AIエージェントと人間を見分けるCloudflareの新技術「Precursor」が登場、人間っぽく振る舞うAIをサイト内の行動から見破る

Cloudflareが2026年7月13日、ウェブサイトを訪れた利用者の操作をセッション全体にわたって分析し、人間によるアクセスとボットやAIエージェントによる自動操作を判別する新たな検証システム「Precursor」を発表しました。

Introducing Precursor: detecting agentic behavior with continuous client-side signals
https://blog.cloudflare.com/introducing-precursor/

人間とボットを判別する仕組みとしてはCAPTCHAが有名ですが、ボットの高度化が進んだことでボットが本物のブラウザを操作して認証を通過できるようになっています。しかし、ボットは認証時には人間による操作を模倣できても、セッション全体では人間らしくない操作パターンを示す場合があります。

AI時代において「CAPTCHA」に意味はあるのか？ - GIGAZINE

Cloudflareの新技術「Precursor」は、認証後を含む一連の操作を分析することで短時間では見抜きにくい自動操作を検出するとのこと。人間がマウスを動かす場合は目的の場所を少し通り過ぎて戻ったり、手首の動きに沿って曲線を描いたり、速度が細かく変化したりします。一方、ボットによる操作では直線的な軌跡や一定の速度、過度に正確なクリックなどが繰り返されることが多く、個々の操作だけでは自然に見えても、一連の操作として確認すると人間と自動操作の違いが表れやすくなるとのこと。

継続的な分析を行うため、Precursorを有効にしたウェブサイトではCloudflareがHTMLに軽量なJavaScriptを自動挿入します。挿入されたスクリプトはマウスポインターの移動、キーボード操作のタイミング、入力欄へのフォーカス、ページが表示されている時間などを収集し、Cloudflareのサーバーへ定期的に送信します。プライバシーへの配慮として、キーボード操作では入力された文字そのものではなく操作のタイミングやリズムだけを記録するほか、収集した行動データは利用者のアカウントやログイン情報、永続的なプロフィールには関連付けないとのこと。

送信された情報は個別に判定されるのではなく、複数の操作を組み合わせて評価されます。例えばキーボード操作が入力欄にフォーカスがある時だけ発生しているか、ポインター操作がページの表示状態と整合しているかなどを確認するとのこと。判定結果はCloudflareのボットスコアや追加認証を表示するかどうかの判断、セキュリティルールなどに反映されます。

分析結果はページ単位ではなくセッション単位で蓄積されるため、ボットがページを再読み込みしてもそれまでに記録された行動の特徴を簡単にリセットできないようになっています。

なお、PrecursorはCloudflareが従来から提供している認証機能「Cloudflare Turnstile」と併用できます。Turnstileが特定の時点で利用者を確認するのに対し、Precursorは分析対象をサイト内の一連の操作へ広げています。サイト全体では利用者の操作を妨げにくい設定を使い、決済ページだけ厳しい確認を求めるといった使い分けもできるとのこと。一方、既存の「JavaScript Detections」についてはPrecursorが後継機能に当たり、Precursorを有効にする場合はJavaScript Detectionsを無効にするよう案内されています。

記事作成時点でPrecursorはEnterpriseプラン向けの有料アドオン「Bot Management for Enterprise」の利用者に順次提供されており、Cloudflareの管理画面から有効化できます。利用者への割り込みを抑えてバックグラウンドでセッション状態の確立を試みる「Minimize Friction」と、有効なセッションがない場合に軽量な認証画面を表示する「Maximize Security」が用意されています。

Precursorは2026年後半に予定されている一般提供までは無料で利用できるとのことです。