Cloudflare ra mắt Precursor: Công cụ phát hiện bot thông minh qua hành vi người dùng

2026-07-13

5 phút đọc

Giảm thiểu bot là một cuộc đối đầu mang tính đối kháng: kẻ tấn công thích nghi, người phòng thủ phản ứng, và vòng lặp này cứ tiếp diễn. Tại Cloudflare, chúng tôi luôn đi trước một bước bằng cách kết hợp khả năng hiển thị trên toàn bộ mạng lưới toàn cầu với các tín hiệu từ môi trường phía client (client-side). Ở cấp độ mạng, chúng tôi phân tích hơn 1 nghìn tỷ yêu cầu mỗi ngày để hiểu về danh tiếng, các mô hình và điểm bất thường trên hơn 20% lưu lượng web. Ở phía client, chúng tôi đã đẩy mạnh khả năng phát hiện với Cloudflare Turnstile, vốn đã phát triển từ một công cụ thay thế CAPTCHA thành một giải pháp thử thách được quản lý dựa trên rủi ro, có khả năng điều chỉnh mức độ gây trở ngại cần thiết để xác minh người dùng là thật.

Hiện nay, Turnstile chạy gần 3 tỷ lần mỗi ngày trên một số điểm cuối (endpoint) nhạy cảm nhất trên Internet, giúp xác minh người dùng tại các thời điểm quan trọng như đăng nhập, đăng ký và thanh toán. Điều này cải thiện khả năng bảo vệ tại các khu vực quan trọng nhất của ứng dụng khách hàng, nhưng vẫn để lại hạn chế về khả năng hiển thị đối với phần còn lại của ứng dụng — cách con người và bot thực sự tương tác trong toàn bộ hành trình người dùng.

Đây chính là khoảng trống về khả năng hiển thị mà chúng tôi đang lấp đầy hôm nay với việc ra mắt Precursor.

Giới thiệu về Precursor

Precursor là một hệ thống xác minh dựa trên phiên làm việc (session-based) ở phía client, được xây dựng với ưu tiên về quyền riêng tư, sử dụng JavaScript được chèn động để liên tục thu thập các tín hiệu hành vi khi khách truy cập tương tác với ứng dụng của bạn. Các tín hiệu này được xử lý và tích hợp vào hệ thống bảo vệ bot của Cloudflare theo thời gian thực, cho phép chúng tôi liên tục phân biệt lưu lượng truy cập của con người với lưu lượng truy cập tự động hoặc từ các tác nhân (agentic).

Điều này mở rộng khả năng phát hiện phía client vốn được cung cấp bởi các Challenge (Thử thách) ra toàn bộ ứng dụng web của bạn. Precursor là một phần bổ sung tùy chọn cho Turnstile — cả hai đều là tính năng thuộc gói Enterprise Bot Management của chúng tôi. Khả năng phát hiện dựa trên hành trình người dùng này rất mạnh mẽ vì các công cụ tự động hóa hiện đại ngày càng có khả năng giả dạng hợp lệ trong các khoảng thời gian ngắn. Bot có thể thực thi JavaScript, sử dụng môi trường trình duyệt thực và vượt qua các CAPTCHA riêng lẻ mà không gây nghi ngờ. Điều khó sao chép nhất chính là hành vi nhất quán của con người theo thời gian.

Precursor được xây dựng để nắm bắt lớp tương tác đó, biến chính hành vi thành một tín hiệu đáng tin cậy để phát hiện gian lận và lạm dụng. Bằng cách đánh giá hành vi trong toàn bộ phiên làm việc, Precursor bổ sung thêm nhiều tín hiệu quan trọng cho mỗi quyết định. Điều này cải thiện độ chính xác trong phát hiện, giúp phân biệt người dùng thật với tự động hóa dễ dàng hơn mà không cần dựa vào các Challenge gây khó chịu. Đối với người dùng hợp lệ, Precursor đồng nghĩa với việc ít bị gián đoạn không cần thiết hơn. Đối với các nhà phát triển bot, nó làm tăng chi phí vận hành tự động hóa vì buộc họ phải mô phỏng toàn bộ một phiên làm việc. Điều này khó xây dựng hơn đáng kể, tốn kém hơn để duy trì và kém tin cậy hơn nhiều khi vận hành ở quy mô lớn.

