AI时代的F5 NGINX安全防护

Jay Bhalod工程高级总监 | F5

在最近的一篇博客中，F5首席产品官分享了F5如何运用前沿AI增强软件的安全性。该博客介绍了一种由AI驱动的扫描、分类处置、修复、测试和发布方法。这并非一次性工作，而是一套可重复执行的运营模式，旨在更快速、更严谨地发现并解决问题。

这种方法对F5 NGINX具有重要意义。

NGINX处于现代互联网众多业务的关键路径上，为近三分之一的网站提供支持。作为广泛使用的Web服务器、反向代理、API网关和Kubernetes入口技术之一，如此广泛的应用也意味着重大责任，尤其是在安全方面。

安全始终是我们构建和维护NGINX的核心考量。但软件安全环境正在迅速变化。前沿AI模型让复杂代码库分析、跨模块推理和潜在漏洞识别变得更加容易，速度也比仅使用传统方法更快。这为防御方带来了机遇，也增强了紧迫感。如果AI能帮助工程团队更快地发现并修复问题，也能帮助攻击者更高效地寻找薄弱环节。

正因如此，F5正投入资源，采用AI驱动的方法保护NGINX。目标很明确：更早发现问题，严格验证，谨慎修复，并尽可能快速、持续地向用户提供经过安全加固的版本。

保护整个F5 NGINX产品组合

NGINX并非单一代码路径，而是一个广泛的生态系统，涵盖开源软件、商业产品、面向Kubernetes的组件、安全模块，以及面向开发者的可扩展性项目。保护NGINX的安全，需要全面审视整个生态系统的攻击面。

我们的测试和验证工作涵盖F5 NGINX Open Source、F5 NGINX Plus、F5 NGINX Ingress Controller、F5 NGINX Gateway Fabric、F5 NGINX Instance Manager、F5 NGINX One Console、F5 WAF for NGINX、相关应用安全模块，以及称为njs的nginx JavaScript模块。

这种广泛的覆盖范围非常重要，因为用户会以多种方式运行NGINX。有些用户将其用作Web服务器或反向代理，有些则将其用作负载均衡器、API网关、Ingress控制器，或更广泛的应用交付架构的一部分。有些用户依赖开源组件，有些则使用商业支持和企业级功能，还有许多用户会混合使用二者。

对用户而言，其价值在于一致性。安全工作应反映软件的实际部署方式，而不应只关注单个组件的打包方式。对整个NGINX产品组合进行测试，有助于我们结合具体情境评估问题、减少不确定性，并在需要更新时为用户提供更清晰的指导。

社区让NGINX更强大

NGINX始终受益于社区的专业知识。研究人员、维护人员、贡献者、运维人员、客户和开源用户都在助力软件不断改进。

我们谨向长期以来发现问题、报告错误、提交修复并帮助改进NGINX的所有人员表示感谢。他们的工作让项目更加稳健，也有助于保护更广泛的互联网生态。

社区贡献的示例包括近期发现的问题，例如CVE-2026-42530、CVE-2026-42055、CVE-2026-9256和CVE-2026-42945。这些通过广泛社区报告的发现，帮助我们快速完成调查、验证和修复，并发布更新。这些实例体现了研究人员、贡献者和维护者如何协同合作，为所有依赖NGINX的用户降低风险并提升安全性。

在AI时代，这种协作更为重要。随着扫描工具不断改进，更多人将能够在更多项目中发现更多问题。当维护者、研究人员和用户为共同目标携手合作时，这将对软件安全大有裨益：降低所有软件使用者面临的风险。

要取得良好成效，需要对潜在安全问题进行调查、验证、修复和测试，并以清晰说明用户如何获得保护的方式传达相关信息。感谢社区为推动这一过程发挥的重要作用。

扫描、分类处置、修复、测试、发布，循环往复

多年来，NGINX始终遵循严格的工程、测试和安全实践。如今，安全工作的推进速度和实施规模正在发生变化。

AI驱动的安全分析让我们能够更快地检查代码、识别可疑模式，并分析潜在的漏洞链。但其价值并非来自简单地让模型查找缺陷，而是来自围绕模型构建的完整闭环：扫描、分类处置、修复、测试、发布，然后重复这一流程。

F5的扫描基础设施遵循一套严谨的多步骤流程。

扫描有助于发现大型复杂代码库中的潜在问题。分类处置有助于区分实际发现的问题与误报。工程审查可将经验证的问题转化为修复措施。测试有助于确认修复措施有效且不会引入回归问题。发布规划有助于用户及时、清晰地获取经过安全加固的软件。

AI有助于加快该周期中的部分环节，但工程判断仍不可或缺。模型可以提出潜在问题、辅助分析，并帮助评估可利用性。相关人员仍需进行验证、确定优先级、修复和测试，并审慎决定发布方式。

对于NGINX这类成熟的基础设施软件，这种平衡至关重要。NGINX部署广泛、可配置性强，并用于对性能敏感的环境。不能仅孤立地评估修复方案，还必须结合实际使用模式、产品组合和部署模型进行测试。

用户可获得明确的益处：通过更系统的方法发现并修复问题，并由工程审核以及在各种NGINX使用环境中开展的测试提供支持。

持续投入至关重要

这类工作需要持续投入，包括使用先进AI模型、配备专门的安全和工程能力、建设测试基础设施、严格遵循发布规范，以及协调开源软件与商业软件。

这项投入是F5支持NGINX的方式之一。开源社区蕴含强大力量，NGINX也持续受益于这一模式。同时，要在广泛的产品组合中应用AI驱动的安全分析、验证分析结果、在多个产品中测试修复方案，并准备清晰明确的版本发布，需要人员、工具、流程和时间。

这对用户至关重要，因为安全并非一劳永逸，而是需要持续践行。其价值不仅在于发现缺陷，还在于构建一套能够持续发现和修复缺陷、开展测试并发布改进的体系。

我们也知道，更新会增加用户的工作量。经过更多安全加固的版本意味着需要评估、测试和部署更多更新。我们充分考虑到了这一点。我们的目标是在提升安全性的同时，尽可能让这一过程清晰且可预测。

与我们携手，让互联网更安全

互联网依赖共享基础设施。NGINX是其中的一部分，保障其安全需要大家共同努力。

F5将继续投资于AI驱动的安全实践、协调一致的发布流程，以及覆盖NGINX产品组合的测试。随着AI不断拓展软件安全的可能性，我们也将持续学习。

我们希望社区在两个重要方面提供帮助。

首先，如果您认为发现了NGINX安全问题，请在公开详细信息前与我们合作。请提供足够的详细信息，以便我们重现并了解该问题。请给维护人员留出时间来验证、修复和测试问题，并发布有助于保护用户的更新。您可以通过我们的安全报告流程在此处或在此处报告漏洞。

其次，应及时更新基础设施。发现并修复问题只是安全生命周期的一部分。只有部署这些修复后，才能为用户提供保护。我们深知，为关键基础设施安装补丁并非易事，尤其是在依赖项众多、变更窗口有限且有验证要求的复杂环境中。因此，组织应设法将补丁安装纳入日常运营生命周期，并尽可能实现自动化。

AI时代改变了软件安全的发展节奏，但目标并未改变。我们都希望软件更安全、基础设施更具韧性、互联网更加安全。

携手同行，才能更好地实现这一目标。

如需了解更多信息，请阅读我们之前发布的博客文章《利用前沿AI保护代码安全：F5的实践与经验》。

关于作者

Jay Bhalod工程高级总监 | F5

Jay Bhalod 的更多博客文章