Cloudflareは最近、「Precursor」を発表した。これはクライアント側で動作する行動分析エンジンで、マウスの動きやキーボード入力のタイミングなど、セッション中のユーザー操作を継続的に評価する。CAPTCHAのような一度限りの認証手法だけに依存することなく、高度なボットやAIエージェントの検出精度向上を目的としている。
ドキュメントによると、Precursorはセッションを通じて継続的に収集されるクライアント側のシグナルを活用し、ユーザーの一連の行動全体にわたって人間を模倣しようとする高度なボットを検出する。このアプローチは、CAPTCHAやブラウザフィンガープリンティングのような静的なボット検出手法からの転換を示すものだとしている。
Precursorは、Challengeが提供するクライアント側の検出機能をWebアプリケーション全体にまで拡張するものであり、CloudflareのCAPTCHA代替サービスであるTurnstileを補完する役割を果たす。Enterprise Bot Managementの一部として提供されており、CloudflareのシニアプロダクトマネージャーであるMarina Elmore氏と、プリンシパルシステムエンジニアであるBenedikt Wolters氏は次のように説明している。
このユーザージャーニーに基づく検出は強力だ。なぜなら、現代の自動化ツールは短時間であれば正規ユーザーのように振る舞う能力をますます高めているからだ。ボットはJavaScriptを実行し、実ブラウザ環境を利用し、個々のCAPTCHAを問題なく通過することさえできる。しかし、人間らしい行動を長時間にわたって一貫して再現することは、依然として難しいとされている。
Precursorは、軽量なクライアント側スクリプトを自動的に挿入し、ポインターの動きやキーボード操作、フォーカスの変化、ページの表示状態などの行動シグナルを継続的に収集する。このスクリプトは、それらのシグナルをエッジ上でリアルタイムに分析し、セッション全体にわたって関連付けることで自動化された挙動を検出する。また、ユーザー入力を記録するのではなく、集約されたプライバシー保護型のテレメトリーデータを用いて分析する。
チームによると、ボットはランダムな遅延を入れたり、カーソルを動かしたりして人間の操作を模倣できるが、手首の動きや反応時間、わずかな手の震えなど、人間の生理的・認知的特性によって生まれる自然な行動パターンを再現できないことが多い。Precursorは、こうしたパターンをセッション全体にわたって分析することで、自動化されたトラフィックと正規ユーザーを見分けることを目指している。さらに、Elmore氏とWolters氏は次のように付け加えている。
正当なユーザーにとって、Precursorは不要な中断を減らすことを意味します。一方、ボット開発者にとっては、完全なセッションをシミュレートする必要があるため、自動化の運用コストを引き上げます。これは構築がはるかに難しく、維持にもより多くの費用がかかり、さらに大規模運用時の信頼性も大幅に低下します。
このリリースでは、Security Analyticsにセッションベースの分析機能も追加されました。これにより、分析対象が個々のリクエストから訪問者単位のセッション全体へ移行し、異常な挙動や自動化された行動をより適切に特定できるようになります。foura.aiの共同創業者兼CEOであるAngel Hadjiev氏は、LinkedInへの投稿で次のようにコメントしています。
これはボット検知の仕組みにおける大きな転換だ。（中略）プロキシローテーション、ヘッダーのランダム化（header fuzzing）、アクセス間隔の調整（pacing）といった手法は、いずれも「1回のリクエストごとに評価される」世界を前提として作られていた。しかし今では状況が変わり、過去5分間にわたる行動の一貫性が評価されるようになった。
Hacker Newsで人気を集めているスレッドでは、多くの人がCAPTCHAに依存しない方向性を歓迎する一方で、クライアント側で継続的に行動を監視することによるプライバシーへの影響や、長期的な有効性に疑問を呈していた。ユーザーのHavoc氏は次のように述べている。
Cloudflareがあらゆるボットに関する事柄の裁定者としての地位を確立しつつあることには、少し不安を感じます。（中略）インターネット全体の健全性という観点では、あまり望ましいことには思えません。
Redditでは、あるユーザーが次のようにコメントしている。
Cloudflareによる人間のマウス操作の分析内容を見ると、かえってボット開発者がより人間らしいボットを作る手助けになってしまうのではないか、と思わずにはいられません
Cloudflareは、行動分析をボット検知サービスへ取り入れている唯一のプロバイダーではない。Google Cloud Fraud Defense やAWS WAF Bot Controlも、アーキテクチャや検知手法こそ異なるものの、行動シグナルを活用している。
Precursorは現在、オープンベータ版としてCloudflareのすべての顧客向けに提供されており、正式リリースまで無料で利用できる。