Ransomware Protection

Identity, Credential and Access Management

Cybersecurity Compliance

Secure Apps and APIs

DNS Delivery and Security

DDoS Protection

App and API Performance

Media and Entertainment

Retail, Travel, and Hospitality

Financial Services

Healthcare and Life Sciences

Online Sports Betting and iGaming

Service Providers

Bot & Agent Control

See all Industry Solutions

Akamai Application Protection Platform

North America pricing

Firewall for AI

See all Cloud Computing

Akamai Inference Cloud

Adaptive Media Delivery

See all Cybersecurity

Global Services

Managed Databases

Accelerated Compute

Akamai Functions

App & API Protector

Client-Side Protection & Compliance

Account Protector

Content Protector

Akamai Guardicore Segmentation

Secure Internet Access

Enterprise Application Access

DNS Posture Management

API Acceleration

Download Delivery

Image & Video Manager

Media Services Live

Global Traffic Management

AI Brand Presence

Private Networking

See all Content Delivery

Frontier AI Security Risks

Akamai Workforce Protector (formerly LayerX)

AI and API Manager

Cloud ManagerManage your cloud computing services

Control CenterManage your security and delivery services

Our Infrastructure

See all products

Cloudflare is giving site owners a way to stay discoverable while disallowing AI training. New controls and an Accountable designation establish a shared model with Apple, Google, and Microsoft.

You can now scope access to individual Workers and assign narrower Developer Platform roles, so teammates, CI tokens, and agents get only the access they need to debug, deploy, or monitor safely.

1.1.1.1 now validates DNSSEC signatures using NIST’s post-quantum ML-DSA-44 algorithm. Here is how we manage 2,420-byte signatures and downgrade risks at scale.

Use production traffic and security signals to prioritize findings, prepare edge mitigations when safe, and propose code patches. By combining WAF data with OpenAI Daybreak models, Vulnerability Discovery and Remediation helps teams identify and patch the most critical threats first.

本文针对5G赋能的网络物理系统（CPS）中基于深度学习的DDoS检测器所面临的两大挑战：标注攻击数据稀缺，以及现有合成攻击样本不真实。传统检测器在手工构造、使用固定缩放因子的攻击样本上训练，一旦遭遇符合真实分布的攻击流量，性能会急剧下降（F1分数下降约47%至100%，取决于具体场景）。为此，作者提出Diff-DDoS，一个三阶段框架，利用表格扩散模型实现逼真攻击样本的合成与鲁棒检测。阶段一：基于呼叫详细记录（CDR）生成的时空网格，训练一个基线CNN小区级检测器。阶段二：在正常CDR聚合数据上训练表格去噪扩散概率模型（TabDDPM），用于生成贴近真实分布的攻击样本，从而暴露检测器的脆弱点。阶段三：引入对抗扩散训练（ADT），通过逆分类器引导生成困难但仍保持分布特性的样本，迭代训练直至检测器收敛。在米兰CDR数据集上，针对短信洪泛、静默呼叫、互联网信令和混合攻击场景，采用ADT训练的ResNet50在静默呼叫、互联网和混合场景下分别恢复了79.62%、100%和92.79%的F1分数。经过基于验证集的阈值校准后，ADT在短信洪泛场景达到100%的F1分数，而CTGAN仅为47.3%；在静默呼叫场景下，ADT与最强的基于梯度的对抗训练基线表现相当。实验结果表明，表格扩散模型可有效用于数据稀缺的5G网络物理部署中入侵检测器的压力测试与加固。

