Cloudflare、ユーザーの「人間らしい操作挙動」を継続分析するボット検知機能「Precursor」を発表

要点

• 米Cloudflareは、Webサイト上での操作挙動をセッション全体で分析し、ボットを検知する機能「Precursor」を発表した。

• HTMLに自動注入される軽量なJavaScriptを用い、マウス操作やキーボード入力などのシグナルをリアルタイムで収集する。

• 単発の認証突破は可能でも、長期的な人間の挙動を模倣することは困難であるため、ボット自動化の運用コストを大幅に高める。

• ページ更新でリセットできないセッションベースの追跡により、正規ユーザーへの不要な認証割り込みを減らす。

• 米Cloudflareは2026年7月13日、Webサイト上での操作挙動をセッション全体で分析し、ボットやAIエージェントを検知する新機能「Precursor（プレカーサー）」を発表した。従来の単発的な認証チャレンジを補完し、ユーザーの利便性を損なわずに高度なボット対策を実現するという。

従来の対策が抱える課題とPrecursorの狙い

ボット対策はいたちごっこが続いており、昨今の高度なボットはJavaScriptを実行し、単発のパズル認証（CAPTCHAなど）を突破できる。そのため、短時間のアクセスであれば正規の人間による操作に見せかけることが容易になっている。

Cloudflareはこれまで、重要箇所を保護するために認証機能「Turnstile（ターンスタイル）」を1日あたり30億回近く実行してきたが、単発の検証だけではサイト内全体の操作行動までは把握できない課題があった。

「Precursor」は、この可視性の隙間を埋めるために開発された。セッション（Webサイトの訪問から離脱までの一連の操作単位）全体を通じてユーザーの操作挙動を監視し、ボットと本物の人間を継続的に区別する。本機能は同社の「Enterprise Bot Management」のオプションとして提供される。

人間とボットの「揺らぎ」の違いを検知

Precursorが注目するのは、ボットが模倣しづらい「人間ならではの物理的な制約」だ。

ボットがマウスの軌跡を偽装する際、通常は数式でノイズを加えるが、実際の間の動きは手首の回転による円弧状の軌跡、クリックまでの認知負荷による時間差、微細な手の震え（生理的振戦）といった物理的制約に縛られる。

これに対し、ボットは直線や数学的にきれいな曲線（ベジェ曲線）で動き、人間には不可能な精度でクリックする。単発の操作で揺らぎを再現できたとしても、セッション全体を通した操作のリズムまでは偽装しきれない。Precursorは、こうした挙動パターンをセッションを通して分析し、高精度でボットを判定する。

Precursorが動作する仕組み

Precursorは、「収集」「評価」「セッション統合」の3ステップで動作する。

まず、機能が有効化されると、Cloudflareのネットワーク通過時に軽量なJavaScriptがHTMLへ自動注入される。運営者の追加設定は不要で、既存のサイト機能を妨げない。このプログラムは、ブラウザ上でポインタ移動、キーボード操作、フォーカス状況、ページの視認状態などを監視し、データを定期的にサーバーへ送信する。

次に、送信されたデータはエッジサーバーでデシリアライズ（データを元の形式に復元する処理）され検証される。「キーボード入力時にフォーカスが当たっていたか」など、複数のシグナルをクロスリファレンス（相互参照）して妥当性を判断する。

最後に、蓄積されたデータはセッション単位で紐付けられる。これにより、ボットがページを再読み込みしても、それまでの不審な行動データがリセットされない仕組みになっている。

ユーザーとボット開発者への影響

セッション全体でデータを蓄積することで検知精度は向上する。本物の人間であると早期に判断できれば、不要な認証チャレンジの表示を減らせるため、一般のユーザーはストレスなくサイトを利用できる。

一方、ボットの運用側にとっては、セッション全体にわたって人間らしい複雑な挙動を再現し続ける必要が生じる。これにより、自動化スクリプトの開発・維持コストが跳ね上がり、大規模な自動操作を困難にさせる効果があるという。