技術概要：FP-Agent：AI ブラウジングエージェントの指紋識別

1. 問題定義

AI ブラウジングエージェントは、大規模言語モデル（LLM）を活用して Web サイトを自律的にナビゲートし、実際のブラウザを使用してフライトの予約やショッピングなどの複雑なタスクを実行する、新興のボットクラスを表しています。従来の Web ボットとは異なり、これらのエージェントは人間のワークフローを模倣するため、IP アドレスや User-Agent 文字列といった従来のシグナルを用いて、正当な人間のトラフィックと区別することが困難です。

現在の防御メカニズムは、自主的な自己識別（例：robots.txt、Web ボット認証）や静的ルールに大きく依存しています。しかし、これらのアプローチは不十分です。なぜなら、悪意のあるオペレーターは単に識別を回避できるだけでなく、善意のエージェントであってもこれらの基準を一貫して採用するとは限らないからです。この論文が扱う核心的な問題は、既存の AI ブラウジングエージェントが、制御された環境において人間や他のエージェントから確実に区別できる固有のブラウザおよび行動指紋を有しているかどうかに関する実証的な理解が欠如していることです。

2. 手法

著者は、ブラウジングエージェントを特徴付け、分類するために設計された測定フレームワークFP-Agentを提示します。手法には以下のコンポーネントが含まれます。

• 対象者: 本研究は、5 つの独自エージェント（Atlas Agent、ChatGPT Agent、Claude for Chrome、Comet、Manus）と 2 つのオープンソースエージェント（Browser Use、Skyvern）の計 7 種類のブラウジングエージェントと、56 名の人間参加者からなる対照群を評価しました。
• 計測: 各訪問者に対して固有のサブページを生成し、トラフィックを分離してアーティファクトを収集するために、クライアントサイドの JavaScript 計測を備えた制御された「ハニーサイト」が展開されました。
  • ブラウザ指紋: FingerprintJS ライブラリを使用して、システムおよびブラウザ属性（例：画面解像度、フォント、プラグイン）を収集しました。
  • 行動指紋: カスタムイベントリスナーが、入力（キー間/キー保持の遅延、ペースト対キー入力イベント）、スクロール（距離、持続時間、バーストパターン）、およびマウス移動（曲率、連続性）を含む相互作用プリミティブを記録しました。
• タスク: 一般的な Web 相互作用プリミティブを行使するための 3 つの代表的なタスクが設計されました。
  1. フライト予約: 多段階フォーム、日付選択、トグル。
  2. オンラインショッピング: 検索、フィルタリング、カートとの相互作用。
  3. フォーラム相互作用: ナビゲーション、読書、長文テキストの作成。
• データ収集: 3 つのタスクにおいて、各ブラウジングエージェントに対して 1,000 回の試行が行われました。人間参加者は、各自のデバイスで各タスクを 3 回反復して実行しました。
• 分析: 収集されたアーティファクトは、418 個のブラウザ機能と 50 個の行動機能に特徴化されました。著者は、これらの機能の識別力を評価するためにXGBoost多クラス分類器を訓練しました。モデルの決定を解釈するために SHAP（SHapley Additive exPlanations）と機能重要度指標を利用し、クラス間の差異を検証するために統計的検定（マン・ホイットニーの U 検定、ブラウン・フォースス検定）を用いました。

3. 主要な発見と結果

3.1 ブラウザ指紋は限定的な識別能力しか提供しない

• 共有された指紋: 複数のブラウジングエージェント（特に Atlas Agent、Browser Use、Claude）は、同じ基盤オペレーティングシステム（例：macOS または Windows）上で実行される場合、同一のブラウザ指紋を共有することが多いです。
• 環境との相関: ローカルエージェントのブラウザ指紋は、能動的な変化よりもテスト環境（例：画面解像度、システムタイプ）と強く相関しています。クラウドベースのエージェント（例：Manus）も、特定の遠隔実行環境を反映する安定した指紋を示します。
• 分類性能: ブラウザ指紋ののみを使用した分類器は、約0.80の$F_1$スコアを達成しました。エージェントが同じ指紋を共有する場合、分類器は訓練セットにおいてその指紋に関連する最も頻繁なクラスにデフォルトするため、誤分類が頻繁に発生しました。

3.2 行動指紋は極めて特徴的である

行動機能はほぼ完璧な識別を提供し、分類器は（行動のみの場合）0.9993、（組み合わせの場合）1.0000の$F_1$スコアを達成しました。主な識別行動には以下が含まれます。

