Ещё раз предложу свою сырую идею защиты через время и proof-of-work.
Перед выполнением «рабочего» ajax запроса, делается запрос разрешения; в ответ сервер отдаёт какой-то уникальный JS код, требующий вычислений; код выполняется на клиенте и его результат служит «подписью» для рабочего ajax-запроса.
Сервер проверяет результат вычислений, и, главное, требует, чтобы время между запросом разрешения и запросом с результатом выполнения кода было минимально – исключая т.о. работу руками на стороне клиента.
Тут полно слабых мест: и плохой канал связи, при котором сайт перестанет работать, и возможность эмуляции всего и вся, и вероятность зловредного кода в качестве «задания». Но ведь не банковскую систему защищаем : )
curl