Cloudflare Precursor: クライアント側の継続的シグナルでエージェント的行動を検出

Cloudflare は Precursor を導入しました。これはクライアント側でセッションベースの検証システムで、訪問者がウェブアプリケーションとやり取りする際に行動シグナルを継続的に収集し、エージェント的行動を検出します。従来のボット検出が個別のチェックポイントに依存するのに対し、Precursor はユーザー全体のジャーニーを評価し、短時間で正当な行動を模倣できる高度な自動化と人間トラフィックを区別します。

継続的行動分析 vs. 個別チャレンジ

Precursor はボット検出を瞬間的なチェックから継続的な評価へとシフトさせます。Cloudflare Turnstile のように特定のハイリスクエンドポイント（ログインやチェックアウトなど）でユーザーを検証するツールとは異なり、Precursor はセッション全体の可視性を提供します。これは、現代のボットが JavaScript を実行し、実際のブラウザ環境を使用し、個々の CAPTCHA を通過できても、時間を通じて一貫した人間らしい行動を再現するのが難しいため、重要です。

人間のインタラクションの物理学

Precursor は人間の生理学と認知プロセスに制約されるシグナルを分析することで自動化を識別します。主な指標は次のとおりです。

• 手首のピボット: 人間のマウス動作は手首と前腕の回転範囲に基づく弧を描くことが多いのに対し、ボットは直線補間やベジエ曲線を使用することが多いです。
• 認知負荷: 人間が視覚要素（チェックボックスなど）を認識してから操作するまでに測定可能な遅延があります。
• 生理的振戦: 人間の手は自然な振動周波数を持ち、ボットがセッション全体で説得力のある形でシミュレートするのは困難です。

技術アーキテクチャ

Precursor はサイト所有者からの手動設定を必要とせずに行動を評価するため、4 段階のプロセスで動作します。

1. 注入と収集

Cloudflare はネットワークを通過する HTML 応答に軽量で難読化された JavaScript バンドルを自動的に注入します。このスクリプトはポインタの動き、キーボード活動、フォーカス変更、ページの可視性などのシグナルをキャプチャするイベントリスナーを付加します。これらのイベントはシリアライズされ、メモリ内でバッファリングされた後、評価レイヤーへ送信されます。

2. 評価レイヤー

エッジサーバー上でディスパッチャが一連の評価ロジックを実行し、受信した行動ストリームを処理します。たとえば、キーボードイベントがテキストフィールドにフォーカスがあるときだけ発生しているかを検証し、共有検出レジストリ用のシグナルを生成します。

3. セッション統合

データはセッション単位でスコープされるため、ボットは単にページをリフレッシュするだけでは行動署名をリセットできません。このデータは下流の検出層（ボットスコアやセッション遅延ヒューリスティック）に供給され、リアルタイムでセッションのボットスコアを調整します。

4. プライバシーフレームワーク

プライバシーを保護するため、Precursor は必要最小限の情報だけを収集します。キーボード活動は実際のキー入力ではなくタイミングとリズムとして記録されます。行動シグナルは集計パターンとして処理され、ユーザーアカウント、永続的プロファイル、または顧客ダッシュボードに結び付けられません。

セッションベースのセキュリティ分析

検出システムに加えて、Cloudflare は Security Analytics にセッションベースのビューを導入しています。これにより管理者はリクエスト単位のログを超えて、訪問者全体のジャーニーを分析し、セッションが期待される人間行動から逸脱した箇所や、時間経過とともに自動化の兆候を示すセッションを特定できます。

コミュニティの視点と技術的批判

発表後、技術コミュニティはこのアプローチの有効性と包括性に関していくつかの懸念を提起しています。

アクセシビリティとインクルージョン

批評家は、マウスの動きパターンに依存することで、支援技術や非従来型入力を使用するユーザーが不当にペナルティを受ける可能性があると指摘しています。

"I can 1000% guarantee this will adversely impact assistive technology. You can tell it will because they don't mention any testing with regards to assistive technology."

シミュレーションの対抗ゲーム

一部の開発者は、人間らしい「ジッター」や行動データコーパスが高度なボットにこれらのチェックを回避させる可能性があると指摘しています。これは RuneScape などのゲームボットが人間の行動を模倣するように進化した例に似ています。

"What prevents bots/agents from just adding 'jitter' to their movements that mimics how humans move their cursor?"

監視と集中化

ボット仲裁の集中化と、このデータが監視に利用される可能性についての懸念もあります。

"It’s a bit alarming how cloudflare is establishing itself as arbiter of all things bots…both on blocking and allowing. Doesn’t seem healthy for the internet as a whole."

実装

Precursor は現在ロールアウト中で、Cloudflare ダッシュボードから利用可能です。年内に General Availability (GA) がリリースされるまで無料で使用できます。ユーザーは低摩擦のバックグラウンドモードで有効化するか、チャレンジを通じて完全なセッション検証を強制できます。

---

要約

Cloudflare は Precursor を開始しました。これはセッションベースの検証システムで、継続的な行動シグナルを使用してウェブセッション全体を通じて人間ユーザーと自動化エージェントを区別します。

タイトル

Cloudflare Precursor: クライアント側の継続的シグナルでエージェント的行動を検出