本文针对多控制器软件定义网络（SDN）中跨域分布式拒绝服务（DDoS）攻击的检测问题展开研究。在多控制器SDN架构下，DDoS攻击呈现“分散源、集中目标”的跨域特征：攻击流量来自多个边缘控制器域，但在单一汇聚控制器域中的受害节点汇聚。虽然基于熵的DDoS检测器在单控制器场景下效果良好，但直接应用于多控制器SDN时，作者通过系统性实验发现了一个此前被忽视的异常现象——聚合偏差：在攻击后过渡阶段，汇聚控制器仍持续产生大量误报，而边缘控制器已恢复正常。作者将该现象归因于OpenFlow统计滞后与无约束动态阈值漂移的耦合效应。为解决该问题，本文提出一种基于置信度融合的跨域检测框架，利用轻量级边缘侧消息校准汇聚控制器的决策，而无需共享原始流量数据。该框架具有非侵入性、通信高效且可增量部署的特点。在由3个控制器和24台主机组成的线性Mininet测试台上进行了10次实验，结果表明该方法在保持边缘控制器性能的同时，将汇聚控制器误报率从8.87%降至1.96%，F1分数从89.04%提升至96.89%。该研究揭示了多控制器SDN中熵检测的新问题，并提供了实用的解决方案，适合SDN安全研究者、网络运营工程师以及DDoS防护系统设计者阅读。

本文面向运营技术（OT）环境中的分布式拒绝服务（DDoS）检测问题，提出了一种面向部署、资源高效的神经符号（neuro-symbolic）混合检测框架。OT环境包括可编程逻辑控制器（PLC）、工业控制系统（ICS）和监控与数据采集（SCADA）系统，这些系统资源受限且对实时性要求高，但近年来越来越多成为DDoS攻击的目标。该框架将门控循环单元（GRU）神经网络与浅层决策树（作为符号组件）相融合：符号组件单独可提供紧凑、可解释的规则集，而融合则结合了神经网络的特征学习能力与符号模型的可解释性。作者在三个真实基准DDoS数据集（CIC-DDoS2019、Edge-IIoTset、CICIoT23）上进行了评估，并设计了一套统一的预处理流程，包括标签映射、数值特征选择、稳健缩放和类别平衡。融合权重alpha和决策阈值在验证集上联合优化以最大化F1分数。实验结果显示，混合模型在CIC-DDoS2019上达到99.04%准确率（MCC 0.97），在CICIoT23上达到98.61%准确率（MCC 0.76），且两者的假阴性率（FNR）均低于纯神经网络和纯符号基线；在线性可分的Edge-IIoTset上，浅层决策树单独已达100%准确率，因此该基准主要用于验证预处理流程而非融合机制。融合的主要收益是在可控的误报代价下降低FNR，这在OT环境中至关重要——漏报攻击比误报更危险。模型推理延迟在标准CPU上为每样本0.58-0.79毫秒；即使包含设备端流特征提取，端到端路径仍保持在个位数毫秒预算内，符合OT控制回路的时间要求。本文面向OT安全研究人员、工业安全运营工程师以及DDoS检测系统设计者，提供了在资源受限场景下兼顾准确率、可解释性和实时性的实用方案。

本文针对软件定义网络（SDN）中基于熵的分布式拒绝服务（DDoS）检测方法在面对物联网（IoT）环境流量波动时鲁棒性不足的问题，提出了一种轻量级的时空熵融合检测器。传统方法通常仅利用空间流量分布，并采用静态或松散自适应的阈值，难以适应合法流量的大幅波动。本方法首先从动态选择的流量属性对中计算空间熵，同时利用数据包到达间隔的随机性计算时间熵，并将两种归一化后的熵指标融合为一个统一检测指标。在阈值设定上，引入了带约束的二阶指数加权移动平均（EWMA）模型，该模型能够联合跟踪熵值的趋势和波动性，从而动态调整阈值。为避免攻击污染的观测值干扰阈值自适应过程，仅在判定为正常的窗口内更新阈值参数。实验基于测试床和CICDDoS2019数据集进行评估：在测试床上实现了99.26%的召回率、0.9737的F1分数和3.2%的误报率，相比仅使用空间熵的方法误报率降低了41.74%；在CICDDoS2019数据集上误报率为0，且与基于机器学习的方法性能相当。在资源消耗方面，每个窗口的核心处理耗时仅3.95毫秒，系统级CPU占用率为11.65%，表明该方法适用于资源受限的边缘计算和物联网部署场景。本文的核心贡献在于将时间维度熵引入SDN的DDoS检测，并通过动态阈值机制有效平衡了检测精度与误报率，为物联网环境下的轻量级安全防护提供了新思路。适合网络安全管理、SDN控制器开发及IoT边缘安全研究人员阅读。

