Cloudflare Kesan Peningkatan Pengimbasan Berbantu AI: Mengapa Token Akses Perlu Disemak

Alat keselamatan yang menggabungkan ejen AI dengan proses ujian penembusan semakin menjadi perhatian pasukan pertahanan siber. Dalam laporan bertarikh 13 November 2026, Cloudflare menerangkan bagaimana alat sebegini boleh digunakan untuk mengimbas sistem dan menyelaras beberapa langkah selepas akses diperoleh.

Laporan itu turut menonjolkan risiko yang lebih biasa: token akses yang terlalu luas dan tidak tamat tempoh. Bagi pasukan IT, persoalannya bukan sekadar sama ada trafik mencurigakan dapat disekat, tetapi juga sejauh mana penyerang boleh bergerak jika satu kunci sudah terdedah.

Apa yang dilaporkan oleh Cloudflare

Cloudflare menyatakan bahawa dalam tiga hari sebelum laporannya, lebih 50 keluarga rangka kerja pengujian berbantu model bahasa besar telah cuba mengimbas pelanggan syarikat itu di seluruh dunia. Menurut syarikat tersebut, jumlah permintaan harian yang dikaitkan dengan beberapa alat yang dipantau meningkat lebih 30 kali ganda sejak 1 Oktober.

Angka itu ialah pemerhatian Cloudflare terhadap trafik dan alat yang dipilihnya, bukannya ukuran semua serangan siber di seluruh dunia. Cubaan mengimbas juga tidak semestinya bermakna pencerobohan berjaya. Laporan tersebut tidak menetapkan kadar kejadian khusus untuk Malaysia.

Sumber: Adapting to AI penetration testing orchestrators: The Modern Security Model.

Apakah yang dilakukan oleh alat sebegini?

Ujian penembusan ialah cara menilai keselamatan sistem dengan menguji kemungkinan kelemahan secara terkawal dan dengan kebenaran. Cloudflare menerangkan bahawa sesetengah rangka kerja menyelaraskan ejen AI dan alat keselamatan untuk memetakan persekitaran, mengumpulkan maklumat serta meneruskan tugas berdasarkan hasil yang ditemui.

Keupayaan itu boleh menyokong kerja penguji yang sah, tetapi alat yang sama juga boleh disalahgunakan. Perbezaan yang penting ialah kebenaran dan skop: imbasan terhadap sistem milik pihak lain tanpa kebenaran bukan sebahagian daripada ujian dalaman yang diluluskan.

Sumber: Adapting to AI penetration testing orchestrators: The Modern Security Model.

Apabila satu token membuka lebih daripada satu pintu

Dalam beberapa siasatan tindak balas insiden, Cloudflare melaporkan penyerang menggunakan token statik yang tidak tamat tempoh dan mempunyai akses luas merentas persekitaran. Token tersebut digunakan dalam saluran integrasi dan penghantaran berterusan, atau CI/CD, yang membantu pasukan membina serta menerbitkan aplikasi.

Dalam satu contoh, Cloudflare menyatakan token peringkat akaun yang digunakan untuk CI/CD telah terjejas dan tidak mempunyai sekatan alamat IP atau had kadar. Syarikat itu menilai bahawa punca awalnya kemungkinan besar berkaitan penyedia awan pihak ketiga. Ini ialah contoh satu siasatan, bukan bukti bahawa setiap insiden mengikut laluan yang sama.

Token boleh dianggap seperti kunci untuk proses automatik. Jika satu kunci boleh mengubah banyak perkhidmatan, kebocorannya berpotensi memberi kesan lebih luas daripada tugas asal yang memerlukannya.

Sumber: Adapting to AI penetration testing orchestrators: The Modern Security Model.

Kurangkan kebergantungan pada rahsia jangka panjang

Dokumentasi GitHub menerangkan satu pilihan untuk aliran kerja GitHub Actions yang berhubung dengan penyedia awan yang menyokong OpenID Connect, atau OIDC. Selepas hubungan kepercayaan dikonfigurasi, aliran kerja boleh meminta token akses jangka pendek daripada penyedia awan tanpa menyimpan kelayakan awan jangka panjang sebagai rahsia GitHub.

Peralihan ini memerlukan konfigurasi yang betul pada kedua-dua pihak. Organisasi masih perlu menentukan aliran kerja yang dipercayai dan mengehadkan peranan serta sumber yang boleh dicapai. Token sementara mengurangkan tempoh penggunaan kelayakan, tetapi tidak menggantikan semakan kebenaran atau pemantauan.

Sumber: OpenID Connect.

Pertahanan perlu meliputi aplikasi dan identiti

Cloudflare mencadangkan beberapa lapisan pertahanan, termasuk tembok api aplikasi web, had kadar, pengesanan aktiviti luar biasa dan kawalan akses berasaskan identiti untuk aplikasi berisiko. Syarikat itu juga mengesyorkan pengesahan struktur data yang diterima aplikasi serta penggunaan risikan ancaman.

Setiap kawalan mempunyai tujuan berbeza. Had kadar boleh membantu mengurus permintaan berulang, sementara kawalan identiti menentukan siapa atau proses apa yang dibenarkan masuk. Jika kelayakan sah telah dicuri, pasukan juga memerlukan log yang berguna dan cara untuk membatalkan akses tersebut.

Sumber: Adapting to AI penetration testing orchestrators: The Modern Security Model; OpenID Connect.

Cadangan editorial untuk pasukan IT di Malaysia

Sebagai langkah praktikal, pasukan yang mengurus laman e-dagang, portal pekerjaan atau aplikasi dalaman boleh bermula dengan menyenaraikan token automasi yang digunakan untuk penerbitan dan pentadbiran. Catat pemilik, tujuan, tahap akses dan proses membatalkannya. Semak sama ada token lama masih diperlukan sebelum membuat perubahan.

Bagi saluran yang menyokong OIDC, uji kelayakan jangka pendek dalam persekitaran ujian terlebih dahulu. Hadkan hubungan kepercayaan kepada repositori dan aliran kerja yang diperlukan, kemudian sahkan bahawa penerbitan masih berfungsi sebelum menamatkan token lama.

Pasukan kecil juga boleh memilih beberapa peristiwa untuk dipantau dahulu: penciptaan token baharu, perubahan kebenaran, log masuk pentadbir yang luar biasa dan eksport data yang tidak dijangka. Tetapkan siapa yang menerima amaran dan siapa yang boleh bertindak; log yang dikumpulkan tanpa pemilik sukar digunakan ketika insiden.

Akhir sekali, latih proses membatalkan token dan memulihkan perkhidmatan menggunakan senario terkawal. Contoh ini ialah cadangan editorial untuk membantu perancangan, dan bukan dakwaan bahawa organisasi Malaysia telah terjejas oleh insiden dalam laporan Cloudflare.

Rujukan

• Adapting to AI penetration testing orchestrators: The Modern Security Model — 2026-11-13
• OpenID Connect

Disediakan secara automatik dengan bantuan AI berdasarkan sumber yang dipautkan. Semakan sumber: 2026-11-15. Gambar utama ialah ilustrasi janaan AI, bukan foto peristiwa sebenar.