Webサイトのボット対策というと、ログイン画面の「私はロボットではありません」チェックのような、特定の瞬間の確認を思い浮かべる人が多いだろう。しかし短時間なら人間のふりをすり抜けられるボットが増えてきたことを受け、Cloudflareは7月13日、セッション全体の挙動を継続的に見張る新エンジン「Precursor」を発表した。

Turnstileとの役割分担

これまでのTurnstileは、ログイン・サインアップ・チェックアウトといった「重要な瞬間」に限定した保護だった。Precursorは動的に注入したJavaScriptを通じて、それ以外の一般的な操作を含むセッション全体の振る舞い(マウスの動き方など)を継続的に収集・分析する。両者は置き換えではなく、Enterprise向けBot Managementの追加機能としてTurnstileを補完する位置づけで提供され、一般提供までは無料で使える。

なぜ「継続的」が効くのか

短時間の一貫した人間らしい振る舞いを模倣するボットは増えたが、時間をかけた一貫性のある人間らしい行動は依然として模倣しにくい、というのがPrecursorの設計思想だ。これはCAPTCHAが画像認識クイズから行動ベースの判定(reCAPTCHA v3など)へと進化してきた流れの延長線上にあり、「1回のテストで見破る」から「継続的に観察して見破る」への転換という意味では、ボット対策の歴史の中でも一段階進んだアプローチと言える。

プライバシーとの綱引き

一方で、行動シグナルを訪問中ずっと収集し続けるという仕組みは、正規ユーザーのプライバシーへの配慮とのバランスが常に問われる。Cloudflareが「プライバシーを念頭に置いて設計した」と強調している点も含め、今後どれだけ透明性のある運用がなされるかは注視しておきたい。詳細はCloudflare Blogの記事(https://blog.cloudflare.com/introducing-precursor/)で確認できる。