新たな脆弱性、脅威、評判リスク、さらには法的責任にさらされます。
Cloudflare AI Security Suite では、従業員による生成 AI の利用保護、AI エージェントのガバナンス、AI 搭載アプリケーションの保護、AI を使った安全な開発など、エンタープライズの AI セキュリティニーズを包括的にカバーします。
企業は、従業員と顧客を AI 固有の脅威から守る必要があります。人から AI へのアクセス、AI から社内および第三者リソースへのアクセスの両方です。統一したポリシーレイヤーを実装するには、AI 向けの包括的なセキュリティを提供できるベンダーを選ぶことが重要です。運用の簡素化と製品横断のイノベーションも得られます。
Cloudflare は WAF を含むセキュリティ製品全体で、多層の検知と緩和を提供します。AI Security for Apps は、AI 脅威に特化した検知・緩和レイヤーを WAF に追加します。
AI Security for Apps は、大規模言語モデル（LLM）を使うサービスを不正利用から守れます。モデル非依存の検知により、現在は PII 漏洩、不安全なトピック、プロンプトインジェクション、ジェイルブレイクなど複数の AI 脅威を検知・緩和します。
AI Security for Apps の主な機能は 3 つです。LLM Discovery、可視性、保護と緩和です。図 3 に示します。
Cloudflare は自社ネットワーク上でも AI 推論を実行 ↗しており、世界人口の約 95% に約 50 ミリ秒以内で到達できます。モデルとエンドユーザーの近くに AI セキュリティを置くことで、攻撃を早期に特定し、エンドユーザーと顧客のモデルの両方を不正利用と攻撃から守れます。
- ディープラーニング: 人間の学習に似た方法で、人工ニューラルネットワークを使ってデータから学習する機械学習です。
- LLM（大規模言語モデル）: データセットの理解と生成など特定目的向けの AI モデルです。ディープラーニングに大量のデータを使います。
- LLM または AI Discovery: LLM または AI エンドポイントを自動で発見する処理です。
- 生成 AI: 既存データに基づくディープラーニングから新しいコンテンツを作る AI です。
- AI 推論: 学習済みモデルが知識を適用する、AI の運用段階です。
AI Security for Apps は Cloudflare のリバースプロキシアーキテクチャ を使い、ほかのアプリケーションパフォーマンスおよびセキュリティ機能とインラインに配置されます。アプリの配置場所と AI モデルには依存しません。WAF を補完し、大規模言語モデル（LLM）を使う AI 搭載アプリケーションと API を守る、AI 固有の脅威検知と緩和を追加します。たとえば生成 AI アプリケーションには、この種の AI 固有セキュリティが必要です。アプリケーションと LLM は Cloudflare、第三者クラウド、オンプレミスのいずれにも置けます。
次の利点があります。
-
運用の簡素化: WAF ポリシー作成と同じ運用モデルを続けられます。新しい概念、操作、ダッシュボードを学ぶ必要はありません。
-
統一されたセキュリティポリシーダッシュボード: すべてのセキュリティポリシーが同じ運用モデルに従い、1 か所で更新・適用できます。
-
多層防御: AI Security for Apps はほかのパフォーマンスおよびセキュリティ製品とインラインのため、製品横断の多層防御の恩恵を受け、Cloudflare プラットフォーム全体でアプリと API のエンドツーエンドのセキュリティ態勢を整えられます。
-
製品横断のイノベーション: API Security による自動 LLM Discovery など、製品横断のイノベーションと統合の恩恵を受けられます。
-
クライアントリクエストは anycast により最寄りの Cloudflare データセンターへ送られ、低レイテンシを確保します。LLM Discovery により、LLM 固有のヒューリスティックで LLM または AI トラフィックを検知します。発見した LLM エンドポイントには自動で
cf-llmラベルが付きます。 -
PII 漏洩や不安全なコンテンツなど、AI 固有の脅威検知は、セキュリティポリシーの有無に関係なく、LLM 固有エンドポイントへのすべてのトラフィックで実行されます。分析は Security Analytics で確認でき、疑わしい活動は Security Overview にも上がります。
-
ユーザーが設定した緩和ポリシーは、発見済みのすべての LLM エンドポイントに自動適用されます。必要に応じて、さまざまなリクエスト属性とヘッダーに基づき、ポリシーを適用する対象を選べます。
-
機密データ保護はレスポンス上の機密データを記録できます。受信トラフィックに AI 固有のセキュリティポリシーを適用すると、モデルが PII や不安全なトピックを学習するのを防ぎ、将来の PII 漏洩も抑えられます。
AI Security for Apps のアーキテクチャは、性能を犠牲にせずセキュリティを提供します。すべての AI 脅威検知は、検知対象の脅威に特化した LLM モデルを使い並列実行 ↗します。逐次ではなく並列のため、検知を追加してもレイテンシへの影響は大きくありません。この機能には Cloudflare 自身の AI 推論サービスである Workers AI を使い ↗、性能とセキュリティを最大化します。
anycast を使うリバースプロキシ、インラインセキュリティ、AI 固有脅威モデルによる並列処理により、第三者コンポーネントや AI セキュリティラッパー、ヘアピン構成に依存する他社ソリューションより高い性能を実現します。
Cloudflare はヒューリスティック検査で LLM トラフィックと対応エンドポイントを特定します。
- LLM 固有のヒューリスティックを使います。
