Cloudflare ha presentado Adaptive Intelligence, un nuevo motor de detección integrado en Bot Management que aprende de forma continua del tráfico real y ajusta sus defensas a medida que cambian las técnicas de los bots. La compañía quiere atacar una de las ventajas de los ciberdelincuentes actuales: automatizar intentos a bajo coste, probar variaciones constantemente y adaptar sus herramientas hasta encontrar una forma de eludir las protecciones.
Las claves de Cloudflare Adaptive Intelligence en 30 segundos
- Adaptive Intelligence se integra en Cloudflare Bot Management y reentrena continuamente sus modelos con tráfico real.
- Cloudflare analiza más de un billón de solicitudes diarias para detectar patrones de automatización.
- El sistema generará reglas temporales y específicas para determinados ataques, que después desaparecerán.
- También combinará señales de red con comportamiento observado durante toda la sesión mediante Precursor.
- Parte de estas funciones todavía se desplegará progresivamente y no está disponible completa desde el primer día.
El planteamiento parte de un cambio en la forma de defenderse. En vez de confiar únicamente en reglas relativamente estables que un atacante puede estudiar durante días o semanas, Cloudflare quiere que determinadas partes de la protección cambien con suficiente rapidez como para que el trabajo necesario para esquivarlas deje de ser rentable.
La compañía describe este problema en términos económicos. Crear campañas automatizadas es cada vez más barato gracias a proxies residenciales, redes de dispositivos comprometidos, herramientas disponibles en Internet y sistemas de inteligencia artificial que facilitan la configuración y modificación de ataques.
El defensor se encuentra en una posición distinta: tiene que bloquear al atacante sin impedir el acceso de usuarios reales.
Adaptive Intelligence intenta reducir esa asimetría.
Un modelo que deja de esperar a la siguiente actualización
Los sistemas de detección de bots suelen combinar diferentes señales.
Cloudflare ya utiliza aprendizaje automático, huellas del navegador, comportamiento, heurísticas y mecanismos para identificar bots legítimos, como rastreadores de buscadores.
Bot Management asigna actualmente a cada solicitud un Bot Score entre 1 y 99. Las puntuaciones bajas suelen estar asociadas a tráfico automatizado y las empresas pueden utilizar ese valor para crear reglas en el firewall de aplicaciones web o en Workers.
Adaptive Intelligence añade un motor nuevo detrás de ese proceso.
La primera función disponible es el reentrenamiento continuo del modelo de aprendizaje automático.
En lugar de preparar una versión, validarla, publicarla y esperar hasta la siguiente actualización, Cloudflare afirma que el sistema puede incorporar patrones procedentes de nuevas herramientas y técnicas de evasión según aparecen en el tráfico.
La compañía analiza más de un billón de solicitudes al día en busca de señales de abuso automatizado. Ese volumen proporciona una base de datos distribuida considerable para observar cómo cambian los bots entre diferentes sitios y redes.
El objetivo es acortar el tiempo entre la aparición de una técnica y su incorporación a las defensas.
Eso no significa que cualquier comportamiento nuevo quede automáticamente clasificado como malicioso. Un sistema de este tipo tiene precisamente que evitar que la velocidad de adaptación aumente también los falsos positivos.
Cloudflare asegura que las nuevas configuraciones se validan antes de aplicarse sobre el tráfico, aunque el comportamiento efectivo dependerá de cada entorno y de las señales disponibles.
Reglas hechas para desaparecer
La parte más llamativa de Adaptive Intelligence será la generación de reglas desechables o temporales.
La lógica es diferente a la de mantener permanentemente una regla diseñada para bloquear una técnica concreta.
Si un atacante descubre qué característica provoca el bloqueo, puede modificar su bot hasta superar esa comprobación. Después conserva ese conocimiento y lo reutiliza.
Cloudflare quiere impedir que ese aprendizaje tenga demasiado valor.
Adaptive Intelligence está diseñado para generar reglas dirigidas a una campaña o patrón determinado, mantenerlas durante un periodo limitado y retirarlas posteriormente.
Su duración puede variar deliberadamente.
La intención es evitar que el atacante disponga de un objetivo estable que pueda analizar repetidamente.
| Defensa más tradicional | Enfoque propuesto por Adaptive Intelligence |
|---|---|
| Reglas relativamente estables | Reglas temporales |
| Actualizaciones por versiones | Reentrenamiento continuo |
| Señales principalmente por solicitud | Señales de solicitud y sesión |
| El atacante puede estudiar la respuesta | Se intenta reducir la información que obtiene |
| Protección cambia periódicamente | Parte de la defensa puede cambiar continuamente |
Hay un matiz importante: esta capacidad no está completa en el lanzamiento inicial.
