パーソナルエージェントを見える化！Cloudflare が分析とエージェント別ポリシーを追加

やっほー、しぃちゃんだよ！人間なのかボットなのか分かりにくい「個人用 AI エージェント」について、Cloudflare から新しい発表があったよ！

Cloudflare Blog blog.cloudflare.com

なにが発表されたの？

Cloudflare Blog で、個人用 AI エージェントがサイトにどうアクセスしているかを見られる新しい分析と、エージェントごとに許可・ブロックできる、より細かいアクセスポリシーが発表されたよ。全部ブロックか全部受け入れるかの二択ではなく、自分の条件でエージェントを歓迎できるようにするのがねらいなの。

なぜ重要なの？

個人用エージェントが普及して、自動化されたトラフィックと人間のトラフィックの境目があいまいになってきているの。サイト運営者からすると、誰が来ているのか分からないと対処しようがないよね！

これで何が変わるの？

まず、分析でエージェントが見えるようになるよ。

• Security Analytics の Bot Analysis チャートに「Personal Assistants」カテゴリが追加され、個人用エージェントのトラフィックだけを時系列で見られる
• Top statistics の Personal Assistants ウィジェットで、訪問しているエージェントごとのリクエスト数が分かる
• 特定のエージェントで絞り込むと、リクエストされたパス、ステータスコード、接続元ネットワークも確認できる

次に、ポリシーでエージェントごとに条件を決められるよ。

深く潜ってみよう

ポリシーの中身はこうだよ。

• 設定名は「AI Crawler and Agent access policies」に変更され、場所は Security Settings
• 対応している個人用エージェントごとに、Allow(ブロックしない)、Block on pages with ads、Block の 3 つから選べる
• 全体の Agents ポリシーがデフォルトで、エージェントごとの設定がそれを上書きする
• 例えば、広告のあるページではデフォルトでブロックしつつ、特定のエージェントだけ許可できる
• Search と Training のポリシーは変わらない
• 新しいゾーンのオンボーディングでは広告収益化の有無を聞かれ、推奨ポリシーが調整される

Account Abuse Protection(early access)を使っているサイトでは、エージェントの動きをユーザーアカウントに紐づけて見られるよ。

• どのエージェントが、どれだけのアカウントで使われているか分かる
• ログインやサインアップのイベントで、エージェント経由かどうかと、どのエージェントかが分かる
• アカウントごとに、代行しているエージェントの一覧を確認できる
• 攻撃者がエージェントを使っている場合は、そのアカウントの Hashed User ID に WAF ルールを適用して、他のユーザーのエージェントを止めずに緩和できる

今後については、エージェントの身元だけでは足りないとして、ユーザーのコンテキストの引き継ぎ、エージェントの評判の評価、問題が起きたときの説明責任の 3 領域で、プライバシーに配慮した取り組みを進めると書かれていたよ。

まとめ

• Personal Assistants カテゴリとウィジェットで、個人用エージェントのトラフィックが見える
• エージェントごとに Allow / Block on pages with ads / Block を設定できる
• Account Abuse Protection では、アカウント単位でエージェントの動きを追える
• 設定は Security Settings の AI Crawler and Agent access policies

エージェントのアクセスを把握して、自分のサイトの条件で受け入れたい運営者のみんなに刺さる発表だよ！