Am Rand des Netzes steht wieder eine Maschine, die früher nur Formularstaub aus HTTP-Anfragen geklopft hat. Jetzt bekommt sie Prompt-Karten auf das Förderband: kleine, höflich blinkende Zettel, in denen manchmal ein Haken steckt.
Cloudflare hat AI Security for Apps allgemein verfügbar gemacht. Der Name klingt nach sauber geöltem Produktregal, die Sache dahinter ist aber ein ziemlich konkreter Befund: KI-Anwendungen sind nicht einfach Webformulare mit mehr Silizium, sondern offene Werkstore für Sprache, Absicht und gelegentlich sehr motivierte Manipulation.
Der Prompt kommt nicht mehr allein
Bei klassischen Webanwendungen konnte man noch halbwegs trocken sagen: Diese Route macht Überweisung, jene Route zeigt Kontostand, dazwischen liegt eine Regel. Bei LLM-Apps wird der Schraubenzieher weicher. Ein Prompt kann harmlos fragen, schräg insistieren, Daten herauskitzeln oder einem Agenten zuflüstern, er möge doch bitte am Werkzeughebel ziehen.
Cloudflare beschreibt genau diese neue Angriffsfläche: Prompt Injection, PII-Abfluss, toxische oder kundenspezifisch verbotene Themen und der Moment, in dem ein Agent nicht nur antwortet, sondern Rabatte, Konten oder Kundendaten anfassen darf. Spätestens da hört das lustige Chatfenster auf und der Werkstattleiter sucht den Not-Aus.
Discovery: erst einmal finden, wo die KI überhaupt wohnt
Der erste Teil ist fast banal und deshalb gefährlich: Man muss wissen, welche Endpunkte überhaupt LLM-getrieben sind. Cloudflare will solche AI-powered endpoints automatisch erkennen; die Discovery-Funktion soll laut Ankündigung auch für Free-, Pro- und Business-Kunden verfügbar sein. In der Cloudflare-Dokumentation tauchen diese Endpunkte als cf-llm-markierte Stellen auf, an denen später ausgewertet und geregelt werden kann.
Das ist keine kleine Fußnote. In vielen Firmen wachsen KI-Funktionen nicht mit Glockenschlag, sondern mit Pull Request, Produktdemo und einem „nur mal schnell“-Endpoint. Der Scanner macht daraus noch keine Governance, aber er hängt wenigstens Glöckchen an die Schubladen, die bisher im Dunkeln aufgingen.
Der WAF bekommt KI-Ohren
Der zweite Teil ist die eigentliche Walze: Cloudflare will Prompts und Ausgaben auf Signale prüfen und die Ergebnisse als Felder für WAF-Regeln nutzbar machen. In den Cloudflare-WAF-Dokumenten stehen Prompt-Injection-Scoring, PII-Erkennung sowie unsichere und eigene Themenkategorien. Mitigiert wird dann nicht in einem fremden Zauberkasten, sondern über bekannte Custom Rules, Rate Limits oder Logik am Edge.
Das ist pragmatisch. Es ist aber auch ein Eingeständnis: KI-Sicherheit wandert aus dem Modellprospekt zurück in die langweilige, wichtige Infrastruktur. Reverse Proxy, WAF, Regeln, Logging, Zuständigkeit. Die Zukunft trägt wieder Klemmbrett, nur diesmal mit JSONPath in der Seitentasche.
OWASP winkt mit dem öligen Lappen
Der größere Rahmen ist bekannt. Die OWASP Top 10 für LLM-Anwendungen nennen unter anderem Prompt Injection, Sensitive Information Disclosure, Model Denial of Service und Excessive Agency. Man kann das alles in Präsentationen gießen. Oder man stellt fest: Sobald Sprache zum Steuerdraht wird, braucht der Draht Sicherungen.
Cloudflares Ansatz ist dabei nicht der goldene Helm gegen alle Unfälle. Die Erkennung braucht ausreichend sinnvollen Traffic, manche Funktionen sitzen laut Dokumentation in Enterprise- oder Paid-Add-on-Schubladen, und kein WAF sieht automatisch, ob ein Agent intern zu viele Rechte bekommen hat. Wer den Roboter mit Generalschlüssel losschickt, darf sich nicht wundern, wenn der Türsteher am Rand nur noch den Schaden protokolliert.
Was hängen bleibt
Trotzdem ist die Richtung bemerkenswert: KI-Sicherheit wird weniger als Modellmystik verkauft und stärker als Verkehrsprüfung. Finden, markieren, bewerten, regeln. Das ist nicht glamourös. Es klingt nach Schichtplan und Filtermatte. Genau deshalb könnte es nützlich sein.
In der Blechpresse läuft der Prompt also erst durch die Walze, bevor er an den Agentenhebel darf. Der Haken fällt in den Ausschussbehälter, die Karte kommt zerknittert, aber lesbar heraus. Und irgendwo am Edge murmelt ein alter WAF: „Endlich fragt mal jemand, was auf dem Zettel steht.“
Schreibe einen Kommentar