いまの対策では見えなかった脅威を、AI が可視化

WAFAttackScore 1〜20（高リスク）の533,642件中、ブロックされていたのは20.4%のみ。Cloudflare WAFは攻撃を「検知」しているが「阻止」していない状態。CDNダッシュボードには「検知件数」として表示されるが、実際にブロックされていないという事実は見落とされやすい。現行ブロック率0.38%は業界水準（3-8%）を大幅に下回る。

CSRFトークン取得 → カート追加 → 注文確定（step03）の購入フローを完全自動化したスキャルピングボット。2025-12/04から5日間、行動パターンベースの検知がなく素通り。ブロックルールが手動の事後対応（IP名そのまま）だったため、次の攻撃IPには同じ遅延が発生する構造。

Tencent Cloud JPリージョンから49時間にわたり商業用ペネトレーションテストツールによる系統的診断が実施された。OASTドメイン（bxss.me）を使ったOut-of-band攻撃テストを確認。Googlebot偽装を844回実行。64のWAFルールに該当するペイロードを投下し、カタログスクレイピング部分（580,346件）は最後まで通過。

攻撃者がサーバーを遠隔から自由に操作できる状態にする攻撃（RCE＝Remote Code Execution）が月間674,335件、1日平均約22,000回届いていた。成功すれば個人情報窃取・サイト改ざん・マルウェア設置に直結するリスク。270,943 IPに分散して1IPあたり平均2.5件の短サイクルで投下するため、ルールベースWAFでは検知できず、ブロック率0.0%のまま全件素通りした。