Cloudflare 智能体安全运营：证据与推理分离架构

当大模型被引入安全运营，最致命的失败模式不是模型不够聪明，而是它编造了一个听起来完全合理、却毫无事实依据的攻击链。Cloudflare 在托管防御服务中每天需要分诊数千条安全告警，他们选择了一条与主流"单体 AI 分析师"截然不同的路径：将确定性证据收集与 LLM 推理彻底拆开，构建了一支运行在 Cloudflare Workers 上的专业化智能体团队。

为什么证据优先是架构基石

安全运营智能体的核心风险在于"虚构证据"——模型可能依据看似合理但实际虚构的攻击特征给出响应建议。在真实环境中，错误的建议可能触发不必要的应急响应流程，也可能让真正的入侵被忽略。

Cloudflare 的方案将 LLM 严格限定为推理层，只作用于预先验证过的事实之上。整个管道分为三个阶段：证据收集阶段执行针对全球网络遥测、DNS 日志、HTTP 流量模式和威胁情报源的确定性查询，完全不涉及模型；上下文组装阶段将告警元数据、关联事件、历史模式和已知攻击签名构建为结构化数据对象，仍然保持确定性；推理层阶段将证据包交给 LLM 智能体生成建议，但每一项断言都必须引用具体的证据工件。

这种分离带来的直接收益是可审计性。当智能体建议封锁某个子网时，建议中会附带指向具体日志条目、流量尖峰或威胁情报匹配记录的指针，分析师可以逐层追溯推理链条。

LLM 幻觉指的是大语言模型在缺乏事实依据时，仍生成语法流畅、逻辑自洽却与真实情况不符的内容。在安全运营场景中，这种幻觉尤为危险：模型可能虚构一个不存在的 CVE 编号、捏造一段从未发生过的横向移动路径，或错误归因某个 IP 为已知恶意源。由于安全分析师的日常工作本身就是从海量噪声中甄别信号，一段看似专业的伪造攻击链极易被采信，进而触发错误的封锁、隔离或升级动作。业界常见的缓解手段包括检索增强生成（RAG）、强制引用来源、以及将模型输出限制在预定义模式内。Cloudflare 的做法更进一步：不是让模型“尽量引用”，而是从数据结构上使其无法引用证据包之外的内容。

专业化智能体团队的分工结构

Cloudflare 没有构建一个通用型安全分析智能体，而是让多个智能体各自负责狭窄的领域：

• 分诊智能体：对告警严重性进行分类，并路由到相应的调查工作流
• 调查智能体：查询遥测源并组装证据包
• 建议智能体：基于已收集的证据生成响应动作
• 验证智能体：对照历史误报模式交叉校验建议

智能体之间通过一个共享上下文对象进行协调。该对象持续累积证据和推理步骤，每个智能体将自己的发现追加进去，再将丰富后的上下文传递给下一阶段。

编排层运行在 Cloudflare Workers 上，这使得智能体能够以低延迟访问支撑 Cloudflare 边缘服务的同一套全球网络数据。一个正在调查 DDoS 告警的智能体，可以在不离开 Workers 运行时的情况下查询横跨 300 多个数据中心的流量模式。

共享上下文对象是多智能体协作中的一种协调模式，指一个贯穿整个工作流、可被所有智能体读写和追加的数据结构。与消息传递式协作相比，共享上下文减少了智能体之间的显式通信开销，也让每个阶段都能看到完整的证据累积历史，便于后续审计。但其风险在于上下文膨胀和污染：如果一个智能体写入了错误或恶意内容，后续智能体可能基于被污染的状态继续推理。Cloudflare 通过 EvidenceBundle 等强类型约束来缓解这一问题——证据只能以结构化条目形式追加，建议智能体无法写入新证据，只能引用已有条目，从而在协作灵活性与数据可信度之间取得平衡。

编排流程与状态管理

系统处理一条入站安全告警的流程可以概括为：分诊智能体先做确定性分类，调查智能体收集证据（不调用 LLM），建议智能体基于证据进行分析，最后由验证智能体对照已知误报模式进行核验。代码中通过 EvidenceBundle 类型强制约束结构——每条证据都包含来源标识、时间戳、查询参数和原始结果集。建议智能体无法凭空创造证据，只能引用证据包中已有的条目。

长时间运行的调查使用 Cloudflare Durable Objects 进行状态持久化。如果一条告警需要数小时的分析（等待额外遥测数据、与外部威胁源关联），Durable Object 会在多次智能体调用之间维持上下文。交接逻辑内置了重试策略和回退路径：如果建议智能体超时或返回不可解析的响应，编排器可以路由到更简单的基于规则的备选方案，或直接升级给人工分析师。