Cloudflare explica en su documentación técnica que el reentrenamiento continuo es el primer componente que se activa ahora, mientras que la generación automática de reglas desechables y otras funciones se incorporarán posteriormente.
Por tanto, la visión anunciada es más amplia que las capacidades disponibles desde el primer día.
Ocultar al atacante qué ha sido detectado
Otra parte del planteamiento consiste en reducir la información que recibe quien está intentando sortear la protección.
Cuando una defensa responde siempre de la misma manera ante una determinada señal, un atacante puede realizar pruebas para averiguar qué aspecto de su comportamiento activa el bloqueo.
Adaptive Intelligence intenta evitar esa relación directa.
Cloudflare explica que el motor puede detectar una señal sin reaccionar necesariamente de una forma visible ante ella. De este modo, el bot puede seguir utilizando una característica que la plataforma ya identifica sin saber que ha sido descubierta.
El sistema tampoco pretende depender de una única condición binaria.
Utiliza un juicio estadístico construido a partir de múltiples señales, lo que dificulta aislar una regla concreta y modificar únicamente el parámetro necesario para superarla.
Este enfoque no hace imposible la evasión.
La propia Cloudflare parte de la premisa contraria: un atacante suficientemente persistente puede encontrar una forma de atravesar una defensa.
La estrategia consiste en que esa solución deje de funcionar rápidamente y obligue a repetir el trabajo.
Detectar ataques que parecen humanos durante cada petición
Otro de los problemas actuales es que algunos bots intentan comportarse como usuarios normales.
Pueden utilizar navegadores reales, direcciones IP residenciales, pausas deliberadas y movimientos que buscan reproducir una interacción humana.
Cada petición vista de manera aislada puede parecer legítima.
El patrón cambia cuando se observa la sesión completa.
Cloudflare presentó recientemente Precursor, un sistema de verificación que funciona desde el navegador y analiza el comportamiento del visitante a lo largo del tiempo.
Precursor ejecuta código en el cliente, recoge señales durante la sesión y actualiza continuamente la valoración asociada al visitante.
Adaptive Intelligence combinará esta información con la telemetría obtenida desde la red de Cloudflare.
Entre las señales citadas por la compañía aparecen huellas TLS JA4, estructura de solicitudes, resultados de desafíos, reputación de red, comportamiento de sesión y datos procedentes de Turnstile y Precursor.
Esto permite buscar una categoría de amenazas especialmente difícil de detectar: los ataques denominados low and slow.
Un intento de credential stuffing, por ejemplo, puede reducir deliberadamente su velocidad para no superar umbrales habituales de peticiones.
Algo similar ocurre con determinados sistemas de scraping.
Si cada dirección realiza pocas operaciones, una defensa basada únicamente en volumen puede no considerarlas sospechosas.
El análisis durante diferentes periodos de tiempo permite buscar patrones que solo aparecen al observar el comportamiento agregado.
La IA abarata también el trabajo del atacante
Cloudflare relaciona Adaptive Intelligence con el uso creciente de inteligencia artificial en el lado ofensivo.
No es necesario asumir que los atacantes hayan delegado completamente sus operaciones en agentes autónomos para que la IA tenga un efecto.
Generar scripts, modificar configuraciones, analizar errores, imitar determinadas interacciones o adaptar una herramienta requiere ahora menos conocimientos que hace algunos años.
Además, existen servicios comerciales que ofrecen infraestructura de proxies o automatización a usuarios que no necesitan controlar técnicamente cada componente.
El resultado es una disminución del coste de realizar muchas pruebas.
Para una tienda online, una entidad financiera o una plataforma con cuentas de usuario, esa facilidad puede traducirse en oleadas constantes de scraping, creación automática de cuentas, abuso promocional o intentos de acceso con credenciales robadas.
La dificultad está en que bloquear más agresivamente puede perjudicar a clientes reales.
Una dirección IP residencial, por ejemplo, ya no constituye una señal suficiente para asumir que existe una persona detrás.
Adaptive Intelligence intenta aprovechar la escala de Cloudflare para identificar características que se repiten entre campañas aunque cada ataque individual intente parecer diferente.
La defensa automática también necesita controlar los falsos positivos
Una protección que modifica automáticamente sus modelos y reglas introduce otro riesgo: bloquear tráfico legítimo por error.
Para una empresa de comercio electrónico, confundir a un cliente con un bot puede tener un coste inmediato.
Cloudflare afirma que las nuevas actualizaciones pueden probarse contra tráfico real antes de desplegarse completamente, buscando comprobar su precisión sin causar interrupciones.
