Das Problem: 4.000 Befunde, 78 davon kritisch
Cloudflare leitet die Ankündigung mit einem Szenario ein, das jedes Sicherheitsteam kennt: Ein Scanner meldet 4.000 neue Schwachstellen, darunter 78 kritische. Welche davon zuerst? Klassische Scanner liefern Risikowerte ohne Kontext. Ob eine betroffene Route jeden Tag Millionen Anfragen bekommt oder seit Monaten ungenutzt ist, wissen sie nicht.
Mit Vulnerability Discovery and Remediation will Cloudflare genau diese Lücke schließen. Der Dienst ist Teil von Cloudflare Managed Defense und kombiniert KI-gestützte Codeanalyse mit dem, was Cloudflare ohnehin sieht: Traffic, WAF-Ereignisse und Angriffsversuche.
So läuft die Analyse in fünf Schritten
- Kontext sammeln: Snapshots aus Web Assets und WAF zeigen aktive Routen, Anfragevolumen und jüngste Sicherheitsereignisse.
- Code analysieren: Modelle aus OpenAIs Daybreak-Programm scannen den freigegebenen Quellcode, zuerst die stark genutzten Pfade.
- Aufklärung und Suche: Agenten ordnen Anfragepfade den verdächtigen Codestellen zu und ziehen passenden Netzwerkkontext hinzu.
- Validieren und priorisieren: Befunde werden gegen den Code belegt. Die Risikostufe steigt, wenn ein Endpunkt viel Traffic hat oder aktiv abgetastet wird.
- Behebung vorschlagen: Der Dienst schlägt Code-Patches vor und dazu eng gefasste WAF Custom Rules, die das Risiko bis zum Fix senken.
Die letzte Stufe ist der eigentlich interessante Teil. Eine virtuelle Absicherung per WAF-Regel verschafft Zeit, wenn der Patch erst durch Review und Release muss.
Modell, Datenfluss und Grenzen
Für Aufklärung, Suche und Validierung setzt Cloudflare GPT-5.6 Cyber aus dem Daybreak Defense Network ein. Die Prompts laufen über das Cloudflare AI Gateway an OpenAIs Server. Cloudflare betont zwei Punkte: Auf Cloudflares Edge läuft keine Modellinferenz, und das Modell kann keinen der vorgeschlagenen Patches oder Regeln selbst anwenden. Jede Änderung prüft und freigibt der Kunde.
Was Security- und Datenschutzverantwortliche klären sollten:
- Quellcode-Ausschnitte und Traffic-Kontext gehen an OpenAI in den USA. Das braucht eine saubere Rechtsgrundlage, einen Blick in die Verträge und bei Code mit Geschäftsgeheimnissen eine bewusste Entscheidung.
- Welche Repositories freigegeben werden, bestimmst du. Jedes Engagement beginnt mit genau einer autorisierten Anwendung.
- Die Traffic-Gewichtung funktioniert nur für Anwendungen, die tatsächlich hinter Cloudflare laufen.
Verfügbarkeit
Der Dienst ist aktuell nur auf Einladung über das Managed-Defense-Team von Cloudflare erhältlich. Preise nennt Cloudflare nicht. Beteiligt sind neben dem WAF auch Workers, Workers Observability und Logpush für Trace Events, was auf eine Zielgruppe mit bestehender Cloudflare-Plattformnutzung hindeutet.
Einordnung für Unternehmen
Der Ansatz ist richtig, weil er Priorisierung an beobachtete Exposition koppelt statt an abstrakte CVSS-Werte. Eine SQL-Injection auf einem Login-Endpunkt mit laufenden Scan-Versuchen ist dringender als dieselbe Lücke in einem internen Admin-Tool ohne Traffic. Genau diese Abwägung macht heute meist ein Mensch mit Tabellenkalkulation.
Einen bestehenden SAST-Prozess ersetzt der Dienst nicht. Er setzt dort an, wo Scanner-Ergebnisse versanden. Wer ohnehin Cloudflare vor seinen Anwendungen hat und mit zu vielen offenen Befunden kämpft, sollte sich für die Early Access melden, vorher aber intern klären, ob Quellcode an einen US-Modellanbieter gehen darf.
Fazit
Cloudflare nutzt seinen größten Vorteil, den Blick auf echten Traffic, um KI-Befunde sinnvoll zu sortieren. Die Kombination aus Patch-Vorschlag und temporärer WAF-Regel ist praxisnah. Die offene Frage für europäische Kunden ist nicht die Technik, sondern der Datenfluss zu OpenAI.