Bot detection কী
Bot detection হলো এমন কৌশলের সমষ্টি, যার মাধ্যমে স্বয়ংক্রিয় ট্রাফিককে human traffic থেকে আলাদা করা হয়। web security-তে এর দীর্ঘ ইতিহাস আছে: credential stuffing, scraping, fake signup, inventory hoarding এবং spam থামানো, যেগুলো OWASP Automated Threats to Web Applications taxonomy-তে অন্তর্ভুক্ত। সাধারণ input-এর মধ্যে থাকে IP reputation, request rate, header এবং protocol fingerprint, browser environment check এবং interaction signal। সাধারণ output হলো score বা verdict, যা প্রায়ই সরাসরি block, challenge বা allow করার সঙ্গে যুক্ত থাকে।
এটি কেন এভাবে তৈরি হয়েছিল
Classic bot detection একটি ধারণার ওপর দাঁড়িয়েছিল: স্বয়ংক্রিয় ট্রাফিক মূলত adversarial, এবং কাজ হলো সেটিকে বাইরে রাখা। এই ধারণার ফলে edge-এ enforce করা একটি একক bot score যুক্তিসংগত নকশা হয়ে উঠেছিল। যদি কোনো request automated দেখায়, তাহলে সেটিকে CAPTCHA দিয়ে challenge করুন বা block করুন।
কেন সেই model আর যথেষ্ট নয়
আজ application-এ অনেক বেশি বৈচিত্র্যের actor আসে:
- স্বাভাবিকভাবে browsing করা মানুষ,
- যারা AI assistant-এর সঙ্গে কাজ করছে, এবং assistant তাদের হয়ে পড়ে, draft করে বা input পূরণ করে,
- বৈধ agent এবং crawler যারা নিজেদের পরিচয় দেয়, কখনও signed request-এর মাধ্যমে,
- autonomous agent যারা ব্যবহারকারীর পক্ষে কাজ সম্পন্ন করে,
- unknown client, যাদের প্রকৃতি evidence দিয়ে নির্ধারণ করা যায় না।
একটি binary bot score এই বাস্তবতাকে ভালোভাবে বর্ণনা করে না। আমাদের পোস্ট Human, AI-assisted or agent: a practical taxonomy for application traffic বিকল্পটি তুলে ধরে। প্রতিটি automated request block করলে বৈধ অংশগ্রহণকারীও বাদ পড়ে; সবকিছু allow করলে দরকারি control হারিয়ে যায়। আর দুর্বল evidence-এর ওপর আত্মবিশ্বাসী verdict দিলে false positive তৈরি হয়, যা real user-দের ওপর প্রভাব ফেলে।
actor intelligence কীভাবে আলাদা
Actor intelligence আরও বিস্তৃত প্রশ্ন করে: এখানে কী ধরনের actor আছে, এবং evidence আসলে কী দেখায়? এটি classic bot detection থেকে তিনভাবে আলাদা:
- আরও সমৃদ্ধ category. Human, Human + AI, Agent এবং Unknown - human বনাম bot নয়।
- স্পষ্ট basis. প্রতিটি result বলে দেয় এটি verified, declared বা inferred evidence-এর ওপর ভিত্তি করে কি না, অথবা none, যাতে cryptographic check কখনও behavioral guess-এর সঙ্গে গুলিয়ে না যায়।
- আলাদা decision. Result আপনার application-এর policy-কে inform করে, default হিসেবে enforce করে না। Team প্রথমে observe করে, তারপর route অনুযায়ী সিদ্ধান্ত নেয়।
দুটি approach একসঙ্গে থাকতে পারে। বড় crawler operator-রা ইতিমধ্যেই user-agent string-এর বাইরে যাচাই সমর্থন করে, যেমন Google's reverse DNS এবং IP range দিয়ে crawler verification, এবং signed request এই ধারণাকে যে কোনো operator-এর জন্য প্রসারিত করে। আজ যে signal ব্যবহার করা যায়, তার জন্য দেখুন কীভাবে বোঝা যায় website traffic AI agent থেকে এসেছে কি না। edge-এ abuse control এখনো মূল্যবান; actor intelligence application-কে নিজেই প্রয়োজনীয় context দেয়, যাতে প্রতিটি interaction-এর জন্য উপযুক্ত experience নকশা করা যায়।
সাধারণ ভুল ধারণা
- "Agent হলো শুধু bot." কিছু abusive; অনেকগুলোই আপনার product-এর বৈধ ব্যবহারকারী, যারা কারও পক্ষে কাজ করছে।
- "Bot score একটি fact." এটি error rate-সহ একটি inference। একে verdict নয়, confidence level-সহ evidence হিসেবে ধরুন।
- "Unknown মানে block." Unknown মানে evidence অপর্যাপ্ত। এরপর কী হবে, তা route-ভিত্তিক একটি স্পষ্ট choice হওয়া উচিত (দেখুন fail open vs fail closed).
Proof of Actor কীভাবে মানিয়ে যায়
Proof of Actor হলো apps, websites, APIs এবং MCP servers-এর জন্য actor intelligence। Detect signal সংগ্রহ করে এবং verified assertion-কে inference থেকে আলাদা করে; Understand interaction type, trend এবং evidence দেখায়; Route আপনার নিজস্ব policy-কে নির্দিষ্ট interaction allow, adapt, challenge, review বা limit করতে দেয়। Default হিসেবে কিছুই block করা হয় না।
product দেখুন অথবা early access-এর জন্য আবেদন করুন.
Sources
- OWASP Automated Threats to Web Applications: credential stuffing, scraping এবং account creation-এর মতো automated threat-এর taxonomy
- Google: Verifying Google's crawlers and fetchers: operator-published crawler verification