该论文针对无线通信中普遍存在的干扰（jamming）威胁，提出了一种基于可重构智能表面（Reconfigurable Intelligent Surface, RIS）的新型空间域干扰方法。传统无线干扰由于无线电广播特性，干扰信号会同时影响目标设备及周围设备，难以实现精准打击。论文首次利用RIS技术实现环境自适应、空间可控的无线干扰信号传输，从而为干扰攻击提供新的自由度。作者通过大量实验验证了该方法：能够使一个或多个目标设备的无线通信中断，同时保持邻近设备不受影响。尤为突出的是，在设备间距极近（低至5毫米）的场景下，该方法仍能实现对一台Wi-Fi设备的完全拒绝服务（Denial-of-Service），而距离仅5毫米的另一台设备仍能保持25 Mbit/s的通信速率。最后，论文提出了针对基于RIS的空间域干扰攻击的潜在防御措施。该研究揭示了RIS技术在无线安全中的双重用途，对无线网络防御和下一代通信安全设计具有重要参考意义。适合无线安全、物理层安全、智能超表面应用及通信对抗领域的研究人员阅读。

Asia Pacific pricing

本文针对大规模放大型分布式拒绝服务（DDoS）攻击的协作检测与缓解问题展开研究。放大型DDoS攻击的流量规模和危害已达到历史最高水平，这类攻击利用可反射的协议（如DNS、NTP等）将小请求放大为大流量，使得攻击者可以以低成本造成巨大破坏。为抵御此类攻击，互联网中已部署了分布式攻击缓解平台，例如在互联网交换点（IXP）等对等互联位置运行的流量清洗中心。这些平台通常采用复杂的技术来检测并本地丢弃攻击流量，从而充当攻击的传感器。然而，不同平台之间的视图协调是否能够显著提升放大型DDoS攻击的缓解效果，此前尚未得到系统性评估。本文提出的核心研究问题是：当分布式攻击缓解平台相互协作时，是否能够缓解更多攻击并丢弃更多攻击流量？通过分析多平台协作的潜力，研究探讨了协同检测和信息共享对缓解效果的影响。论文的主要贡献在于首次系统性地评估了多平台协调对放大型DDoS攻击缓解效率的价值，并提出了协作式缓解的可行框架和决策依据。适合网络运营商、DDoS防护服务提供商、IXP管理员以及安全研究社区阅读，以理解协作缓解的收益和实现路径。

QUIC 作为一种面向现代网络设计的传输协议，在提升性能与安全性的同时，仍面临握手洪泛攻击的威胁。攻击者通过发送大量握手请求，迫使服务器执行昂贵的密码学运算，从而耗尽 CPU 资源。QUIC 内置了 Retry 机制作为防御手段，但实验表明，在大型握手洪泛场景下，该机制本身由于引入大量计算开销，仍可能成为性能瓶颈。本文提出了 TurboRetry，一种将 Retry 机制卸载到 DPU（数据处理单元）的拆分设计方案，以高效缓解 QUIC 握手洪泛攻击。TurboRetry 将 Retry 处理任务分为两类，分别分配给 DPU 和主机执行，并设计了扩展的 Retry token 格式与高效的协作方案，以保留 QUIC 语义并降低协调开销。此外，TurboRetry 将连接授权任务卸载到路径上的 DPA（DPU 上的可编程加速器），进一步提升性能与安全性。评估结果显示，与主机端实现相比，TurboRetry 在吞吐量上实现了 10 到 20 倍的提升。该研究为应对大规模 QUIC 握手洪泛提供了一种可落地的硬件卸载方案，对 DDoS 防护的硬件加速方向具有一定的参考价值。

