বট সনাক্তকৰণ কি
বট সনাক্তকৰণ হৈছে মানুহৰ ট্রাফিকৰ পৰা স্বয়ংক্ৰিয় ট্রাফিক পৃথক কৰিবলৈ ব্যৱহৃত কৌশলসমূহৰ সমষ্টি। web security ত ইয়াৰ দীঘলীয়া ইতিহাস আছে: credential stuffing, scraping, fake signup, inventory hoarding আৰু spam ৰোধ কৰা, যি সকলো OWASP Automated Threats to Web Applications taxonomy ত অন্তৰ্ভুক্ত। সাধাৰণ inputs ত IP reputation, request rate, header আৰু protocol fingerprint, browser environment check আৰু interaction signal অন্তৰ্ভুক্ত থাকে। সাধাৰণ outputs হৈছে score বা verdict, যি প্ৰায়েই সোজাকৈ block, challenge বা allow কৰিবলৈ সংযুক্ত কৰা হয়।
ইয়াক সেইদৰে কিয় গঢ়া হৈছিল
Classic bot detection এটা অনুমানৰ ওপৰত গঢ় লৈ উঠিছিল: স্বয়ংক্ৰিয় ট্রাফিক অধিকাংশ সময়তে adversarial, আৰু ইয়াক বাহিৰত ৰখাই হৈছে কাম। সেই অনুমানে edge ত enforced হোৱা একেটা bot score ক যুক্তিসংগত design হিচাপে বানাইছিল। যদি কোনো request স্বয়ংক্ৰিয় যেন লাগে, তেন্তে তাক CAPTCHA ৰে challenge কৰক বা block কৰক।
সেই model এতিয়া কিয় যথেষ্ট নহয়
এতিয়া applications এ actor ৰ বহু বিস্তৃত মিশ্ৰণ গ্ৰহণ কৰে:
- স্বাভাৱিকভাৱে browse কৰা মানুহ,
- AI assistant ৰ সৈতে কাম কৰা মানুহ, যিয়ে তেওঁলোকৰ হৈ পঢ়ে, draft কৰে বা পূৰণ কৰে,
- legitimate agent আৰু crawler যিয়ে নিজকে চিনাকি দিয়ে, কেতিয়াবা signed requests ৰ সৈতে,
- user ৰ বাবে task সম্পন্ন কৰা autonomous agent,
- unknown client যাৰ প্ৰকৃতি প্ৰমাণে স্থিৰ কৰিব নোৱাৰে।
এটা binary bot score এ এইটো ভালদৰে বৰ্ণনা নকৰে। আমাৰ post Human, AI-assisted or agent: a practical taxonomy for application traffic এ বিকল্পটো ব্যাখ্যা কৰে। প্ৰতিটো স্বয়ংক্ৰিয় request block কৰিলে বৈধ অংশগ্ৰহণকাৰী আঁতৰাই পেলোৱা হয়; সকলোকে allow কৰিলে উপযোগী নিয়ন্ত্ৰণ নোহোৱা হয়। আৰু দুর্বল প্ৰমাণৰ ওপৰত confident verdict দিলে false positive ঘটে, যি বাস্তৱ user ৰ ওপৰত পৰে।
actor intelligence কেনেদৰে ভিন্ন
actor intelligence এ এটা বিস্তৃত প্ৰশ্ন কৰে: কিহৰ actor উপস্থিত আছে, আৰু প্ৰমাণে আসলতে কি দেখুৱাইছে? ই classic bot detection ৰ পৰা তিনিটা দিশত ভিন্ন:
- অধিক সমৃদ্ধ শ্ৰেণী। Human, Human + AI, Agent আৰু Unknown, human বনাম bot নহয়।
- স্পষ্ট ভিত্তি। প্ৰতিটো ফলাফলে কয় সেয়া verified, declared বা inferred প্ৰমাণৰ ওপৰত নিৰ্ভৰ কৰে নে নকৰে, বা একেবাৰেই নহয়, যাতে cryptographic check কেতিয়াও behavioral guess ৰ সৈতে গুলিয়াই নাযায়।
- পৃথক সিদ্ধান্ত। ফলাফলে default ভাবে enforce নকৰি আপোনাৰ application ৰ policy ক তথ্য দিয়ে। দলসমূহে প্ৰথমে observe কৰে, তাৰ পাছত route অনুসৰি সিদ্ধান্ত লয়।
দুয়োটা approach একেলগে চলি থাকিব পাৰে। ডাঙৰ crawler operator সকলে ইতিমধ্যে user-agent string ৰ বাহিৰেও checks সমৰ্থন কৰে, যেনে Google's crawler verification by reverse DNS and IP range, আৰু signed requests এ সেই ধাৰণাটো যিকোনো operator লৈ বিস্তাৰ কৰে। আজিৰ দিনত ব্যৱহাৰ কৰিব পৰা signal ৰ বাবে website traffic AI agents ৰ পৰা আহে নে নহয় কেনেদৰে ক’ব পাৰি চাওক। edge ত থকা abuse control এতিয়াও মূল্যবান; actor intelligence এ application ক প্ৰতিটো interaction ৰ বাবে সঠিক অভিজ্ঞতা design কৰিবলৈ প্ৰয়োজনীয় context দিয়ে।
সাধাৰণ ভুল ধাৰণা
- "Agents মানে কেৱল bots." কিছুমান অপব্যৱহাৰী; বহুতো আপোনাৰ product ৰ বৈধ user, যি কাৰোবাৰ হৈ কাম কৰে।
- "Bot score এটা fact." ই error rate থকা এটা inference। ইয়াক verdict নহয়, confidence level থকা evidence হিচাপে লওক।
- "Unknown মানেই block." Unknown মানে প্ৰমাণ যথেষ্ট নহয়। আগলৈ কি হ’ব সেয়া স্পষ্ট, per-route choice হ’ব লাগে (চাওক fail open vs fail closed)।
Proof of Actor কেনেদৰে খাপ খায়
Proof of Actor হৈছে apps, websites, APIs আৰু MCP servers ৰ বাবে actor intelligence। Detect এ signal সংগ্ৰহ কৰে আৰু verified assertion ক inference ৰ পৰা পৃথক কৰে; Understand এ interaction type, trend আৰু evidence দেখুৱায়; Route এ আপোনাৰ নিজৰ policy ক specific interaction allow, adapt, challenge, review বা limit কৰিবলৈ দিয়ে। default ভাবে একো block নহয়।
product অন্বেষণ কৰক বা early access ৰ বাবে আবেদন কৰক।
উৎসসমূহ
- OWASP Automated Threats to Web Applications: credential stuffing, scraping আৰু account creation যেনে স্বয়ংক্ৰিয় threat ৰ taxonomy
- Google: Verifying Google's crawlers and fetchers: operator-published crawler verification