随着我深入研究我们的年度研究，我得出了几个不可回避的结论，而这些结论在很大程度上源于AI对几乎所有事物的影响。
其中一个不可回避的结论是，WAAP是时候从“Web应用和API保护”转向“Web、API和AI保护”了。
我说的就是这个意思。
提出这一观点有很多理由，其中最重要的是，“web”和“app”在此语境下含义重叠。尽管估算结果会因方法和时间段而异，但多个行业来源表明，大约80%的互联网流量通过HTTP协议传输（包括HTTP和HTTPS）。例如，Cisco Visual Networking Index（VNI）报告以及来自Akamai等内容分发网络的类似分析一直表明，Web流量主要通过HTTP/HTTPS传输，占全球互联网流量的绝大部分。
从交付和安全服务的角度来看，通过“HTTP/S”传输的任何流量通常都被视为“应用”流量。无论生成内容的是现代应用还是传统应用，也无论内容是静态还是动态，对于用于交付和保护这些内容的众多服务而言，基本没有影响。甚至通过HTTP/S交付的DNS等基础设施服务占比也在增长。Cloudflare的行业估算通常表明，目前约有10%–20%的DNS流量通过HTTPS（DoH）传输。
因此，不妨去掉“Web应用”，直接称为“Web”。
WAAP中的API仍然至关重要。API流量持续增长，无需逐一引用所有认为API如今占据主导地位的资料。不过，如果需要依据，早在2021年，《RapidAPI API现状报告》就指出，各类服务每月产生数十亿次API调用。按一个月（约260万秒）计算，这些数据意味着全球平均每秒约有400,000次API调用。
而那已是4年前，当时生成式AI尚未迅速兴起。
这就引出了本文真正的重点：将AI融入WAAP。
我知道，刚才还说不要重复，而AI的使用几乎无一例外都通过API实现，因此单独强调这一点似乎没有必要。但面对非确定性且主要基于文本的内容，交付和安全服务的处理方式存在显著差异，值得特别指出。至少目前如此。
这是因为，计划用于保护AI推理的主要交付和安全服务，其实与WAAP所包含的服务大体相同。
使用WAAP定义所涵盖的技术来保护AI推理已十分普遍。
与此同时，也不能忽视过去一年出现的一项新安全服务：AI网关。AI网关围绕提示词和响应提供AI专用防护，以应对提示词注入、越狱，甚至幻觉等AI特有的漏洞。
AI网关的当前应用和规划应用融合了传统上用于Web和API流量的交付与安全服务。
但问题在于，仅靠AI网关不足以保护模型，因为API也面临其特有的威胁。此外，WAAP中的机器人管理和DDoS防护等组件源自前文提到的传统Web（即HTTP/S）。
不过，我们还是来看看数据吧。我们询问了受访者如何部署交付和安全服务（这当然是我们会问的问题）。
我们发现，94%的受访者部署了全部4种传统WAAP技术。
而同时部署全部4种传统WAAP技术以及AI网关的受访者比例是……答案想必您已经猜到了，没错，也是94%。
换言之，各组织已经在结合部署这些技术，因为他们知道，要保护AI模型和推理服务器，就必须保护从第4层到第7层的整个技术栈。这意味着以下五项服务缺一不可：
- Web应用防火墙
- API安全
- Bot管理
- DDoS防护
- AI网关
因此，我得出的必然结论是：WAAP需要从仅关注应用和API，发展为同时涵盖AI。
关于作者
Lori MacVittie是F5首席技术官办公室的杰出工程师兼首席技术布道师，在应用交付、自动化战略和基础设施领域拥有深厚的专业知识。无论是为AI智能体定义防护机制、剖析脆弱的多云架构，还是探索可扩展系统的极限，她都善于化繁为简。她在应用开发、IT架构以及网络和系统运维领域拥有30多年的行业经验。加入F5之前，她曾担任技术编辑，并因出色表现获得奖项。 MacVittie拥有计算机科学硕士学位，著述颇丰，出版作品涵盖安全、云和企业架构领域。她还热衷于桌面游戏和电子游戏，并且对奶酪有着毫不掩饰的鲜明见解。
Lori Mac Vittie 的更多博客文章相关博客文章
2023年应用策略现状：成本与复杂性是推动多云网络发展的首要因素
多云网络解决方案可在核心、云和边缘环境之间实现无缝、安全的互联，为解决当今混合IT面临的挑战提供支持，因而备受业界关注。