生活分享

Cloudflare 推出 Application Profiles：以“只放行正常请求”对抗 AI 驱动的攻击

Cloudflare 于 2026 年 9 月 29 日宣布推出 Application Profiles。它会学习网站正常请求的结构，从而识别异常请求。该功能主要影响使用 Cloudflare 的企业网站管理者，普通用户无需任何操作。本文整理其官方说明、工作原理、限制以及对普通用户的意义。

阅读时间约 5 分钟

Cloudflare 推出 Application Profiles：以“只放行正常请求”对抗 AI 驱动的攻击
图片：Mokaair (Original editorial artwork)

发生了什么

Cloudflare 于 2026 年 9 月 29 日在官方博客宣布推出 Application Profiles，文章由 Daniele Molteni 与 Zhiyuan Zheng 撰写。Cloudflare 表示，该功能会分析 HTTP 请求（浏览器或程序向网站发出的访问请求）的结构与格式并找出偏差，帮助客户大幅缩小“攻击面”，也就是攻击者能够向网站发送的输入范围。

Cloudflare 将发布背景与 AI 联系起来。该公司表示，客户普遍想知道如何防范利用前沿 AI 模型发起的攻击：大语言模型（LLM，能根据文字提示生成内容的 AI 模型）让非技术人员也能通过单条提示发动攻击，还能根据应用程序或防火墙的响应自动调整手法。Cloudflare 同时表示，传统托管规则仍然重要，但仅靠“更快修补”并不可持续。托管规则是 Cloudflare 维护的、用来识别 SQL 注入、跨站脚本等已知攻击手法的规则。

Cloudflare 推出 Application Profiles：以“只放行正常请求”对抗 AI 驱动的攻击
Mokaair 编辑核查流程 · 图片：Mokaair (Original editorial artwork)
阅读完整文字说明

消息会先收集来源、独立核查，再交由 Jev 判断。

工作原理：从“拦截坏的”到“只放行好的”

据 Cloudflare 介绍，它已通过 Schema Learning 与 Schema Validation 为 API（程序之间交换数据的接口）提供正向安全，此次以 Application Schema Profiles 扩展到网站应用。这里的“配置文件”（profile）是系统学到的正常请求格式记录，可涵盖路径变量、查询参数、请求头与 Cookie，以及 JSON 或表单编码的请求体。系统会学习每个字段的数据类型，以及数值范围、字符串长度等约束。

Cloudflare 表示，学习每周对每个 zone（Cloudflare 中的站点管理单位）自动执行一次。一项操作需在前七天内有至少 1,000 个成功（2xx）请求才能学习字段，至少 10,000 个才能学习数据边界。验证结果仅以元数据（附加在请求上的说明信息）的形式记录，本身不采取任何行动。客户必须另行创建 Security Rules（客户自行设定的安全规则），系统才会拦截请求。

两种防护思路对比（根据 Cloudflare 官方博客说明整理）
维度传统托管规则（负向安全）Application Profiles（正向安全）
判断依据请求是否像已知攻击请求是否符合学习到的正常结构
是否需要已知攻击特征需要Cloudflare 表示不需要
默认行为按规则处理仅标记，拦截需客户自建规则
Cloudflare 的定位仍然重要作为补充，缩小攻击面

限制与注意事项

  • Cloudflare 表示，成功的请求也可能来自机器人和扫描器，因此应先检查学习到的配置文件再执行拦截。
  • Cloudflare 表示，不符合配置文件并不一定意味着恶意，建议先以观察模式开始。
  • Cloudflare 表示，目前不支持 multipart 表单、GraphQL 和 XML，枚举最多支持三个值。
  • Cloudflare 表示，该功能不会强制必填参数或参数唯一性，也不会仅因出现新参数就拦截请求。

对普通读者有什么影响

普通网站用户无需采取任何操作，该功能主要影响使用 Cloudflare 的企业网站管理者。从行业角度看，Cloudflare 以 AI 自动化攻击作为推出理由，反映出防护思路正从“识别坏请求”扩展到“定义正常请求”。Cloudflare 还表示，曾在四个应用程序的配置文件上试用由 Workers AI 托管的模型，并计划将 LLM 分析结果加入仪表板。路线图还包括按需触发学习和排除自动化流量，这些都仍属未来规划。

常见问题

Application Profiles 是什么？

据 Cloudflare 介绍，它会从网站实际流量中学习请求的正常结构与格式，并标记偏离这些结构的请求，属于正向安全做法。

它会自动拦截请求吗？

不会。Cloudflare 表示验证结果仅以元数据形式附加在请求上，客户需自行创建 Security Rules 才会拦截不符合的请求。

谁可以使用？

Cloudflare 表示，已开通 API Security 的客户现已可用；未开通 API Security 的企业客户则以邀请制参加封闭测试。

这与 AI 有什么关系？

Cloudflare 表示，大语言模型让攻击更容易发动并能自动调整手法，因此推出不依赖已知攻击特征的防护；它还计划利用 LLM 协助判断哪些字段最为关键。

普通网民需要采取行动吗？

不需要。该功能是供网站运营者使用的服务器端防护配置，普通用户浏览网站时无需任何操作。

查看同分类最新消息

同主题延伸阅读

最新旅游情报攻略

资料来源

生活分享