La compañía utiliza además el tráfico de sus clientes como señal para mejorar el sistema. Cuando una clasificación resulta incorrecta, esa información puede incorporarse posteriormente al entrenamiento.
Esta capacidad presenta una ventaja inherente a operar una red global: un patrón detectado en determinados sitios puede proporcionar información útil para otros.
Pero tampoco convierte la detección en infalible.
Los comportamientos normales varían mucho entre aplicaciones. Una API, un comercio electrónico, un servicio financiero y una web de contenidos pueden recibir automatizaciones legítimas completamente diferentes.
Cloudflare mantiene precisamente categorías específicas para bots verificados y permite que los clientes decidan qué acciones aplicar según el Bot Score y el tipo de tráfico.
El siguiente frente será distinguir bots buenos, malos y agentes de IA
La expansión de los agentes de inteligencia artificial complica todavía más esta clasificación.
No todo el tráfico automatizado es malicioso.
Los buscadores necesitan rastrear páginas. Los sistemas de monitorización realizan peticiones automáticas. Los servicios empresariales utilizan APIs. Y los agentes de IA pueden acceder a un sitio para buscar información o realizar una tarea solicitada expresamente por una persona.
Cloudflare ya está modificando sus herramientas para distinguir entre diferentes comportamientos de bots de IA, incluidos rastreadores destinados a búsqueda, entrenamiento y agentes que actúan en nombre de usuarios.
Por eso Adaptive Intelligence no puede limitarse a determinar simplemente si una solicitud procede de una máquina.
La cuestión pasa a ser qué automatización está actuando, cómo se comporta y qué intenta hacer.
Es una diferencia importante.
Un bot de scraping intensivo, un asistente que consulta una página por encargo de una persona y el crawler de un buscador pueden utilizar tecnologías parecidas, pero representan escenarios muy distintos para el propietario del sitio.
La combinación de comportamiento, reputación, telemetría global y señales de sesión pretende proporcionar más información para tomar esa decisión.
Cloudflare quiere convertir la adaptación en el coste del atacante
La idea más interesante de Adaptive Intelligence no está realmente en utilizar aprendizaje automático para detectar bots. Eso ya forma parte de Bot Management desde hace tiempo.
La novedad está en diseñar deliberadamente la defensa para cambiar antes de que el atacante pueda amortizar el trabajo empleado en sortearla.
Es una carrera temporal.
Un atacante encuentra una técnica que funciona, la prueba, la escala y obtiene un retorno económico. Si la defensa permanece estable durante suficiente tiempo, ese esfuerzo compensa.
Si la técnica deja de funcionar poco después de haberla desarrollado, necesita comenzar de nuevo.
Cloudflare quiere reducir esa ventana constantemente.
Todavía queda por comprobar cuánto puede automatizar este ciclo sin aumentar falsos positivos ni introducir comportamientos difíciles de auditar. Además, varias de las funciones que forman parte de la visión completa de Adaptive Intelligence siguen pendientes de despliegue.
Lo que sí refleja el anuncio es un cambio más amplio en ciberseguridad.
Las defensas ya no pueden asumir que las técnicas ofensivas evolucionarán al ritmo de actualizaciones mensuales o trimestrales. Los atacantes pueden probar variaciones continuamente y utilizar automatización para acelerar ese proceso.
Cloudflare plantea responder con el mismo principio: una defensa que observa, aprende, cambia y vuelve a validar de manera continua.
La batalla contra los bots se desplaza así desde encontrar una regla perfecta hacia conseguir que ninguna técnica de evasión siga siendo útil demasiado tiempo.
Preguntas frecuentes
¿Qué es Cloudflare Adaptive Intelligence?
Es un nuevo motor de detección integrado en Cloudflare Bot Management que aprende continuamente del tráfico y adapta sus modelos a nuevas técnicas de automatización y evasión.
¿Adaptive Intelligence ya genera automáticamente reglas temporales?
Cloudflare ha lanzado inicialmente el componente de reentrenamiento continuo. La generación automática de reglas desechables y otras funciones descritas por la compañía se incorporarán progresivamente.
¿Qué relación tiene Adaptive Intelligence con Precursor?
Precursor analiza el comportamiento del visitante durante toda la sesión en el navegador. Adaptive Intelligence puede combinar esas señales con la telemetría global de la red de Cloudflare para mejorar la identificación de automatizaciones difíciles de detectar.
¿Quién puede utilizar Adaptive Intelligence?
Cloudflare indica que los clientes Enterprise de Bot Management pueden acceder al nuevo sistema mediante la opción de actualización automática del aprendizaje automático. La disponibilidad de determinadas funciones puede evolucionar a medida que se desplieguen nuevos componentes.