地毯式轰炸攻击（Carpet Bombing Attack）是一种日益流行的分布式拒绝服务（DDoS）变体，它同时向受害网络中的多台服务器发起攻击，令每条恶意流的流量速率极低，以绕过传统基于流量阈值的检测机制。聚合后的恶意流量会淹没网络接入点（如网关），导致服务不可用。更高级的攻击者还采用应用层攻击手段，使恶意流在语义上和流量体积上都不易察觉，进一步规避现有DDoS检测方案。本文提出NetRadar，一种鲁棒且精准的地毯式轰炸DDoS检测器。NetRadar采用服务器-网关协作架构，聚合受害网络中多个服务器的流量特征和服务端特征，并通过跨服务器分析定位受害服务器。为支持服务器辅助检测，作者设计了一套通用兼容多种服务类型的服务端特征集，并提出一种鲁棒模型训练方法以应对运行时特征不匹配问题。此外，还提出一种高效的跨服务器入站流量分析方法，利用地毯式轰炸流量的相似性降低计算开销。在真实数据集和模拟数据集上的实验表明，NetRadar在所有地毯式轰炸检测场景下均取得超过94%的准确率，优于现有最先进方案。

本文针对分布式拒绝服务（DDoS）攻击的多类别识别问题展开研究。传统检测系统多采用二分类（攻击/正常），但实际防御中需要精确识别攻击的具体类型以采取针对性缓解措施。作者提出了一种基于元学习集成的入侵检测框架，核心是一个高精度的多分类模型。该模型采用集成架构，融合了长短期记忆网络（LSTM）、K近邻（KNN）和随机森林（RF）三种基础模型，并通过逻辑回归作为元学习器来合成各模型的输出，有效解决了多个独立分类器预测结果间的歧义问题。实验基于CIC-DDoS2019数据集，所提集成元学习模型在多类识别任务中达到96%的准确率，显著优于基线链式模型（将多个二分类器串联）的92%准确率，且基线模型存在较高歧义。此外，在Mininet和Ryu控制器构建的软件定义网络（SDN）环境中进行集成测试，该模型在模拟网络流量中实现了93%的DDoS类型识别准确率，验证了其实用性。工作凸显了元学习集成在细粒度DDoS威胁识别中的价值，为开发更自适应、更有效的防御机制提供了思路。

该研究探讨了后量子密码（PQC）集成到TLS 1.3中对手握握握手耗尽攻击和入侵检测系统（IDS）性能的安全影响。PQC虽然能抵御量子攻击，但其计算和通信开销可能加剧握手耗尽型分布式拒绝服务（DDoS）攻击的效果。研究者搭建了一个包含一台PQC-TLS服务器和十台攻击节点的实验平台，生成了超过16.5 GB的混合流量数据，包含合法浏览行为和高强度握手耗尽攻击。实验表明，PQC-TLS使服务器高CPU利用率持续时间延长高达88倍，显著放大了攻击有效性。同时，评估现有深度学习IDS在PQC流量下的检测性能，发现严重下降：exosphere模型的召回率仅约50%，HyperVision的AU-ROC降至接近随机水平（0.49），揭示了PQC环境下IDS的检测盲区。主要贡献包括：系统量化并分析PQC下IDS检测盲区的根本原因；发布包含精确攻击时间戳和服务端资源监控数据的PQC-DDoS混合流量数据集；开源所有实验代码和AWS部署脚本，支持可复现的云端测试环境。该工作旨在帮助学术界和工业界开发下一代PQC感知的入侵检测系统。

Precursor, our new continuous behavioral validation engine for bot management, offers visibility into how humans and bots actually interact across the full user journey. By turning session-level behavior into bot detection signals, it identifies advanced automation with higher precision — while reducing friction for legitimate users.

NIST is advancing nine new post-quantum signature algorithms as potential candidates for future standardization. We take a closer look at all of them, and argue that while they are in the works and show great potential, we should use ML-DSA for now — the best one currently available.

