Cloudflare 新增个人 AI 代理分析与细粒度访问控制

个人 AI 代理正在成为用户与网站之间的中介：用户可以让代理比较商品、查找帮助文档，甚至完成购买。但在网站眼中，这些操作往往都属于自动化流量。如何区分正常的客户需求与潜在风险，成为网站运营和安全团队需要面对的问题。

Cloudflare 新增了个人代理流量分析能力，并细化了访问控制选项，让网站能够根据自身业务需求，决定允许、限制或阻止哪些代理。对于关注 AI 应用与网站治理的 写好标智库 读者，这次更新值得关注的重点是： 代理身份识别、访问策略与用户授权，是三个不同层面的问题。

在 Security Analytics（安全分析） 的 Bot Analysis 图表中，Cloudflare 新增了 Personal Assistants（个人助手） 分类，与已验证机器人、可能为人类、可能为自动化及自动化等分类并列。安全团队可以单独查看个人代理流量随时间的变化。

在 Top statistics 中，新的 Personal Assistants 组件会列出访问网站的代理及各自的请求量。选中某个代理后，其他统计组件也会同步筛选，展示：

这些信息可以帮助团队判断：代理是否正在访问登录入口、浏览商品页面、进入结账流程，或者在无法正常使用的页面上反复遇到错误。

对于使用 Account Abuse Protection（账户滥用防护，目前处于早期访问阶段） 的网站，新增能力还包括账户层面的代理活动分析。

团队可以查看哪些个人代理在用户群体中活跃，以及各代理涉及多少个账户。登录和注册事件也会显示请求是否由个人代理发起，以及具体使用了哪个代理；风控团队可按 AI 助手事件或 AI 助手数量筛选账户。

单个账户的概览页则会展示代表该账户操作的代理。调查异常登录时，分析人员可以区分：这是用户已使用数周的代理，还是当天首次出现、需要进一步核查的代理。

如果发现攻击者通过代理操作某个账户，团队可以针对该账户的 Hashed User ID（哈希用户标识） 设置 WAF 规则进行处置，而不必为所有用户封禁同一代理。

在 Security Settings（安全设置） 中，网站可以先设置整体 Agents 策略，再为各个受支持的个人代理单独选择：

例如，网站可以默认在含广告的页面上阻止代理，同时为希望接纳的某个受支持代理单独设置允许。现有的 Search 和 Training 策略保持不变。

将新站点接入 Cloudflare 时，配置流程也会询问网站是否通过页面广告获利，并据此调整推荐策略；这些设置之后仍可修改。

对于依靠广告支持内容的网站，是否允许代理访问含广告页面，可能与其他网站有不同的取舍。这次更新提供的是更细粒度的选择，而不是统一的处理方式。

识别出代理身份，并不意味着网站已经知道它背后的用户是谁、用户授权了哪些操作，或该用户是否拥有订阅。账户层面的活动分析，也不应被等同于完整的用户授权机制。

Cloudflare 将保留这类用户关系上下文列为后续目标，包括以兼顾隐私的方式通过代理传递用户上下文、帮助网站评估信誉，以及在出现问题时明确责任。

这些仍是后续工作方向，不应与此次已推出的分析和访问控制功能混为一谈。对网站团队而言，当前可以利用的是代理流量可见性和更细粒度的访问策略，而不是一套已经完成的代理授权体系。