Cloudflare、AI Security for Apps を rate limiting 以上の edge 防御へ押し広げる

この X post が示したこと

Cloudflareは2026年4月11日のXで、AI app security はもはや単純な rate limiting だけでは守れないと強調した。post 自体は lightboard session への導線だが、より重要なのはその前提だ。Cloudflareは LLM traffic を通常の API traffic の延長ではなく、discovery、inspection、enforcement が必要な独立した security surface として扱おうとしている。しかもその処理を model や agent workflow の手前、つまり edge で完結させようとしている点がポイントだ。

公式資料から見える product の範囲

Cloudflareの2026年3月11日付 general availability 発表によると、AI Security for Apps は reverse proxy 層の一部として AI-powered application の前段に置かれる。役割は三つある。web property 全体から AI endpoint を見つけること、prompt injection や PII exposure、toxic topic のような signal を検知すること、そしてその結果を既存の WAF rules engine に渡して block、log、custom response まで一つの policy 体系で処理することだ。

• Discovery は /chat/completions のような path 名だけでなく endpoint behavior から LLM-powered endpoint を識別しようとする。
• Detection は OpenAI、Anthropic、Google Gemini、Mistral、Cohere、xAI、DeepSeek などの一般的な request format を標準で扱うとされる。
• GA では custom topics detection が追加され、企業ごとの禁止領域や sensitive category を relevance score で policy 化できるようになった。

配布戦略も広い。full protection は Enterprise 向けだが、AI endpoint discovery は Free、Pro、Business plan まで無料化された。さらに IBM Cloud Internet Services や Wiz AI Security との連携も打ち出しており、単体の LLM filter ではなく broader security platform の一部として位置付けている。

なぜ重要か

面白いのは、Cloudflareが AI 向けに別の point solution を足しただけではないことだ。prompt-level の risk signal を IP reputation、browser fingerprint、bot behavior といった既存の edge telemetry と結び付け、AI traffic も application security の本流で扱おうとしている。これは content moderation よりも operational control に近い発想だ。

public Internet 上で agent、copilot、retrieval app を運用するチームにとっての実務的な示唆もはっきりしている。まず AI endpoint がどこにあるのかを把握し、どの payload format を受け付けるのかを理解し、その上で model-aware rule を edge に載せる必要がある。今回の X post は短いが、関連する公式資料まで追うと、Cloudflareが AI traffic を first-class application traffic として扱う方向へ明確に舵を切っていることが分かる。

Source links: X post, Cloudflare GA announcement.