Cloudflare宣布加入英国政府推出的“网络弹性承诺”（Cyber Resilience Pledge），这是一项自愿性框架，旨在鼓励组织在网络安全治理、董事会层面的安全责任以及供应链安全方面做出承诺。该框架要求参与组织建立基础的安全治理结构，确保董事会成员对网络安全负责，并加强供应链中的安全实践。Cloudflare在博客中表示，十多年来，公司一直倡导安全民主化、领导问责制和彻底透明化，这些正是该框架的核心支柱。通过加入该承诺，Cloudflare希望推动整个行业提升网络安全水平，并与其他组织分享最佳实践。该承诺不涉及具体漏洞或攻击活动，而是侧重于安全治理和合规性。Cloudflare的参与被视为对英国政府网络安全倡议的积极支持，有助于增强公共和私营部门之间的合作。该框架面向所有组织开放，不限于特定行业或地区，旨在提高整体网络韧性。

South America pricing

Cloudflare’s new Attribution Business Insights dashboard helps website owners understand crawler behavior, appetite, and potential value, fueling business-level conversations around crawl compensation.

See all Product Pricing

Promotion Redemption Rules & Conditions

Akamai GitHub repo

Self-Managed OAuth is now available to all developers on Cloudflare. Here's how we executed a zero-downtime migration of our core OAuth engine to make it happen.

The new post-quantum executive order sets a 2030 migration deadline and establishes a powerful foundation for post-quantum resilience. We look at what it gets right, where it can go further, and our migration playbook for government and industry.

Guides and tutorials

Events and workshops

IP anycast 被广泛应用于 DNS 和内容分发网络（CDN）等关键服务，以提供应对分布式拒绝服务（DDoS）攻击的容量。当遭受 DDoS 攻击时，运营商通常需要在不同 anycast 站点之间重新分配流量，以利用未用或更大容量的站点；或者将攻击者集中到少数站点以保护其他站点。然而，目前缺乏对这些操作策略的系统化、公开描述。本文首次系统性地提出了多种利用 BGP 协议在 DDoS 攻击期间调整流量的方法，并构建了一个响应 playbook，为运营提供备选方案。为从 playbook 中选择合适的响应，作者还提出了一种新方法，用于在攻击中运营者视角不完整的情况下估计真实的攻击规模。此外，运营者的选择受到分布式路由策略的约束，并非所有选项都有效。本文探讨了特定的 anycast 部署如何限制 playbook 中的选项，并首次跨多个 anycast 网络测量了这些方法的通用适用性。实验表明，不同部署拓扑对响应策略的有效性有显著影响。该研究为 anycast 运营商提供了实用的流量工程指南，有助于提升 DDoS 防御的敏捷性。

We break down the technical architecture behind our multi-stage vulnerability discovery harness and automated triage loop. Learn how we manage state controls, squash false positives through adversarial review, and route around LLM context limits.

该论文提出 Jaqen，一种基于可编程交换机（如 P4/Intel Tofino）的交换机原生方案，用于检测和缓解容量型 DDoS 攻击。传统 DDoS 缓解方案通常依赖集中式清洗中心或服务器，存在高延迟、带宽浪费和扩展性不足等问题。Jaqen 直接在网络数据平面（交换机上）执行检测与缓解逻辑，利用哈希、滑动窗口和轻量级统计方法实时识别流量异常（如 SYN 洪泛、UDP 洪泛等）。一旦检测到攻击，交换机立即根据规则丢弃恶意流量，无需将流量绕行至清洗中心。论文设计了高效的哈希结构以支持大流表，并采用多阶段处理流水线以满足交换机处理约束。实验在真实可编程交换机（Tofino）和仿真环境中进行，使用真实 DDoS 流量数据集。结果表明，Jaqen 能够以线速（Tbps 级）处理流量，检测延迟仅微秒级，缓解率超过 99%，且误报率低于 0.1%。与现有软件方案（如 sFlow + 控制器）相比，Jaqen 将缓解反应时间从秒级降至毫秒级，显著降低带宽浪费。此外，Jaqen 支持动态更新检测规则，可适应新型攻击模式。该工作展示了可编程交换机在网络安全防御中的巨大潜力，为运营商提供了一种低成本、高性能的 DDoS 缓解方案。

