Cloudflare анонсировала Precursor — антибот-систему, которая отличает человека от машины по движениям мыши, ритму нажатий клавиш и микротремору руки. Звучит как элегантное решение проблемы ботов. Но если присмотреться, это сбор поведенческой биометрии в масштабе пятой части интернета — без ведома и согласия пользователей. Четыре находки, которые всерьёз настораживают.

Как это работает

Precursor внедряет JavaScript на сайты за Cloudflare и собирает траектории мыши (скорость, дуги, паузы, тремор), тайминги нажатий клавиш, события фокуса и переключения вкладок. Решение «человек или бот» строится на физиологии: анатомические дуги запястья, когнитивные задержки, естественный тремор. Cloudflare успокаивает: сигналы оцениваются агрегированно и к личности не привязываются. Почему этих заверений недостаточно — ниже.

Находка 1. Данные пригодны для идентификации личности

Клавиатурный почерк и динамика мыши — классическая поведенческая биометрия: по ритму набора человека узнают с высокой точностью, а такой идентификатор переживает смену IP, VPN и режим инкогнито. Весь правовой статус собранного держится на одной декларации о цели — «мы определяем human or not, а не who». Это обещание в корпоративном блоге, а не техническое ограничение: оно отменяется одним решением менеджмента или одним запросом иностранного регулятора.

Находка 2. По этим данным читаются состояния человека

Ровно те же сигналы выдают то, что человек никому не сообщал: неврологические заболевания (Паркинсон, эссенциальный тремор, последствия инсульта), моторные нарушения и ассистивные технологии, опьянение, усталость, стресс, возрастные изменения моторики. Побочный продукт антибот-проверки — фактически медицинские сведения, особая категория персональных данных в любой юрисдикции. А люди с нетипичной моторикой начнут проваливать невидимые проверки, не понимая почему: барьер невидим и необжалуем.

Находка 3. Согласия никто не спрашивает

Скрипт внедряет сайт — пользователь даже не является стороной отношений с Cloudflare и не знает о ней в цепочке. Ни баннера, ни настройки, ни opt-out. Видеонаблюдение в магазине требует хотя бы таблички — здесь наблюдают за физиологией без таблички. И уйти «в другой магазин» не выйдет: Cloudflare проксирует порядка 20% веба.

Находка 4. Для россиян это фактически вывоз биометрии за рубеж

У пользователя из РФ собирают данные, по совокупности пригодные для косвенной идентификации, — по 152-ФЗ это персональные данные. Согласия нет. Данные уходят на зарубежные серверы — в обход локализации (ст. 18 ч. 5 152-ФЗ) и порядка трансграничной передачи (ст. 12). За куда меньшее — cookie и IP без согласия — регуляторы уже штрафовали глобальные платформы.

Вывод

Проблема ботов реальна, и с приходом LLM-агентов «телесные» сигналы — едва ли не последний способ отличить человека от машины. Но допустимость определяется условиями: раскрытием факта сбора, юридически закреплённым запретом вторичного использования, внешним аудитом, обходным путём для людей с нетипичной моторикой. Ничего из этого в анонсе нет. Вся защита пользователя держится на одной строчке в корпоративном блоге.