Cloudflare Đã Triển Khai Tính Năng Phát Hiện Bot Phạm Vi Phiên Vào Hôm Qua
Vào ngày 13 tháng 7 năm 2026, Cloudflare đã ra mắt Precursor, một công cụ phát hiện bot theo hành vi liên tục theo dõi toàn bộ phiên, không chỉ lúc khách truy cập vừa đến. Thử thách Turnstile hiện tại của họ chạy khoảng 3 tỷ lần mỗi ngày ở các trang đăng nhập, đăng ký và thanh toán. Precursor mở rộng khả năng quan sát client-side tương tự đó cho mọi trang ở giữa.
Góc nhìn này rất quan trọng. Turnstile đặt một câu hỏi tại một thời điểm: khách truy cập này có phải là con người không? Precursor đặt câu hỏi tương tự liên tục, qua từng chuyển động chuột, thao tác phím, cuộn trang và thay đổi tiêu điểm, và nó đưa câu trả lời vào một điểm số bot chạy theo suốt phiên.
Đó là một thay đổi lớn hơn những gì thông cáo báo chí thể hiện.
Phiên Là Một Fingerprint Mới
Trong nhiều năm, việc phát hiện bot diễn ra trong những khoảng thời gian ngắn. Giải quyết thử thách, lấy cookie, chạy các request của bạn. Ngay cả các bước kiểm tra ở cấp độ mạng và header mới hơn cũng là những sự kiện theo từng request. Nếu bạn vượt qua đợt kiểm tra đầu tiên, bạn gần như an toàn cho đến đợt tiếp theo.
Việc phát hiện theo hành vi ở phạm vi phiên phá vỡ khuôn mẫu đó. Theo bài đăng ra mắt của Cloudflare: bot có thể thực thi JavaScript, sử dụng toàn bộ môi trường trình duyệt và vượt qua từng CAPTCHA mà không gây nghi ngờ. Điều vẫn khó sao chép là hành vi nhất quán của con người theo thời gian.
Họ trích dẫn tính vật lý của thao tác đầu vào từ con người như một bức tường mà tự động hóa vấp phải. Chuyển động chuột của con người là một đường vòng cung, bị giới hạn bởi trục cổ tay và lực xoay cẳng tay. Có một độ trễ đo được giữa việc nhìn thấy một checkbox và việc nhấp vào nó (tải trọng nhận thức). Và ngay cả một bàn tay vững vàng cũng dao động ở tần số run sinh lý. Bot tạo ra các đường thẳng và đường cong Bezier sạch sẽ về mặt toán học. Chúng nhấp chuột với độ chính xác mà không con người nào đạt được.
Bất kỳ tín hiệu nào trong số đó đều rất yếu để đọc được. Nhưng khi cộng dồn chúng trong một phiên dài năm phút, sự khác biệt trở nên rõ ràng.
Tại Sao Việc Làm Mới Không Còn Cứu Được Bạn Nữa
Thủ thuật né tránh dưới hình thức phát hiện theo từng request rất rõ ràng: nếu điểm bot của bạn tăng lên, hãy làm mới trang, xoay vòng danh tính, bắt đầu lại. Precursor đóng chặt cánh cửa đó.
Cloudflare tuyên bố rõ ràng: "Phạm vi phiên rất quan trọng vì điều đó có nghĩa là một bot không thể đặt lại chữ ký hành vi của nó bằng cách làm mới trang hoặc bắt đầu lại với một thử thách mới." Các phiên đáng ngờ sẽ tích lũy ngữ cảnh. Điểm số bot theo sát khách truy cập.
Nhưng thay đổi đó đánh mạnh nhất vào một nhóm các trình cào dữ liệu tầm trung cụ thể. Mô hình headless hoàn toàn, xoay vòng theo từng request vốn đã thất bại trước các bước kiểm tra tiêu chuẩn. Không có gì mới ở đó. Những người vận hành thực sự quan tâm đến phiên, chạy một danh tính trình duyệt cho độ dài một lượt truy cập của người dùng thực, phần lớn là ổn. Precursor trừng phạt những thứ ở giữa: các đội ngũ chạy Puppeteer hoặc Playwright với các cài đặt mặc định hợp lý, coi mỗi URL như một công việc độc lập, làm mới giữa các lần cào để trông sạch sẽ.
Kiểu cào dữ liệu đó rẻ vì nó dùng một lần. Precursor làm cho việc dùng một lần trở nên đắt đỏ.
Điều Này Có Ý Nghĩa Gì Đối Với Các Trình Cào Dữ Liệu Dạng Agent
Có một nhóm thứ hai mà Precursor rõ ràng được xây dựng để bắt: các AI scraper tự trị. Cloudflare đã chỉ ra điều này trong phần tiêu đề phụ: phát hiện hành vi tự trị bằng các tín hiệu liên tục ở phía client.
