顧客対応チャットや社内検索に生成AIを組み込むと、入力された指示によって意図しない応答を引き出されるおそれがあります。Cloudflareの公式図を手がかりに、入口で検知できることと、アプリ側で対処することを分けます。
公式図は検知結果をWAF規則へ渡す流れを示す
図の中心は「検知したら自動的に安全になる」ことではありません。Cloudflareが要求を評価し、検知判定項目をWAFへ渡し、運用者が規則の処理を決める構成です。
AI Security for Appsは既存WAFを補います。LLM固有の文脈を追加し、同じ規則運用へ載せられる点が製品の役割です。
見ているのは受信したJSON要求
2026年9月8日更新の公式資料では、cf-llmラベルを付けた接続先への要求を検査し、対象データ形式はJSONです。PII、有害な話題、プロンプトインジェクションの判定値などが判定項目へ入ります。
PDF内の指示、検索先のウェブページ、ツールから戻るデータなど、別経路の間接的なプロンプトインジェクションは同じ要求検知だけで覆えません。記事では入力経路を分けて示します。
まず監視し、誤検知を見て遮断へ進む
接続先の自動発見は全プランで使えます。一方、AI Security Log Mode RulesetとAI検知判定項目はEnterpriseの有料アドオンで、利用する区域ではWAFを有効にする必要があります。この条件を満たさない環境では、以下の検知結果を使った規則をそのまま作れません。
最初はSecurity Analyticsで検知結果を確認します。実際の業務入力文がどの分類に入り、誤検知が何件あるかを見ます。その後、対象接続先と判定値条件を絞って個別規則を作ります。
遮断時の応答は、会話画面が扱えるJSONにします。HTMLの遮断ページを返すと、利用者には原因不明の壊れた応答に見えるためです。
間接注入とツール権限は別の防御で閉じる
WAFを通過した入力文でも、モデルが誤ったツールを選ぶ可能性は残ります。送信、削除、権限変更には承認を置き、ツールの認証情報の権限範囲を狭めます。モデル出力はHTMLやコマンドへ直接渡しません。
評価では、既知の攻撃文が何件止まったかだけでなく、正常な業務入力文を何件止めたかも測ります。