White papers, ebooks, videos, product briefs

Customer stories

Training and certifications

Akamai Security Intelligence Group (SIG)

State of the Internet (SOTI) reports

Start-up programs

In our post about Project Glasswing, we made the argument that the architecture around a vulnerability matters more than the speed of the patch. Here we walk through what that architecture looks like, the threats it defends against, and how we run it ourselves as Cloudflare's customer zero.

Cloudflare customers can now use Cloudforce One threat intelligence directly within the WAF to block high-risk traffic. By using new cf.intel fields, security teams can automate protection against specific threat actors and targeted industries in real time.

Bot and Abuse Protection

软件定义网络（SDN）因其集中控制架构而面临分布式拒绝服务（DDoS）攻击的严重威胁，特别是地毯式轰炸（Carpet-Bombing）DDoS攻击，这种攻击将恶意流量分散到多个目标以逃避传统检测机制。本文提出了一种基于检索增强生成（RAG）的框架，用于在SDN环境中实时检测和缓解此类攻击。该框架结合了接口级流量特征表示、语义嵌入生成、基于FAISS的相似性检索以及大语言模型（LLM）驱动的上下文推理，无需传统的监督模型训练或重训练即可对流量行为进行分类。为评估框架有效性，作者在多种地毯式轰炸DDoS攻击场景下进行了大量实验，涵盖不同攻击强度。同时，研究了两种流量表示策略：基于JSON的结构化表示和基于自然语言的表示（NLR），并使用了多个最先进的LLM。实验结果表明，该框架实现了高准确率和稳定的攻击检测性能，其中使用Gemma-4-31B-IT模型的配置取得了最强的整体检测效果。实时实验验证了该框架能够快速检测并缓解地毯式轰炸DDoS攻击，同时保持SDN网络稳定运行。研究成果凸显了将RAG机制与LLM相结合用于智能自适应SDN安全分析的有效性。

In recent weeks, we pointed Mythos and other security-focused LLMs at live code across critical parts of our infrastructure. We share what we observed, the models’ strengths and weaknesses, and what the work around them needs to look like before any of it can scale.

Program overview

该论文提出了一种针对基于大语言模型（LLM）的智能体系统的新型攻击范式，称为 Mobius Injection，可引发基于智能体的面向服务的分布式拒绝服务（AbO-DDoS）攻击。作者发现智能体逻辑中存在的结构漏洞“语义闭合”（Semantic Closure），攻击者通过一次文本注入即可诱导智能体组件进入持续递归执行状态，将智能体节点转变为“僵尸节点”，从而消耗计算资源并放大对下游LLM基础设施的请求流量。实验在三个代表性“爪子风格”智能体和三个主流编码智能体上进行，集成12种前沿商用或开源LLM，结果显示单节点调用放大倍数可达51.0倍，多节点p95延迟膨胀高达229.1倍，且攻击性能随中毒节点数超线性增长。该攻击轻量、隐蔽（可绕过传统DDoS检测和AI安全过滤器）且高度可配置。防御方面，作者提出基于智能体组件能量（ACE）分析的主动防御机制，通过检测组件图中异常能量来识别恶意递归触发器。这篇论文适合LLM安全研究人员、AI基础设施运维人员及对抗性机器学习从业者阅读。

When a critical Linux kernel privilege escalation was publicly disclosed, Cloudflare's security and engineering teams detected, investigated, and mitigated the threat across our global fleet, confirming zero customer impact and no malicious exploitation.

Cloudflare IPsec now has generally available support for post-quantum encryption via hybrid ML-KEM. We’ve confirmed interoperability with Cisco and Fortinet.

Defense & Intelligence