• 入力行動:
  • ペースト対キー入力: ChatGPT Agent、Atlas Agent、Comet などのエージェントは、文字ごとの入力ではなく、ペーストイベント（Ctrl+V またはプログラム的なペースト）を主に使用します。
  • 遅延パターン: キー入力を使用するエージェント（例：Manus、Skyvern、Browser Use）は、ミリ秒範囲のキー間およびキー保持遅延を示し、通常は非常に低い分散を伴います。対照的に、人間は有意に高い遅延とはるかに大きな分散を示します。
  • プログラム的な特徴: Skyvern は、プログラム的な入力に切り替える前に 20 文字をキー入力する独特のパターンを示します。Browser Use は、特定のテキストフィールドのクリアロジックにより、他のエージェントの 2 倍の「変更イベント」を生成します。
• スクロール行動:
  • 非連続的なスクロール: エージェントは滑らかにスクロールしません。DOM ベースのエージェント（Skyvern、Manus）は即座にジャンプするか、ビジョンベースのエージェント（ChatGPT Agent）は離散的なマルチバースト探索を行います。
  • 人間との区別: 人間は、ほとんどのエージェントと比較して、より長く、変動が大きく、連続的なスクロール持続時間と距離を示します。
• マウス行動:
  • テレポート: ブラウジングエージェントは通常、ターゲット位置でクリックに即座に続く単一のマウス移動イベントを生成し、実質的にカーソルを「テレポート」させます。
  • 連続的な移動: 人間は、測定可能な曲率と方向を伴うマウス移動イベントの連続ストリームを生成し、これはエージェントから彼らを強く区別する特徴です。

3.3 既存の防御との比較

Cloudflare の無料ボット管理を評価したケーススタディにおいて：

• FP-Agent: 研究対象の 7 種類のブラウジングエージェントをすべて正常に検出・分類しました。
• Cloudflare: Cloudflare のディレクトリで確認されたボットであるManusのみを検出・ブロックしました。他の 6 つのエージェントはタスクを正常に完了しました。Cloudflare はプロバイダーからの一部のサーバーサイドリクエスト（例：ClaudeBot、Perplexity-User）をブロックしましたが、エージェント自体のローカルまたはクラウドベースの実行をブロックできませんでした。

4. 貢献

1. 最初の制御された測定: これは、7 種類の多様な AI ブラウジングエージェントのブラウザおよび行動指紋を人間ユーザーと比較して体系的に測定・比較した最初の研究です。
2. FP-Agent フレームワーク: 著者は、ブラウジングエージェントのトラフィックを特徴付けるための拡張可能な測定フレームワークとデータセット（公開済み）を提供します。
3. 行動の区別に関する実証的証拠: 本研究は、ブラウザ指紋は共有されたり環境依存であったりする一方で、行動指紋（入力、スクロール、マウス移動）には、AI エージェントを人間や他のエージェントから確実に区別する堅牢でエージェント固有のシグネチャが含まれていることを実証しています。
4. 現在の防御の限界: この論文は、自己識別を行わない現代的なブラウジングエージェントに対して、現在の業界の防御（Cloudflare のものなど）は largely 無効であることを強調し、行動指紋識別が有効な検出メカニズムを提供することを示しています。

5. 意義と限界

この論文は、行動指紋識別が AI ブラウジングエージェントの信頼性の高い検出と制御のための重要な要素であると主張しています。AI 自動化が普及するにつれて、自主的な自己識別や静的なブラウザ属性のみに依存することは不十分であると示唆しています。

控えめな主張と限界:

• 一般化可能性: 発見は 7 種類のエージェントと 3 つのタスクという特定のセットに基づいています。著者は、将来のエージェントがより人間らしい行動を採用し、行動指紋のギャップを狭める可能性があることを認めています。
• タスク依存性: 行動分類器は既知のタスクでは良好に機能しましたが、未知のタスクでは性能が低下しました（例：行動のみの分類器で$F_1$が約 0.99 から約 0.73 に低下）。ただし、組み合わせ分類器は堅牢なままでした。
• 対象集団の範囲: 人間のデータは大学生から収集されたものであり、世界の人間のブラウジング行動の多様性を完全に捉えているとは限りません。
• 軍拡競争: 著者は、検出は継続的な軍拡競争であると指摘しています。現在のエージェントは区別可能ですが、将来のバージョンは人間の行動パターンをより密接に模倣する可能性があります。

この論文は、FP-Agent が、この新興の Web トラフィック形式に対する微細な制御と検出メカニズムに関する将来の研究の基盤を提供すると結論付けています。