GPT-3 API を使って AI WAF を作る - まったり技術ブログ

※ネタ記事です はじめに 検証する脆弱性 Tips. GPT-3 とは？ WAFの実装 環境・必要なもの ソースコード 検証 正常リクエスト XSS GETパラメータ POSTデータ POSTデータ & ヘッダ無し SQL インジェクション GETパラメータ GETパラメータ & ヘッダ無し XXE POSTパラメータ① POSTパラメータ② POSTパラメータ & ヘッダ無し パストラバーサル GETパラメータ GETパラメータ & ヘッダ無し OS コマンドインジェクション GETパラメータ & ヘッダー無し GETパラメータ Log4Shell POSTパラメータ POSTパラメータ & ヘッダ無し POSTパラメータ & ヘッダ無し WordPress のユーザ列挙 ShellShock まとめ はじめに 最先端(?)であるGPT-3を使って 次世代WAF を作っていきます。 以下

[shunkeen]

“検証前から分かっていたことではありますが、実運用でWAFとして使うのはムリそう”／牛刀をもって鶏を割いてる意識をバリバリに持ちつつ、それでも試さずにはいられない知的好奇心の発露という感じがおもしろい。

[ledsun]

こういう風にGPT-3 APIを使うのか。発想が天才的。ソースコードもあって面白かった。

[naggg]

"GPT-3 API に対して「このHTTPリクエストは攻撃ですか？」とWAFで受信したHTTPリクエストを添えて聞きます。→「Yes, 攻撃だよ」と返答があったら攻撃リクエストと判定します。→処理を中断し、403エラーを返却"

[knok]

むっちゃお金かかりそう

[palpocota]

これでホワイトリストを作成して運用すれば「AIが守ってくれるWAF」として代理店が売り出しそう

[door-s-dev]

すげ〜

[umai_bow]

これ攻撃っぽいログ読ませて概要を知るには全然役に立つのでは。攻撃じゃなくてもログを食わせて問題点を指摘させるとか

[misomico]

既存の攻撃すべて食べたAIなら新しい攻撃も防げるかな

[napsucks]

建設的ブコメAPIもGPT3に置き換えよう

[sho]

レスポンスに3秒以上かかる、検知率もさほど良くないWAFになっててウケる。でもすぐに実用的な実装が出てきそう

[buhoho]

これくらいの用途なら安くて早い言語モデル使えば良さそう。1リクエスト1円ということは text-davinci-003 使ってる？まあそれでも実用的ではないか

[quwachy]

FewShotなしでも結構いけるんだな

[cartman0]

いやでも一回GPT通して実行するとどうなるかシミュレーションさせるの良さそうやな

[kagerou_ts]

数年後には「AWS WAF AI」とかできてそう