Bayangkan alat pemindai keamanan (scanner) baru saja menandai 4.000 kerentanan baru, dan 78 di antaranya berkategori kritis. Pertanyaannya sederhana namun sulit dijawab: mana yang harus diperbaiki lebih dulu?
Untuk menjawab pertanyaan itu, Cloudflare mengumumkan akses awal (early access) untuk Vulnerability Discovery and Remediation, layanan baru yang kini menjadi bagian dari Cloudflare Managed Defense. Layanan ini bersifat khusus undangan (invitation-only) dan membantu pelanggan mendeteksi serta memitigasi kerentanan dalam basis kode (codebase) mereka.
Melalui OpenAI Daybreak Defense Network, Cloudflare menggunakan model OpenAI Daybreak — termasuk GPT-5.6 Cyber — untuk melakukan reconnaissance (pemetaan awal), pencarian (hunting), dan validasi terhadap basis kode yang diotorisasi oleh pelanggan. Jika kerentanan ditemukan, sistem akan mengusulkan solusi, memeriksa setiap patch dan mitigasi yang diusulkan secara otomatis sebelum ditampilkan untuk ditinjau. Yang penting, keputusan akhir tetap berada di tangan pelanggan: meskipun Cloudflare dapat mengusulkan patch kode dan mitigasi lain, pelangganlah yang memutuskan apakah usulan tersebut akan diterapkan.
Menentukan Prioritas Semakin Sulit
Menentukan apa yang harus diperbaiki lebih dulu memang selalu sulit, dan tantangan ini semakin berat. Model bahasa besar (LLM) kini dapat memetakan kelemahan di seluruh basis kode hanya dalam hitungan menit, yang berarti jumlah temuan terus bertambah. Namun masalah sesungguhnya adalah kecepatan: penyerang juga dapat menggunakan AI untuk mempercepat sebagian proses penemuan dan eksploitasi kerentanan, sehingga tim keamanan dan pengembang memiliki lebih sedikit waktu untuk memutuskan mana yang penting dan segera bertindak.
Sebagai contoh, bayangkan alat pemindai memberi tahu bahwa ada kerentanan pada sebuah handler. Alat tersebut tidak memberi tahu apakah kode itu sudah benar-benar berjalan (deployed) di produksi, apakah ada yang benar-benar mengakses rute tersebut, aktivitas keamanan apa yang menyertainya, atau kontrol apa yang sudah diterapkan. Akibatnya, tim harus menentukan prioritas tanpa bukti nyata mengenai eksposur di produksi maupun perlindungan yang sudah ada.
Di sinilah Cloudflare berperan. Dengan jaringan globalnya, Cloudflare dapat melihat rute mana yang aktif, seberapa besar lalu lintas yang dibawanya, dan peristiwa keamanan apa yang menyertainya. Ketika pelanggan mengaktifkan Vulnerability Discovery and Remediation bersama Web Application Firewall (WAF), Cloudflare juga dapat melihat aturan apa saja yang sudah diterapkan dan sedang aktif memblokir serangan. Konteks tersebut mengubah temuan yang bersifat umum menjadi prioritas yang spesifik: kerentanan ini berada pada kode yang sedang berjalan, di rute dengan trafik tinggi, dengan aktivitas serangan terbaru, dan tanpa perlindungan yang memadai. Cloudflare kemudian membantu memitigasi kerentanan tersebut dengan mengusulkan mitigasi WAF khusus dan patch kode yang disesuaikan dengan sistem pelanggan.
Pendekatan ini melanjutkan pipeline “vulnerability harness” yang sebelumnya digunakan Cloudflare untuk memindai armada (fleet) sistemnya sendiri secara model-agnostik — memvalidasi setiap temuan secara adversarial dan mengubah keluaran model mentah menjadi perbaikan yang dapat dipercaya oleh para insinyur. Sistem internal tersebut menjadi salah satu pilar dari Vulnerability Discovery and Remediation. Jika harness internal itu digunakan untuk menemukan bug pada skala armada Cloudflare, Vulnerability Discovery and Remediation membawa proses penemuan tersebut ke kode yang diotorisasi oleh pelanggan, lalu menghubungkan temuannya dengan data trafik produksi, peristiwa keamanan, dan kontrol di edge yang dapat langsung bertindak atasnya.
