Cloudflare lança Precursor, que detecta bots e agentes de IA por comportamento contínuo

A Cloudflare apresentou o Precursor, uma engine de análise comportamental client-side que avalia continuamente as interações da sessão, como movimentos de mouse e timing de teclado, para melhorar a detecção de bots sofisticados e agentes de IA sem depender apenas de desafios pontuais como CAPTCHAs. A informação foi reportada pela InfoQ.

O que muda em relação ao CAPTCHA

Segundo a documentação, o Precursor usa sinais contínuos baseados em sessão para pegar bots avançados que tentam imitar comportamento humano ao longo de toda a jornada do usuário. A Cloudflare descreve isso como uma mudança de rumo: sair da detecção estática (CAPTCHA ou fingerprinting de navegador) para uma leitura de sessão completa.

O ponto central está no que os bots ainda não conseguem replicar. Marina Elmore, senior product manager, e Benedikt Wolters, principal systems engineer, escrevem que a automação moderna consegue parecer legítima em curtos períodos:

"Bots podem executar JavaScript, usar ambientes de navegador reais e passar em CAPTCHAs individuais sem levantar suspeita. O que continua difícil de replicar é o comportamento humano consistente ao longo do tempo."

Como funciona

O Precursor injeta automaticamente um script leve no cliente que coleta sinais comportamentais de forma contínua: movimentos de ponteiro, atividade de teclado, mudanças de foco e visibilidade da página. A análise acontece na edge, em tempo real, correlacionando os dados ao longo de toda a sessão. A Cloudflare afirma usar telemetria agregada e preservadora de privacidade, sem gravar as entradas do usuário.

O time destaca que, mesmo quando bots simulam interações adicionando atrasos aleatórios ou movimentos de cursor, costumam falhar em reproduzir padrões naturais moldados pela fisiologia e cognição humanas, como movimento de pulso, tempos de reação e tremores sutis da mão.

Segundo Elmore e Wolters, o efeito prático se divide em dois lados:

"Para usuários legítimos, o Precursor significa menos interrupções desnecessárias. Para desenvolvedores de bots, ele eleva o custo de operar automação ao exigir a simulação de uma sessão completa."

O recurso estende as detecções client-side já oferecidas pelo Challenge para toda a aplicação web e complementa o Turnstile, a alternativa ao CAPTCHA da Cloudflare, dentro do Enterprise Bot Management. O lançamento também adiciona analytics baseadas em sessão ao Security Analytics, deslocando a visibilidade de requisições individuais para sessões completas de visitantes.

Repercussão e críticas

A mudança de paradigma foi notada na comunidade. Angel Hadjiev, cofundador e CEO da foura.ai, comentou no LinkedIn que ferramentas como rotação de proxy, fuzzing de headers e pacing "foram todas construídas para um mundo em que você era julgado uma requisição por vez", e que agora o jogo passou a exigir "coerência comportamental de cinco minutos".

Nem toda a reação foi positiva. Em uma thread no Hacker News, muitos questionaram as implicações de privacidade e a eficácia de longo prazo do monitoramento comportamental contínuo. O usuário Havoc escreveu que é "um pouco alarmante como a Cloudflare está se estabelecendo como árbitro de tudo relacionado a bots", algo que "não parece saudável para a internet como um todo". No Reddit, um usuário levantou outro receio: que a análise detalhada do comportamento de mouse humano acabe ajudando desenvolvedores de bots a torná-los mais parecidos com humanos.

A Cloudflare não está sozinha nessa abordagem. O Google Cloud Fraud Defense e o AWS WAF Bot Control também usam sinais comportamentais, ainda que com arquiteturas e técnicas de detecção diferentes.

O que isso significa para quem opera infra no Brasil

Para equipes brasileiras que já usam Cloudflare em produção, o Precursor está disponível em beta aberto para todos os clientes e permanecerá gratuito até a disponibilidade geral, o que abre espaço para testar detecção mais fina em fluxos sensíveis (login, checkout, formulários) sem custo imediato.

Dois pontos merecem atenção no contexto local: a coleta de telemetria comportamental client-side precisa ser avaliada à luz da LGPD, mesmo que a Cloudflare afirme usar dados agregados e não gravar entradas do usuário; e vale acompanhar de perto o impacto sobre agentes de IA legítimos, já que o mesmo mecanismo que barra automação maliciosa pode afetar integrações automatizadas autorizadas.

Fonte: InfoQ