掲載済み (2026-04-04号)
016 155文字 • 1分

ChatGPTのボット検知「Cloudflare Turnstile」を解析:Reactの内部状態まで読み取る仕組みを特定

原題: ChatGPT Won't Let You Type Until Cloudflare Reads Your React State. I Decrypted the Program That Does It.

英語

掲載情報

2026年4月4日土曜日号 メインジャーナル掲載

概要

Cloudflare TurnstileがChatGPTの対話前に実行する難読化プログラムを解析し、ブラウザ情報だけでなくReactの内部状態まで詳細に監視している実態を暴いた技術レポート。

詳細内容

Cloudflare TurnstileがChatGPTの対話リクエスト前に行うボット検知プログラムを復号し、その動作を詳細に解析した調査結果。著者は377件のネットワークトラフィックを解析し、検知プログラムが独自VM上で実行され、3つのレイヤー(ブラウザ、ネットワーク、Reactアプリケーション状態)から55種類のプロパティを収集していることを突き止めた。特筆すべきは、React RouterのコンテキストやハイドレーションデータなどのReact内部状態を確認している点であり、これにより単にブラウザ指紋を偽装するだけのヘッドレスブラウザやボットを排除している。また、難読化に使用されるXORキーが同一のデータストリーム内の命令に含まれているという「暗号化」の実態も明らかにされており、高度な難読化の裏にある実装の詳細を論じている。