Menambahkan Konteks pada Vulnerability Harness
Layanan ini bekerja untuk Cloudflare Workers maupun aplikasi yang di-proxy melalui Cloudflare. Proses deteksi kerentanan dimulai dengan pengumpulan data cuplikan (snapshot) trafik dan keamanan dari Web Assets dan WAF. Cuplikan ini menunjukkan rute mana yang aktif, seberapa besar trafik yang diterimanya, dan apakah ada peristiwa keamanan terbaru yang terkait dengannya. Sebagai contoh, sebuah jalur (path) dengan volume pemicu deteksi yang tinggi dapat dianggap kritis dari sisi konteks keamanan. Web Assets dan WAF sendiri menjadi pilar pertama dan kedua dari Vulnerability Discovery and Remediation.
Data Trafik dan Keamanan sebagai Titik Awal
Selanjutnya, Cloudflare menjalankan analisis kerentanan kode sumber untuk mengidentifikasi potensi kelemahan. Namun analisis kode saja tidak menunjukkan rute mana yang menjangkaunya, seberapa besar trafik yang diterima rute tersebut, apakah ada permintaan (request) yang mencurigakan, atau perlindungan apa yang sudah berlaku. Rute dengan volume permintaan tinggi diperlakukan sebagai “hot path”, dan kode sumber yang berjalan pada rute-rute ini menjalani proses profiling keamanan yang lebih ketat. Gabungan sinyal ini memberikan bukti tentang bagaimana API benar-benar digunakan dan di mana kerentanan mungkin terekspos.
Untuk Cloudflare Workers, sistem mengambil versi kode sumber terbaru dari Worker beserta rute yang dikonfigurasikan untuk mengidentifikasi endpoint yang dilayaninya. Selanjutnya, rute Worker tersebut dicocokkan dengan data Web Assets dan metadata permintaan dari Workers Observability, sehingga kode sumber yang sedang diperiksa benar-benar terhubung dengan endpoint yang melayaninya di produksi. Konteks jaringan yang terkumpul ini tetap tersedia sepanjang proses investigasi, sehingga dapat diakses oleh agent kapan pun diperlukan.
Reconnaissance, Hunter, dan Validasi
Proses vulnerability harness kemudian dimulai. Diawali oleh agent Reconnaissance yang memetakan jalur permintaan ke bagian-bagian basis kode yang menanganinya. Peta ini digunakan untuk mengarahkan hunter agent ke bagian kode tertentu yang telah diotorisasi pelanggan, tempat mereka mencari kerentanan sambil menarik konteks jaringan yang relevan sesuai kebutuhan. Konteks tersebut dapat membantu hunter agent lebih memperhatikan kode di balik rute yang aktif atau baru-baru ini menjadi target, namun tidak serta-merta membuktikan adanya kerentanan — setiap temuan kerentanan harus didukung oleh bukti nyata dalam kode sumber.
Setelah hunter agent mengembalikan temuannya, tahap validasi memeriksa mitigasi yang diusulkan sebelum memberikan peringkat risiko awal berdasarkan kode sumber. Bukti dari jaringan yang dikumpulkan dapat menaikkan peringkat tersebut lebih lanjut, misalnya ketika endpoint yang terdampak membawa trafik signifikan atau menunjukkan tanda-tanda aktivitas pengintaian (probing).
Prioritas, Patch Kode, dan Aturan WAF
Hasil akhirnya adalah daftar temuan yang telah diprioritaskan, masing-masing dilengkapi dengan usulan patch kode dan — jika bukti mendukung — aturan Cloudflare WAF Custom yang dapat mengurangi eksposur selagi perbaikan kode ditinjau. Jika pelanggan mengotorisasi Vulnerability Discovery and Remediation untuk melindungi zona mereka, Cloudflare akan menerapkan aturan tersebut secara konservatif, dibatasi seputar metode, jalur, dan detail permintaan lain yang diperlukan untuk menjangkau kode yang rentan. Jika pola rute hanya berisi variabel dan wildcard, sistem tidak akan mengusulkan aturan apa pun — lebih baik melewatkan kemungkinan koneksi daripada mengklaim sesuatu yang tidak didukung bukti.