Durable Objects 是 Cloudflare 提供的一种有状态计算原语，它保证特定对象在任意时刻只有一个实例运行，并可将状态持久化到存储中。这与普通 Workers 的无状态、短生命周期模型形成互补：Workers 适合处理无状态的请求-响应任务，而 Durable Objects 适合需要跨多次调用维持会话、锁或累积状态的场景。在安全调查中，一条告警的分析可能横跨数小时，期间需要等待外部威胁情报、补充遥测数据或人工确认。Durable Object 为每次调查提供一个稳定的状态容器，使编排器可以在多次智能体调用之间保存上下文、执行重试，而无需依赖外部数据库或消息队列来重建状态。

可观测性与审计追踪

每一个智能体步骤都会将结构化日志写入 Cloudflare 的分析管道，记录内容包括智能体类型与版本、输入上下文快照、访问的证据工件、LLM 提示与响应（如适用）、输出上下文差异、执行时间与 token 用量。

托管防御分析师可以看到智能体推理过程的时间线视图。他们可以点击任意一条建议，深入了解证据包、查看具体的 LLM 提示，并追踪哪些遥测查询返回了哪些结果。这条审计链对调优至关重要：当智能体产生误报时，工程师可以将上下文在新版智能体上重放并比较输出；当智能体漏掉真实威胁时，可以检查缺失了哪些证据并补充新的遥测源。

安全边界与部署形态

每个智能体运行在权限受限的隔离 Workers 中。调查智能体可以查询遥测但不能执行响应动作；建议智能体可以生成封锁列表但不能应用；只有验证智能体才能将建议提升为可执行状态，而且即便如此，高影响操作仍需人工分析师批准。LLM API 调用经过专用网关，该网关执行速率限制、记录所有提示与补全、并在发送给外部模型提供商之前剥离敏感数据。Cloudflare 利用这个网关在不修改智能体代码的情况下试验不同模型（GPT-4、Claude、内部微调模型）。

整个系统部署在 Cloudflare 边缘：Workers 负责智能体执行，Durable Objects 维护有状态调查上下文，KV 缓存威胁情报和历史误报模式，R2 长期存储证据包和审计日志，Analytics Engine 提供实时指标与日志聚合。这种部署形态意味着智能体在靠近遥测源的位置执行。传统安全运营工具将日志聚合到中心化 SIEM 再进行分析，而 Cloudflare 的智能体直接查询分布式数据源，降低了延迟并消除了数据移动瓶颈。

Cloudflare Workers 是运行在 Cloudflare 全球边缘网络上的无服务器运行时，基于 V8 隔离而非传统容器，因此冷启动极低、可按请求计费。KV 是最终一致的键值存储，适合缓存威胁情报和误报模式这类读多写少、容忍短暂陈旧的数据；R2 是兼容 S3 API 的对象存储，无出口流量费用，适合长期保存证据包和审计日志；Analytics Engine 则面向高基数时序数据，支持对智能体步骤日志进行实时聚合与查询。将这些原语组合使用，意味着系统无需自建跨地域的数据复制和存储层，智能体可以在靠近遥测源的位置执行查询，避免了传统 SIEM 架构中“先集中、再分析”带来的数据移动成本和延迟。

失败模式与权衡取舍

系统在组件故障时具备优雅降级能力。LLM API 超时时，10 秒后回退到基于规则的启发式方法；证据查询超时时，输出带置信度惩罚的部分分析；Durable Object 不可用时，指数退避重试，三次尝试后升级给人工；智能体输出不可解析时，记录错误并标记人工复审；验证智能体拒绝建议时，将拒绝理由和证据包一并呈现给分析师。证据优先架构限制了爆炸半径——如果建议智能体产生幻觉，验证智能体会因为建议无法引用支持证据而捕获它；如果验证智能体本身失败，系统默认转人工审查，而非自动执行可疑操作。

这套架构有明确的代价。证据分离增加了延迟——先收集遥测再调用 LLM 意味着每条告警的处理时间更长，Cloudflare 接受这一权衡，因为在安全运营中准确性比速度更重要。专业化智能体增加了复杂性——单个通用智能体构建和维护都更简单，但专业化提升了准确性，也让调优更容易，分诊智能体分类错误时只需重新训练该智能体，不会波及调查或建议逻辑。Workers 部署限制了模型选择——边缘运行意味着无法使用需要 GPU 集群的大型本地模型，LLM 调用被路由到外部 API，引入了对第三方可用性和速率限制的依赖。

技术判断

这套模式适用于幻觉不可接受的领域：安全运营、金融欺诈检测、医疗诊断辅助，以及任何建议必须可审计并基于可验证事实的工作流。它不适合需要亚秒级延迟的实时响应场景，也不适合证据源本身查询缓慢的环境——多阶段管道带来的开销在延迟敏感场景中可能无法接受。

如果已经运行在 Cloudflare 平台上，或者遥测源全局分布，Workers 部署形态的优势会充分体现；如果数据集中在单一数据中心，边缘执行的优势就消失了。这套架构在有高质量结构化遥测、并需要将 LLM 推理与完整可审计性结合时表现最为突出，对于偶尔出错可以接受的低风险自动化场景则属于过度设计。

来源：Cloudflare Blog: Building an evidence-grounded agentic security operations harness