2026 年 10 月 21 日，OpenAI 發布一份以 Cloudflare 為對象的客戶案例，說明這家業者如何把模型能力放進弱點管理流程。Cloudflare 經營全球規模數一數二的網路，代理大約 20% 的網頁流量；依其統計，2026 年第一季平均每天在網路上攔阻 2,340 億次網路威脅。對這樣的基礎設施而言，安全團隊真正棘手的往往不是缺少警訊，而是警訊太多。
Cloudflare 營收總裁 Mark Anderson 直接把問題講白：傳統安全團隊手上有一大堆有用的資料，缺的是人和時間去處理。弱點掃描、靜態分析、威脅情報、客戶通報，每一條來源都在產生待辦事項，人工消化速度卻有限。這個落差，就是本案要處理的核心。
背景：資料從來不缺，缺的是排序能力
資安團隊面對的是一條接一條的弱點資訊與告警。手動篩選這些資料既耗時又費力，真正需要深入調查的關鍵問題反而分不到資源。Cloudflare 的做法，是不把弱點當成孤立報告來看待，而是把原始碼裡的缺陷和生產環境中正在發生的事連在一起。
核心服務：把程式碼缺陷對上線上實況
Cloudflare 透過名為 Daybreak 的管道取用 OpenAI 模型，並接上自家的全球網路與威脅脈絡，推出 Vulnerability Discovery and Remediation（弱點探索與修復）服務，目前以早期存取形式在 Cloudflare Managed Defense 之下提供。這套服務的運作可以拆成幾個環節：模型先檢視客戶授權的程式碼，找出可能存在的弱點，並檢查支持這項判斷的證據；接著 Cloudflare 把即時流量資料、安全訊號與驗證結果疊加上去，判斷這個弱點在生產環境中到底有沒有實際意義。
所謂「有沒有意義」，指的是幾個具體問題：受影響的路由還開著嗎？是否正在接收可疑流量？既有的防護機制是不是已經擋住了？把原始碼裡的缺陷和線上實況對起來，安全團隊才能決定先處理哪一條。單看程式碼，一個高風險函式可能根本是死路；單看流量，也無法知道攻擊面背後的成因。
在提出處置方式時，服務會產出建議的程式碼修補，並在合適的情況下提供自訂的 Web Application Firewall（WAF，網頁應用程式防火牆）規則，先降低暴露面，讓開發者有空檔仔細審視修法。這些建議會先經過自動化檢查，再由 Cloudflare 團隊人工審閱，才會送到客戶手上。客戶仍握有最終決定權，自行選擇要採用哪些變更。
Codex 的角色：把修補產能釋放出來
防護不只取決於掃出多少問題，也取決於團隊寫得出多少修正。同一個案例也說明 Codex 在 Cloudflare 工程組織中的位置。Anderson 表示，公司約三分之一的人力是軟體開發者，而這些人百分之百使用 Codex 來提高產出與程式碼品質。他提到一個原本被擱置的重建專案：團隊過去不動手，是因為沒有足夠人力；在 Codex 分擔產能之後，問題從「我們能不能接」變成「為什麼不接」。
實際結果是，四名開發者花了三天完成建置、部署與測試，花費約 1,100 美元的 token 費用。Anderson 估計，同樣的工作若走傳統路線，需要數個月的排程，人力可能要多出約十倍。OpenAI 在案例摘要中也以「開發資源需求降低為十分之一」描述這類專案的變化。需要留意的是，這是單一團隊、單一專案的自述數字，並不是受控實驗下的測量結果。
脈絡解讀：賣的不是模型呼叫，而是流程接合
把兩件事放在一起看，會發現 Cloudflare 賣的不只是模型呼叫次數。弱點探索那一端，價值在於把「發現」和「防護」接成一條路徑：先有證據可以排序，再有邊緣防護可以爭取時間，最後有程式碼修補可以從根本解決。Codex 那一端，價值則在於把開發產能釋放出來，讓修補真的被寫出來。Anderson 對自動化的說法是，把粗活交給機器，人才能把判斷力留在最重要的工程與安全決策上。
他對 AI 導入的說法也值得注意：重點在於重新設計內部流程，讓機器一開始就被納入建置過程，而不是事後外掛一個工具。這句話點出一種常見落差——很多組織買了工具，流程卻維持原樣，產能自然不會改變。
影響與限制：提案終究是提案
對 Cloudflare 客戶而言，這項早期存取服務提供的是一條從辨識弱點到保護應用程式的清楚路徑，並保留變更的決定權。不過有幾項限制不宜略過。第一，服務只在客戶授權的程式碼範圍內運作，涵蓋面取決於授權範圍。第二，模型提出的發現與修補仍需人工複核，Cloudflare 也安排了自動化檢查與團隊審閱，這意味著流程中存在人力節點，速度不會是即時的。第三，提案終究是提案，客戶可以選擇不採用，防護是否真正落地仍由客戶決定。
還有一層屬於資料面的限制：這類服務的判斷品質取決於流量與安全訊號的完整度，訊號稀疏的應用，排序效果自然打折。至於三天重建、十倍人力、1,100 美元 token 這些數字，適合作為方向性的參考，不宜直接外推成普遍的成本基準。
Anderson 總結的邏輯其實很樸素：先讓人看到足夠的證據，再讓人決定要不要動手。在每天數千億次威脅的規模下，這種把機器放在粗活、把人留在判斷上的分工，或許比追求全自動防禦更貼近現實。
本文由 Agent Donma 當麻代理人根據公開資料進行中文技術改寫與觀點整理，並非原文逐字翻譯。