Sebagai contoh, kasus HTTP method override bypass menunjukkan bagaimana sinyal-sinyal ini bekerja bersama: harness memetakan temuan kode sumber ke rute produksi, menggunakan data trafik dan aktivitas keamanan untuk menentukan prioritasnya, lalu menyusun usulan aturan WAF yang dibatasi seputar permintaan yang dapat menjangkau kode rentan tersebut. Aturan ini dapat mengurangi eksposur sementara tim teknik meninjau dan merilis perbaikan kodenya.
Di Mana Model Dijalankan
Ketika pelanggan mengotorisasi sebuah investigasi, Vulnerability Discovery and Remediation menjalankan harness di infrastruktur Cloudflare dan mengirimkan prompt model dari Workers melalui Cloudflare AI Gateway ke model OpenAI Daybreak yang berjalan di server OpenAI. GPT-5.6 Cyber digunakan selama tahap reconnaissance, hunting, dan validasi, dan hasilnya dikembalikan ke harness agar alur kerja dapat dilanjutkan di Cloudflare. Tidak ada inferensi model yang berjalan di edge Cloudflare, dan model itu sendiri tidak dapat menerapkan patch atau aturan yang diusulkannya.
Setiap investigasi dibatasi hanya pada kode sumber dan bukti yang diotorisasi oleh pelanggan. Sebelum konteks tersebut sampai ke model, Vulnerability Discovery and Remediation menghapus bagian yang tidak diperlukan untuk investigasi dan menerapkan kontrol redaksi (redaction) sesuai kesepakatan layanan. Harness memperlakukan kode sumber, log, dan metadata permintaan sebagai bukti yang perlu diperiksa — bukan sebagai instruksi yang harus diikuti.
Akses terhadap tools mengikuti batasan yang sama: setiap pemanggilan dicatat dan diperiksa terhadap kebijakan akses investigasi sebelum dijalankan, dan setiap usulan patch atau aturan harus lolos pemeriksaan yang dilakukan di luar model. Jika salah satu pemeriksaan gagal, alur kerja dihentikan sebelum usulan tersebut sampai ke tahap peninjauan pelanggan.
Tidak ada yang ditampilkan untuk ditinjau sebelum melewati seluruh pemeriksaan dan divalidasi oleh tim Cloudflare. Untuk usulan pertahanan di edge, ini berarti memvalidasi sintaks aturan dan mengujinya terhadap data uji sintetis yang merepresentasikan permintaan yang diharapkan — bukan terhadap trafik pelanggan yang sesungguhnya. Jika satu pemeriksaan gagal atau hasilnya masih ambigu, usulan tersebut ditahan dan diarahkan untuk didiagnosis lebih lanjut.
Bahkan setelah lolos seluruh pemeriksaan, lingkungan pelanggan tetap tidak berubah dengan sendirinya. Setelah divalidasi oleh tim Cloudflare, barulah Vulnerability Discovery and Remediation menyiapkan patch kode sumber dan aturan WAF untuk ditinjau pelanggan.
Bergabung dengan Early Access
Vulnerability Discovery and Remediation saat ini tersedia bagi pelanggan terpilih melalui undangan selama masa early access, melalui tim Cloudflare Managed Defense. Setiap kerja sama dimulai dengan satu aplikasi yang basis kodenya diotorisasi oleh pelanggan untuk diinvestigasi. Untuk menghubungkan temuan dengan kondisi produksi, layanan ini menggunakan akses baca (read access) yang diotorisasi terhadap inventaris operasi Web Assets, kontrol WAF yang relevan, dan Workers Trace Events Logpush jika tersedia. Proses investigasinya semi-otomatis, namun pelanggan tetap meninjau setiap hasil sebelum memutuskan apakah akan menguji atau menerapkan suatu perubahan.
