Cloudflare「Precursor」とは？ セッション全体の“振る舞い”を捉える次世代ボット検出

2026年7月13日、CloudflareはPrecursor（プリカーサー）と呼ばれる新しいクライアントサイド検出機能を発表しました。これは、従来のCAPTCHAや一時的なチャレンジでは見えなかった「ユーザー行動の連続性」を解析し、高度化するボットやAIエージェントによる不正アクセスを検出する仕組みです。この記事では、Precursorの背景、仕組み、プライバシーへの配慮、そして導入方法までを詳しく解説します。

ボット対策は「いたちごっこ」 〜 単発チェックの限界

ボット対策は常に攻撃者との知恵比べです。Cloudflareは世界中のネットワークと1日1兆リクエスト以上の可視性を活かし、またTurnstile（タンスタイル）のようなクライアント側のリスクベース認証で守りを固めてきました。Turnstileはログインや会員登録、決済などの重要な瞬間を守るために1日約30億回も実行されています。
しかし、課題は「それ以外の時間」でした。人間とボットがアプリケーション全体でどのように振る舞うのか、その連続的なユーザージャーニー（一連の行動）はほとんど可視化されていなかったのです。Precursorは、まさにこの「見えない隙間」を埋めるために開発されました。

Precursorとは何か？

Precursor は、セッションベースのクライアントサイド検証システムです。動的に挿入されるJavaScriptが、ユーザーのマウス移動やキーボード操作、画面フォーカスといった連続的な行動シグナルを収集し、リアルタイムで解析します。これにより、人間らしいトラフィックと、自動化プログラム（エージェンティック）によるトラフィックを、セッション全体で見分けることが可能になります。

• 既存のTurnstileと補完関係：どちらもCloudflareのEnterprise Bot Managementの機能です。Turnstileが「ポイント（瞬間）」での検証とすれば、Precursorは「線（セッション全体）」での検証と言えます。

• ボット開発者への打撃：最近のボットは、短時間の振る舞いなら人間に見えるようJavaScriptを実行したり、単体のCAPTCHAを突破したりできます。しかし、セッション全体を通して一貫した人間らしい行動を再現するのは非常に困難です。Precursorはその高いハードルを課し、自動化のコストを大幅に引き上げます。

「人間らしさ」の検出 — マウスの動きが語る真実

Precursorが評価するシグナルの代表例がマウスの動きです。

ボットのマウス操作

• 完全な直線や数式的に滑らかなベジェ曲線を描く

• 常に原点に戻り、同じ速度で反応する

• ガウスノイズを足しても、物理的な制約を無視している

人間のマウス操作

• 手首の回転による弧を描く動き

• クリックまでの認知負荷によるわずかな遅延

• 生理的振戦（手の震え）を含む微細な揺らぎ

• 行き過ぎや軌道修正など、セッションを通して不規則なリズム

実際にCloudflareが示した比較画像では、自動化ライブラリのマウス経路は機械的で規則的、一方人間の経路は複雑で速度や方向が常に変化していました。単独の動きだけでは「もっともらしい」偽装ができても、セッション全体で見たときの行動の一貫性やリズムを偽ることは非常に難しいのです。Precursorは、こうした行動の特徴を連続的にスコア化します。

Precursorの仕組み — 4つのステップ

1. スクリプトの注入とデータ収集

Precursorを有効にすると、Cloudflareのネットワークを通過するHTMLレスポンスに軽量なスクリプトが自動で注入されます。追加の設定やサードパーティの埋め込みは不要です。このスクリプトは、ポインターの動き、キーボード操作、フォーカス変更、画面の可視性などのイベントリスナーをアタッチし、データをシリアライズしてメモリに蓄積、一定間隔でエッジへ送信します。

2. 評価エンジン

エッジサーバー上で、送られてきた行動データが複数の「評価器（Evaluator）」で分析されます。例えば、「ポインターの動きがページの表示時間と相関しているか」「キーボードイベントがテキストフィールドのフォーカス時にのみ発生しているか」といったクロスチェックを行い、各評価器が検出用のシグナルを登録します。

3. セッション統合

収集されたデータはセッション単位で蓄積されます。これにより、ボットがページをリロードしたり新しいチャレンジを開始したりしても、行動スコアはリセットされずに引き継がれます。セッションメタデータは、ダウンストリームの検出層やシャドーモードのヒューリスティック分析にも渡され、ボットスコアが継続的に調整されます。

4. プライバシーバイデザイン

Precursorは「プライバシーを考慮した設計」を徹底しています。

• キーボード操作は「タイミングとリズム」だけを収集し、実際に押されたキーの内容は一切記録しません。

• 行動シグナルは個人の特定につながる情報ではなく、集約されたパターンとして評価されます。

• 収集データはCloudflare内部のボット検出システムのみで消費され、ダッシュボード上にユーザーアカウントやログインIDと紐づいて表示されることはありません。

セッション分析ダッシュボードで「ユーザージャーニー」を可視化

Precursorの導入に合わせ、Security Analyticsにセッションベースのビューが追加されました。これまではリクエスト単位の分析が中心でしたが、今後は次のような問いに答えられるようになります。

• サイト上の典型的なセッションはどのようなものか？

• セッションのどこで期待される行動から逸脱しているか？

• 時間経過とともに自動化の兆候を見せるセッションはどれか？

リクエストとリクエストの間の「何も送信していない時間」の振る舞いまでもが可視化され、ボット管理の意思決定に直接活用されます。

今後の展望と導入方法

Precursorは、アプリケーション全体にボット検出を拡張するための基盤です。今後、セキュリティシグナルの範囲と深さの拡大、セッションレベルの洞察を活用した保護機能の強化、より直感的な可視化とアクションが計画されています。

いますぐ始めるには

• 提供状況：現在順次ロールアウト中。一般提供（GA）までは無料で利用可能。

• 設定方法：CloudflareダッシュボードからPrecursorをゾーンに対して有効にし、セッション検証の厳格度を選択するだけ。

  • 低フリクションモード：バックグラウンドで行動を観測し、自動検出に活用。

  • 高セキュリティモード：セッションが存在しない場合にチャレンジを強制し、完全に検証されたセッションのみ許可。

• 既存環境との連携：Bot ManagementやTurnstileをすでに利用している場合、Precursorはそれらの保護をチャレンジの瞬間だけでなく、セッション全体に自動拡張します。アプリケーションのコード変更は一切不要です。

Precursorは、ボット対策を「点」から「線」へ進化させる重要な一歩です。 正規ユーザーに不要な摩擦を与えず、自動化攻撃に対してはセッション単位の高度なハードルを課すこのアプローチは、今後のセキュリティ標準となるでしょう。Cloudflareダッシュボードを開き、ぜひその効果を試してみてください。