8月8日、Renato Losioが「Cloudflare's Precursor Detects Bots and AI Agents Through Continuous Behavioral Analysis」と題した記事を公開した。この記事では、CloudflareがリリースしたクライアントサイドのBOT検出エンジン「Precursor」が、CAPTCHAに依存せずセッション全体の行動パターンを継続的に分析してBOTやAIエージェントを検出する仕組みについて詳しく紹介されている。

AIエージェントの急速な普及により、自動化ツールはJavaScriptを完全実行し、実際のブラウザ環境を模倣し、CAPTCHAをパスできるほど高度化している。ブラウザを操作する自律型AIエージェントが一般化しつつある現在、「一時点での判定」を前提とした従来のBOT対策は構造的な限界を迎えつつある。Precursorはその文脈への直接的な回答として位置づけられる。

CAPTCHAの限界と「セッション全体」での検出

従来のBOT対策の主流はCAPTCHAやブラウザフィンガープリンティングといった「一時点での判定」だった。しかし現代の自動化ツールはJavaScriptを実行し、実際のブラウザ環境を利用し、CAPTCHAを個別にパスできるほど高度化している。

Cloudflareのシニアプロダクトマネージャー Marina ElmoreとプリンシパルシステムエンジニアBenedikt Woltersはこう述べている。

このユーザージャーニーベースの検出が強力なのは、現代の自動化が短時間では本物に見えるほど巧妙になっているからだ。困難なのは、時間をかけた一貫した人間らしい振る舞いを再現することだ。

PrecursorはWebアプリケーションに軽量なクライアントサイドスクリプトを自動挿入し、マウスの動き・キーボード操作のタイミング・フォーカスの変化・ページの可視状態などの行動シグナルをセッション全体にわたって継続収集する。これらのデータはエッジでリアルタイムに解析され、集計・匿名化されたプライバシー保護テレメトリとして処理される（ユーザー入力の記録ではない）。

元記事によれば、BOT側が対策として「ランダムな遅延やカーソルの動きを加える」手法はすでに広く使われているが、Cloudflareのチームは人間の生理的・認知的特性に基づく行動パターンの再現は依然として難しいと説明している。元記事では具体的な特性として手首の動作・反応時間・わずかな手の震えが挙げられている。

BOT開発者へのコスト増大が狙い

ElmoreとWoltersはPrecursorの設計思想についてこうも述べている。

正規ユーザーにとっては、不要な割り込みが減る。BOT開発者にとっては、セッション全体のシミュレーションが必要になるため運用コストが増大する。構築が格段に難しく、維持費が高く、スケールでの運用信頼性も低くなる。

プロキシローテーションやヘッダーファジング、リクエストのペーシングといった従来のBOT回避手法は、「リクエスト単位で判定される」前提で設計されている。foura.aiの共同創業者兼CEOのAngel Hadjiеv（表記は元記事に準拠）はLinkedInでコメントしている。

これはBOT検出の仕組みが大きく変わる転換点だ。（中略）ゲームは「5分間の行動的一貫性」を問うものに変わった。

セキュリティアナリティクスもセッション単位へ

今回のリリースに合わせ、Security Analyticsにもセッションベースの分析機能が追加された。従来の「個別リクエスト単位」の可視化から「訪問者セッション全体」での異常検出に移行し、自動化トラフィックの識別精度を高める。

Precursorは既存のCloudflareサービスとの連携も設計されており、CAPTCHAレス認証のTurnstileを補完し、Enterprise Bot Managementの一部として機能する。公式ドキュメントによれば、Cloudflare Challengeが提供するクライアントサイド検出をWebアプリ全体に拡張する位置づけだ。

コミュニティの反応：歓迎と懸念が交錯

CAPTCHAからの脱却とAIエージェント対応という方向性は概ね好意的に受け取られている一方、継続的な行動監視の設計に伴うプライバシー上の懸念や、長期的な有効性への懐疑も根強い。こうした声はHacker NewsやRedditで活発に議論されている。

Hacker Newsのスレッドではユーザー Havoc がこう書いている。

CloudflareがBOTに関するあらゆる判定の仲裁者として存在感を高めているのは、少々不気味だ。（中略）インターネット全体として健全とは思えない。

Redditでも同様の懸念が上がっている。

彼らが人間のマウス操作の特性を解析・公開することで、むしろBOT開発者がより人間らしいBOTを作る手助けになるだけでは、と思ってしまう。

なお、行動分析をBOT検出に組み込む試みはCloudflare独自ではない。Google Cloud Fraud DefenseやAWS WAF Bot Controlも行動シグナルを活用しているが、アーキテクチャや検出手法は異なる。

Precursorは現在オープンベータとしてすべてのCloudflareユーザーに無料で提供されており、一般提供（GA）までは無料のまま利用できる。

詳細はCloudflare's Precursor Detects Bots and AI Agents Through Continuous Behavioral Analysisを参照していただきたい。