Các tác nhân duyệt web tự trị (loại được điều khiển bởi LLM có khả năng lập kế hoạch và thực thi từng bước) có xu hướng di chuyển theo các đợt ngắn, dứt khoát. Điều hướng, trích xuất, điều hướng, trích xuất. Xét riêng lẻ, mỗi hành động trông giống như những gì một người dùng thực sự có thể làm. Nhưng không có thời gian dừng, không có kiểu cuộn để đọc, không có các điều chỉnh nhỏ, không có việc di chuyển vượt qua mục tiêu. Trong một session, những sự thiếu hụt đó rõ ràng không kém gì việc làm giả độ rung của chuột.
Vì vậy, nếu bạn đang xây dựng một tác nhân vừa suy nghĩ vừa scraping, thì rào cản vật lý đã trở nên thực tế. Blog của Cloudflare lưu ý rằng Precursor "làm tăng chi phí vận hành tự động hóa bằng cách yêu cầu chúng mô phỏng một session hoàn chỉnh. Điều này khó xây dựng hơn đáng kể, tốn kém hơn để bảo trì và kém tin cậy hơn nhiều khi vận hành ở quy mô lớn."
Đó là toàn bộ mục tiêu thiết kế. Không phải để làm cho tự động hóa trở nên bất khả thi, mà là làm cho nó không còn hiệu quả về mặt kinh tế.
Điều này có ý nghĩa gì đối với Data Team
Ba điều sẽ thay đổi và không có điều nào rẻ cả.
Thứ nhất, ngân sách cho session thay thế ngân sách cho request. Nếu bạn đang lập kế hoạch capacity cho một mục tiêu được Cloudflare bảo vệ, hãy ngừng suy nghĩ theo request mỗi giây và bắt đầu nghĩ theo session mỗi giờ: bạn có thể duy trì bao nhiêu hành trình người dùng trông có vẻ liên tục, độc lập và mỗi hành trình kéo dài bao lâu? Các đợt ngắn gọn chính xác là dấu hiệu mà Precursor được tinh chỉnh để bắt. Việc tư duy lại về các phép toán proxy mà chúng tôi đã viết vào tháng 5 cũng áp dụng ở đây. Kích thước pool không phải là giới hạn cao nhất, mức độ chân thực của session mới là yếu tố quyết định.
Thứ hai, bài toán giữa việc tự xây dựng hay mua ngoài tiếp tục nghiêng về việc mua ngoài. Duy trì một scraper chống lại hệ thống phòng thủ trên mỗi request là một lần tích hợp và thỉnh thoảng vá lỗi. Duy trì một công cụ chống lại hệ thống phòng thủ theo phạm vi session đòi hỏi R&D liên tục về hành vi: mô hình điều tiết nhịp độ, đường đi của con trỏ chuột, phân bổ thời gian dừng và cách để duy trì test coverage cho tất cả các yếu tố đó. Nếu bạn đang phân vân về việc thuê ngoài để thu thập dữ liệu web, điều này làm cho các con số trở nên tồi tệ hơn đối với việc tự xây dựng.
Thứ ba, bất kỳ ai triển khai Precursor ở quy mô lớn trước tiên sẽ thiết lập một tiêu chuẩn phát hiện mới cho toàn ngành. Cloudflare bảo vệ khoảng 20% web. Nếu các khách hàng thương mại điện tử và tài chính bật Precursor mạnh mẽ trong quý tới, stack scraping của những người khác sẽ cảm nhận được điều đó, ngay cả trên các trang web không bao giờ tự cài đặt Precursor, vì hệ sinh thái phòng thủ theo dõi những gì hiệu quả và sao chép rất nhanh chóng.
Sự thay đổi về thang thời gian mà không ai nhắc đến
Chúng tôi đã viết về sự chuyển dịch sang phát hiện hành vi vào ba tháng trước. Precursor là phiên bản được sản phẩm hóa của xu hướng đó và nó định vị lại cửa sổ đo lường.
Việc phát hiện bot từng diễn ra trong phạm vi của một request duy nhất. Giờ đây, việc này diễn ra trên toàn bộ một session kéo dài trong nhiều phút, đôi khi lâu hơn. Thay đổi duy nhất đó tác động đến mọi chiến thuật scraping được viết ra khi đơn vị phát hiện chỉ là một lệnh gọi đơn lẻ. Việc xoay vòng proxy, làm rối header, kiểm soát tốc độ request ở mức độ giây, tất cả đều mất đi tác dụng nếu hàm mất mát là tính nhất quán về hành vi trong năm phút tương tác.
Vấn đề không phải là liệu việc phát hiện bot có tiếp tục phát triển hay không. Đó là điều hiển nhiên. Mà là liệu hệ thống thu thập dữ liệu của bạn có còn tư duy theo request trong khi hệ thống phòng thủ đang tư duy theo session hay không.