dm9

Да, у себя тоже похожее замечал.
Часть роботов смог вырубить, используя вот этот сервис: www.stopforumspam.com
Пример обращения к API: www.stopforumspam.com/api?f=json&unix&confidence&ip=8.8.8.8
Правда, там ограничение до 20000 запросов в сутки. Если использовать массовые запросы, можно проверить до 100000 IP в сутки. Мне хватает :)
Из недостатков — они работают именно с отдельными IP. Когда просматриваю логи «руками», достаточно очевидно, что некоторые запросы идут из той же подсети, и формируются теми же роботами. Но сервис этого не учитывает. Допилить это, анализируя подсети, руки не дошли пока…

Была такая проблема. В итоге просто переписали систему аутентификации, чтобы не было редиректа. Обычно, если фреймворк сравнительно прямой, это не так сложно сделать.

Честно говоря, деталей собственно CAS не знаю, но всегда можно, например, сделать JS-обвязку и редиректить через скрипты. Пытаться распознать всех роботов — занятие неблагодарное. Потом вам этот список ещё и поддерживать придётся…