Sai lầm là bản chất con người

Khi một nhà phát triển bot cố gắng làm cho chuyển động chuột trông giống con người, họ thường thêm nhiễu Gaussian hoặc các độ trễ ngẫu nhiên đồng nhất. Nhưng chuyển động của con người không chỉ "nhiễu", mà còn bị giới hạn bởi các quy luật vật lý:

Xoay cổ tay: Chuyển động chuột của con người thường là một đường cong, bị giới hạn bởi phạm vi xoay của cổ tay và sự xoay của cẳng tay.

Tải nhận thức: Có một độ trễ có thể đo lường được giữa lúc con người nhìn thấy một ô kiểm (checkbox) và lúc nhấp vào nó.

Run tay: Ngay cả bàn tay ổn định nhất của con người cũng dao động ở tần số run sinh lý.

Ngược lại, bot thường hành xử theo những cách khiến chúng lộ diện. Chúng di chuyển theo các đường nội suy tuyến tính hoặc các đường cong Bézier lý tưởng về mặt toán học. Chúng nhấp chuột với độ chính xác mà con người không bao giờ có thể sao chép được. Và ngay cả khi chúng cố gắng mô phỏng lỗi của con người, vẫn có một nhịp điệu trong chuyển động của con người mà chỉ có thể thấy được bằng cách kiểm tra toàn bộ phiên làm việc.

Chuyển động chuột chỉ là một ví dụ về các tín hiệu mà Precursor đánh giá, nhưng nó minh họa sự khác biệt rất rõ ràng. Dưới đây là ví dụ về một thư viện tự động hóa chuột đang tương tác với một trang web. Bạn có thể thấy cách chuột di chuyển theo những đường thẳng hoàn hảo, luôn quay trở lại điểm gốc và phản ứng với cùng một vận tốc.

Bây giờ, hãy so sánh điều đó với một người đang điều hướng trên cùng trang web: bạn sẽ thấy các đường đi không đều, những điều chỉnh nhỏ, những cú lướt quá đà, cùng sự thay đổi về tốc độ, thời gian và hướng đi.

Riêng lẻ, những tương tác này có vẻ hợp lý. Nhưng trong suốt một phiên làm việc, các mô hình này phân tách theo những cách rất khó để làm giả. Precursor được thiết kế để nắm bắt và đánh giá các đặc điểm hành vi này khi chúng phát triển trong quá trình khách truy cập tương tác với ứng dụng.

Cách Precursor hoạt động

Để đánh giá hành vi theo thời gian, Precursor liên tục thu thập dữ liệu tương tác trên client và xây dựng cái nhìn cấp phiên làm việc về hoạt động trên trang web đó.

1. Lớp chèn và thu thập dữ liệu

Khi Precursor được bật trên ứng dụng của bạn, Cloudflare sẽ tự động chèn một tập lệnh nhẹ vào các phản hồi HTML từ trang web của bạn khi chúng đi qua mạng lưới của chúng tôi, mà không cần cấu hình thêm, kết nối mạng hay nhúng bên thứ ba. Gói Precursor được chèn vào rất nhỏ gọn, được làm rối (obfuscated) và được lắp ráp động cho từng phản hồi. Gói này được thiết kế để không gây ảnh hưởng đến bất kỳ logic trang bổ sung nào của ứng dụng web được lưu trữ.

Tập lệnh này gắn các trình lắng nghe sự kiện (event listener) nhẹ để nắm bắt các tín hiệu tương tác như chuyển động con trỏ, hoạt động bàn phím, thay đổi tiêu điểm (focus) và khả năng hiển thị. Các sự kiện này được tuần tự hóa thành một định dạng nhỏ gọn và lưu vào bộ đệm trong bộ nhớ. Theo các khoảng thời gian định kỳ, dữ liệu trong bộ đệm được gửi ngược lại lớp đánh giá để phân tích.

