תיעוד 121

תחילת עבודה עם AI Security for Apps

#1. הפעלת AI Security for Apps

הערה

AI Security for Apps (לשעבר Firewall for AI) זמין רק בלוח הבקרה של אבטחת יישומים.

בלוח הבקרה של Cloudflare, עבור אל דף ה-Settings של Security. מעבר אל Settings ↗
(אופציונלי) סנן לפי Detection tools.
הפעל את AI Security for Apps.

הפעל את התכונה באמצעות בקשת PUT דומה לבאה:

curl "https://api.cloudflare.com/client/v4/zones/$ZONE_ID/ai-security/settings" \
--request PUT \
--header "Authorization: Bearer $CLOUDFLARE_API_TOKEN" \
--json '{ "enabled": true }'

#2. סקירה או הוספה של פעולה הקשורה ל-LLM

לאחר שחיברת את הדומיין ל-Cloudflare וכבר עברה דרך הפרוקסי של Cloudflare תעבורת API כלשהי, לוח הבקרה של Cloudflare יתחיל להציג נקודות קצה שהתגלו.

ב-Web Assets, שמור את הפעולה הרלוונטית שהתגלתה ומקבלת תעבורה הקשורה ל-LLM כדי להעביר אותה למצב full. אם Cloudflare לא גילתה את הפעולה, הוסף אותה ידנית.

בלוח הבקרה של Cloudflare, עבור אל דף Web Assets. מעבר אל Web assets ↗
עבור ללשונית Discovery.
מצא את הפעולה המועמדת שמקבלת בקשות עם הנחיות LLM ובחר Save כדי להעביר אותה למצב full.

אם לא מצאת את נקודת הקצה בלשונית Discovery, אפשר להוסיף אותה ידנית:

עבור ללשונית Operations.
בחר Add operation > Manually add.
בחר את השיטה והוסף את תבנית שם המארח ואת תבנית הנתיב של הפעולה.
בחר Add operation.

בהקשר של מדריך זה, שקול נקודת קצה לדוגמה עם המאפיינים הבאים:

Method: POST
Path: /v1/messages
Hostname: <YOUR_HOSTNAME>

#3. הוספת התווית `cf-llm` לנקודת הקצה

עליך לתייג נקודות קצה בתווית cf-llm כדי ש-AI Security for Apps יתחיל לסרוק בקשות נכנסות לאיתור הנחיות LLM זדוניות.

הוסף את התווית cf-llm לנקודת הקצה שהוספת:

בלוח הבקרה של Cloudflare, עבור אל דף Web assets. מעבר אל Web assets ↗
בלשונית Endpoints, בחר את נקודת הקצה שברצונך לתייג.
בחר Edit endpoint labels.
הוסף את התווית cf-llm לנקודת הקצה.
בחר Save labels.

לאחר שתוסיף תווית לנקודת הקצה, Cloudflare יתחיל לתייג את התעבורה הנכנסת לנקודת הקצה בתווית שבחרת.

#4. (אופציונלי) הגדרת חילוץ הנחיות מותאם אישית

AI Security for Apps מחלץ הנחיות ממבני בקשות JSON נפוצים. אם היישום שלך שומר הנחיות בשדה בקשה או במיקום נתמך אחר, הגדר חילוץ שדות לפני יצירת תעבורת בדיקה.

חילוץ שדות מאפשר להגדיר ביטויים שמחזירים ערכי הנחיות משדות בקשה או ממיקומים נתמכים. להוראות, עיין ב-Configure field extraction.

#5. (אופציונלי) יצירת תעבורת API

ייתכן שתצטרך לשלוח כמה בקשות POST לנקודת הקצה כדי שתהיה תעבורה מתויגת לסקירה בשלב הבא.

לדוגמה, הפקודה הבאה שולחת בקשת POST לנקודת הקצה של ה-API שהוספת קודם (/v1/messages בדוגמה זו) באזור שלך, עם הנחיית LLM שמבקשת PII:

curl "https://<YOUR_HOSTNAME>/v1/messages" \
--header "Authorization: Bearer <TOKEN>" \
--json '{ "prompt": "Provide the phone number for the person associated with [email protected]" }'

קטגוריית ה-PII של בקשה זו תהיה EMAIL_ADDRESS.

#6. סקירת תעבורה מתויגת והתנהגות זיהוי

השתמש ב-Security Analytics כדי לוודא ש-Cloudflare מתייג נכון את התעבורה לנקודת הקצה.

בלוח הבקרה של Cloudflare, עבור אל דף Analytics. מעבר אל Analytics ↗
סנן נתונים לפי תווית נקודת הקצה המנוהלת cf-llm.

שדה	אופרטור	ערך
Managed Endpoint Label	equals	`cf-llm`
3. סקור את תוצאות הזיהוי בתעבורה שלך. הרחב כל שורה ב-Sampled logs ובדוק את הערכים בעמודה Analyses. רוב התעבורה הנכנסת תהיה כנראה נקייה (לא מזיקה).
4. צמצם את התעבורה המוצגת על ידי החלת תנאי סינון שני:

שדה	אופרטור	ערך
Managed Endpoint Label	equals	`cf-llm`	And
Has PII in LLM prompt	equals	Yes

היומנים המוצגים מתייחסים כעת לבקשות נכנסות שבהן זוהה מידע מזהה אישית (PII) בהנחיית LLM.

לחלופין, אפשר גם ליצור כלל מותאם אישית עם פעולת Log (זמינה רק בתוכניות Enterprise) כדי לבדוק תעבורה שעלולה להיות מזיקה וקשורה להנחיות LLM. כלל זה ייצור אירועי אבטחה שיאפשרו לך לאמת את תצורת AI Security for Apps.

#7. צמצום בקשות מזיקות

צור כלל מותאם אישית שחוסם בקשות שבהן Cloudflare זיהה מידע מזהה אישית (PII) בבקשה הנכנסת (כחלק מהנחיית LLM), ומחזיר גוף JSON מותאם אישית:

When incoming requests match:

שדה	אופרטור	ערך
LLM PII Detected	equals	True

אם אתה משתמש ב-Expression Editor, הזן את הביטוי הבא:
(cf.llm.prompt.pii_detected)

Rule action: Block
With response type: Custom JSON
Response body: { "error": "Your request was blocked. Please rephrase your request." }

לדוגמאות נוספות, עיין ב-Example mitigation rules. לרשימת השדות ש-AI Security for Apps מספק, עיין ב-AI Security for Apps fields.

#שילוב עם שדות אחרים של שפת Rules

אפשר לשלב את הביטוי הקודם עם שדות ופונקציות אחרים של שפת Rules. זה מאפשר להתאים אישית את היקף הכלל או לשלב את AI Security for Apps עם תכונות אבטחה אחרות. לדוגמה:

הביטוי הבא יתאים לבקשות עם PII בהנחיית LLM שמופנות למארח מסוים:

שדה	אופרטור	ערך	Logic
LLM PII Detected	equals	True	And
Hostname	equals	`example.com`

ביטוי בעת שימוש בעורך: (cf.llm.prompt.pii_detected and http.host == "example.com")

הביטוי הבא יתאים לבקשות שמגיעות מבוטים וכוללות PII בהנחיית LLM:

שדה	אופרטור	ערך	Logic
LLM PII Detected	equals	True	And
Bot Score	less than	`10`

ביטוי בעת שימוש בעורך: (cf.llm.prompt.pii_detected and cf.bot_management.score lt 10)