- 既知の誤検知（数百万リクエストの分析から）を除外します。
たとえば、LLM エンドポイントの多くは応答に 1 秒超かかり、ほかのエンドポイントの大半は 1 秒未満です。LLM エンドポイントの 80% は実効ビットレートが 4 KB/s より遅い ↗ことが分かっています。
Cloudflare のグローバルネットワーク上のトラフィックデータから、このビットレートで動くほかのパターンもあることが分かり、それらを誤検知として除外します。例: 1) GraphQL エンドポイント、2) デバイスのハートビートやヘルスチェック、3) ジェネレーター（QR コード、ワンタイムパスワード、請求書など）
LLM エンドポイントを特定すると、Cloudflare API セキュリティ機能が自動で cf-llm ラベルを付けます。分析での絞り込みと、すべての LLM エンドポイントへのポリシー適用が容易になります。
次の図は、LLM Discovery と AI 脅威緩和の全体です。エンドポイント発見後、そのエンドポイントで検知が自動実行されます。緩和は、AI Security for Apps が提供する AI 固有のコンテキストとフィールドを使った WAF セキュリティポリシーで行います。
Cloudflare は特定パターンを探し、分析により受信リクエスト本文内の LLM プロンプトを検知・抽出します。検知は受信トラフィックで実行されます。現在は JSON コンテンツタイプ（application/json）のリクエストのみです。スキャン結果に基づき、既存の Security for AI Apps フィールド ↗ を埋めます。Security Analytics ダッシュボードで cf-llm マネージドエンドポイントラベルで絞り込み、トラフィック上の検知結果を確認できます。
埋められたフィールドは、セキュリティルール式（カスタムルールとレート制限ルール）でも使え、PII 漏洩などの AI 固有脅威からアプリケーションを守れます。
AI Security for Apps は、重要な AI セキュリティ脅威の検知と緩和を提供します。緩和対象は、次の表に示す OWASP Top 10 for LLM Applications ↗ のリスクに対応します。
有効化すると、AI セキュリティ検知は受信トラフィックで実行され、モデルを悪用しようとする LLM プロンプトを探します。セキュリティポリシーは WAF カスタムルールとレート制限ルールの両方で作成できます。
電話番号、メールアドレス、社会保障番号、クレジットカード番号など、個人を特定できる情報（PII）の漏洩を防ぎます。
AI Security for Apps は、リクエスト内の PII 送信と、そのデータでモデルが学習し、以降のリクエストで PII が露出することを防ぎます。
暴力犯罪に関連しうるプロンプトなど、不安全または有害なプロンプトを検知し、モデレーションします。
AI Security for Apps は、有害なリクエストが AI モデルに届くのを防ぎ、モデルが学習して有害と見なされうる応答を返すこと、ひいては企業が責任を問われる可能性を抑えます。
開発者が指定した LLM の意図した動作を意図的に覆すプロンプトを検知します。
AI Security for Apps は、操作、悪用、意図しない出力の引き出しを検知します。LLM エンドポイントへルーティングされる各リクエストに、プロンプトインジェクションまたはジェイルブレイクの可能性を示すスコアが付きます。スコアが 20 未満はプロンプトインジェクション攻撃を意味します。
AI Security for Apps は常時オンの検知と、セキュリティポリシーの有無に関係なく、すべての AI セキュリティ脅威への継続的な可視性を分析で提供します。LLM Discovery でエンドポイントが発見されると、そのエンドポイントへのトラフィックで全検知が走り、検知された攻撃は記録されます。次の図がその流れです。
疑わしい活動は Security Overview と Security Analytics に素早く上がり、確認と対応がしやすくなります。
強力な分析により、PII 漏洩や不安全なトピックなどの脅威へすぐジャンプし、脅威内のカテゴリでさらに絞り込めます。PII 漏洩 と 不安全なトピック の両方にカテゴリがあります。下の例では、PII 検知済みログをさらに Credit Card カテゴリで絞り込んでいます。
発見済みエンドポイントでは、Endpoints タブおよび Security > Web assets で、次のように cf-llm ラベルで LLM 固有エンドポイントを絞り込めます。
ここでは Cloudflare プラットフォームと製品横断統合の力がよく分かります。発見した LLM エンドポイントに cf-llm が付くだけでなく、Cloudflare API Security が cf-risk-missing-auth などのマネージドリスクラベルも自動で付与し、そのエンドポイントに関連するリスクを示します。
プロンプトロギングでリクエスト内の正確なプロンプトも記録できます。リクエスト本文を含む詳細は Security Analytics から確認できます。下図では、設定した対応する秘密鍵を持つユーザーだけがペイロードを復号して閲覧できます。
復号後は、正確な LLM プロンプトと検知された具体的なカテゴリを確認できます。
AI は強力で、組織は急速に導入を進めていますが、保護がなければリスクがあります。Cloudflare は AI Security を組み込んだ多層防御で、AI 搭載アプリケーションを守ります。
AI Security for Apps は WAF を補完し、同じ運用モデルで PII 漏洩、不安全なコンテンツ、プロンプトインジェクション / ジェイルブレイクを検知・緩和できます。さらに、強力な LLM Discovery、分析、プロンプトロギングにより、AI 搭載アプリケーションを理解し、適切な対策を取りやすくします。