2. Lớp đánh giá

Trên máy chủ biên (edge server), các payload Precursor gửi đến được giải tuần tự hóa thành các đầu vào hành vi. Một bộ điều phối sẽ chạy danh sách các trình đánh giá trên dữ liệu đầu vào. Mỗi trình đánh giá đọc các luồng Precursor mà nó quan tâm và có thể đưa ra các tín hiệu vào sổ đăng ký phát hiện chung.

Các trình đánh giá được thiết kế để đối chiếu dữ liệu. Ví dụ, chúng xác nhận rằng hoạt động của con trỏ tương quan với thời gian hiển thị trang, hoặc các sự kiện bàn phím chỉ kích hoạt khi một trường văn bản được chọn. Luồng thông tin này sau đó được hợp nhất thành các tín hiệu riêng lẻ được sử dụng để cân nhắc các quyết định phát hiện.

3. Tích hợp phiên làm việc

Dữ liệu Precursor được giới hạn trong phạm vi phiên làm việc, nghĩa là nó tích lũy trong suốt phiên. Việc giới hạn theo phiên rất quan trọng vì nó có nghĩa là bot không thể đặt lại đặc điểm hành vi của mình bằng cách làm mới trang hoặc bắt đầu lại với một thử thách mới. Hệ thống cũng cung cấp siêu dữ liệu phiên làm việc vào các lớp phát hiện hạ nguồn để có thêm các phương pháp suy luận (heuristic) ở chế độ ẩn, phân tích phiên, dự đoán so với hoàn thành thực tế và các phương pháp suy luận về sự bất thường của phiên. Những quan sát ở phía biên này được ghi lại để cải thiện khả năng phát hiện và điều chỉnh điểm số bot của một phiên.

4. Quyền riêng tư theo thiết kế

Precursor được thiết kế để thu thập các tín hiệu giúp phân biệt mô hình hành vi của con người với các mô hình tự động và lạm dụng. Các trình lắng nghe sự kiện chỉ nắm bắt thông tin tối thiểu cần thiết để làm tín hiệu hữu ích cho việc phát hiện tự động hóa và lạm dụng. Ví dụ, hoạt động bàn phím được ghi lại dưới dạng thời gian và nhịp điệu, chứ không phải là các phím thực tế được nhấn. Ngoài ra, các tín hiệu hành vi được đánh giá dưới dạng các mô hình tổng hợp thay vì các hành động riêng lẻ và được tiêu thụ nội bộ bởi các hệ thống phát hiện bot của Cloudflare; chúng không được hiển thị trên bảng điều khiển của khách hàng hoặc gắn với tài khoản người dùng, danh tính đăng nhập hay hồ sơ cố định.

Tổng hợp lại, điều này cho phép Precursor duy trì một đánh giá hành vi liên tục phát triển, tối đa hóa độ chính xác trong khi giảm thiểu sự gián đoạn đối với người dùng tốt.

Phân tích theo phiên

Để hỗ trợ lớp phát hiện mới này, chúng tôi đang giới thiệu các chế độ xem dựa trên phiên trong Security Analytics. Các bảng điều khiển này chuyển góc nhìn từ các yêu cầu riêng lẻ sang toàn bộ hành trình của khách truy cập. Giờ đây, bạn có thể trả lời các câu hỏi như:

Một phiên làm việc điển hình trên trang web của tôi trông như thế nào?

Các phiên làm việc đi chệch khỏi hành vi mong đợi ở đâu?

Những phiên làm việc nào cho thấy dấu hiệu tự động hóa theo thời gian?

Sử dụng Security Analytics để khám phá các chế độ xem dựa trên phiên cho lưu lượng truy cập quản lý bot của bạn.

Các phân tích này hiện nắm bắt được thông tin mà phân tích theo yêu cầu (per-request) không thể làm được — đặc biệt là hành vi xảy ra giữa các yêu cầu. Precursor cung cấp dữ liệu trực tiếp vào các hệ thống hiện có như điểm số bot, quyết định thử thách và các quy tắc bảo mật, vì vậy bạn sẽ được hưởng lợi từ ngữ cảnh bổ sung này ngay lập tức.