Cloudflare、AIエージェントを活用したBot対策導入機能「Turnstile Spin」を発表
要点
- 米Cloudflareは、Bot対策機能「Turnstile」の導入をAIコーディングエージェント経由で自動化する「Turnstile Spin」を発表した。
- フロントエンドへのウィジェット配置とバックエンドでの検証API連携を、エージェントがユーザーのコードベース内で一括して実装する。
- 新規導入に加え、サーバー側検証が抜けている既存設定の修復や、他社CAPTCHAからの移行という3つの状況に対応する。
- ユーザーのソースコードをCloudflareに送信せず、Claude CodeやCursorなどのエージェントがローカル環境で変更を適用する。
- 2026年7月の先行提供開始以降、すでに6万5,000件以上のウィジェット作成と3万回以上のプロンプト利用が記録されている。
リード文
米Cloudflareは2026年9月25日、同社のBot対策ソリューション「Turnstile」の導入・設定をAIコーディングエージェントが支援する新機能「Turnstile Spin」を発表した。Web開発においてAIツールの活用が広がる中、フロントエンドとバックエンドの双方に必要なセキュリティ実装をエージェントが代行し、設定不備を防ぐ。開発者はCloudflareのダッシュボードやCLIツール、公開スキルを通じて本機能を利用できる。
本文
Turnstileの普及とAI時代におけるセキュリティ導入の課題
Cloudflareは2023年、ユーザーにパズルを解かせないプライバシー重視の認証技術として「Turnstile」の提供を開始した。同サービスは無料で利用でき、トラフィックをCloudflareにプロキシ接続（トラフィックを中継させる構成）することなく任意のWebサイトへ導入できる点が特徴となっている。現在では一般的な平日において約30億回の検証を処理しており、直近の1週間だけでも2万3,000以上のアカウントが新規ウィジェットを作成するなど導入が進んでいる。
一方で、Turnstileを正しく機能させるためには、2段階の実装手順を踏む必要がある。まずフロントエンドコードを修正してウィジェットを表示させ、クライアント側での検証を実行してトークンを発行する。次に、そのトークンをバックエンドからCloudflareの「Siteverify API」へPOST送信し、検証結果のメタデータを受け取ってログイン可否などの制御を行う仕組みだ。
しかし、AIコーディングエージェントの普及によって誰もが短時間でWebアプリケーションを構築できるようになった現在、従来の手動開発を前提としたセキュリティ導入手順では設定漏れが生じやすくなっていた。また、AIによって攻撃側のBot自動化も容易になる中で、正しい設定を簡単に行える仕組みが求められていたという。
「Turnstile Spin」の動作の仕組みとコードの安全性
今回発表されたTurnstile Spinは、こうしたAI駆動の開発環境に合わせて設計された機能である。ユーザーが保護対象の場所を指定すると、利用中のコーディングエージェントが関連するフロントエンドおよびバックエンドのコードを特定する。エージェントが変更計画を提案し、ユーザーの承認を得た上で双方の実装を自動的に完了させる。これにより、バックエンド開発の経験が浅いユーザーでも正しい設定が行えるほか、熟練したエンジニアにとっても定型作業の省略や設定漏れの防止に役立つとしている。
本機能において、ユーザーのアプリケーションコードがCloudflareのサーバーへ送信されたり、Cloudflare側からリモートで直接変更されたりすることはない。変更作業はユーザーが利用しているClaude Code、Cursor、Codexといったコーディングエージェントによって、プロジェクトのコードベース内でのみ行われる。Cloudflare側で新規作成されるリソースはTurnstileのウィジェットのみであり、認証の判定処理は引き続きユーザーのバックエンド側で実行される。
3つの導入シナリオに対応
Turnstile Spinは、コードベースの状況に応じて以下の3つのパターンに対応する。
-
新規導入（Fresh install）
CAPTCHAなどのBot対策が未導入の環境において、フロントエンドへのウィジェットの埋め込みと、バックエンドにおけるSiteverify API連携をゼロから実装する。 -
ウィジェットの修復（Widget recovery）
CloudflareはウィジェットごとのSiteverify呼び出し状況を監視しており、サーバー側の検証が行われていないウィジェットを検知すると、ダッシュボード上に「Fix with Spin」の通知を表示する。エージェントが既存のシークレット情報を維持したまま、不足しているバックエンド処理を追加する。この際、ウィジェットによるトラフィック処理を停止させずに修正が可能となっている。 -
他社CAPTCHAからの移行（Migration from CAPTCHA）
コードベース内に存在する既存のCAPTCHA関連の記述をエージェントが検出し、Turnstileへの置き換え計画を提案して適用する。
提供方法とこれまでの実績
Turnstile Spinは、Cloudflareの管理ダッシュボード、CLIツールである「Cloudflare Wrangler」、またはGitHub上で公開されている専用スキルのURLをエージェントへ読み込ませることで利用を開始できる。一般的な利用の流れとしては、ダッシュボードから開始して生成されたプロンプトやスキルをエージェントに渡し、エージェントがWranglerを通じて設定手順を進める形が案内されている。
同社によると、2026年7月にダッシュボードへ導入されて以降、すでに6万5,000件以上のウィジェット作成がSpin経由で成功しているという。また、ダッシュボード上で生成されたプロンプトは3万回以上コピーされており、AI開発ワークフローにセキュリティ設定を組み込む需要の高さが示されていると説明している。