Saltar al contenido principal
TRÁFICO HUMANO VS AGENTE

Distingue el tráfico humano, asistido por IA y de agentes

Da a cada interacción una clase clara y una base clara, para que tu aplicación pueda atender a las personas, a las personas que trabajan con IA y a los agentes autónomos de la forma que cada uno merece.

Obtener acceso anticipadoExplorar cómo funciona
Toshendra Sharma

Por Toshendra SharmaFundador y CEO, AgentCredia · Updated November 13, 2026

Dos categorías ya no son suficientes

Durante años, el tráfico se dividía en dos grupos: humanos y bots. A los humanos se les ofrecía el producto. A los bots se les bloqueaba, se les limitaba la tasa o se les ignoraba.

Esa división ya no se sostiene. Algunos visitantes automatizados son agentes que actúan en nombre de clientes reales: un asistente que compara planes, un agente que extrae datos a través de tu API, una herramienta que llama a tu MCP server para terminar una tarea. Los proveedores de IA ya documentan este tipo de acceso iniciado por el usuario: OpenAI indica que su agente ChatGPT-User visita páginas cuando un usuario hace una pregunta a ChatGPT (documentación del crawler de OpenAI), y Anthropic enumera Claude-User para el mismo propósito (documentación del crawler de Anthropic). Al mismo tiempo, algunas personas trabajan codo con codo con la IA, redactando mensajes, completando formularios y navegando productos con un asistente a su lado. Forzar todo eso a entrar en humano o bot produce malas decisiones en ambos sentidos. Los agentes legítimos quedan bloqueados, y personas reales son desafiadas porque su comportamiento parece inusual.

Para distinguir el tráfico humano y el de agentes de IA de una forma que lleve a buenas decisiones, necesitas más categorías y necesitas saber cuánta confianza merece cada resultado. La entrada del blog sobre cómo saber si el tráfico de un sitio web proviene de agentes de IA recorre las señales que hacen esto posible, y el caso de uso de apps SaaS muestra dónde cambia esta distinción las decisiones del producto.

Cuatro clases, cada una con un significado preciso

Proof of Actor clasifica las interacciones en cuatro clases. Cada una tiene una definición y un límite explícito, para que nadie en tu equipo lea más de la cuenta en un resultado de lo que la evidencia permite. Para entender la base de esta taxonomía, lee Human, AI-assisted or agent: a taxonomy for app traffic.

Human

Las señales observables compatibles indican una interacción dirigida por una persona. Esta clase trata sobre quién dirige la interacción, no sobre la identidad. Un resultado Human no verifica quién es la persona, y tampoco afirma que no se haya usado IA en ningún momento.

Human + AI

La asistencia de IA fue declarada, o se observó mediante una integración compatible que realmente puede verla. Entre los ejemplos están un usuario que marca contenido como redactado con IA mediante tu propio control de divulgación, o tu aplicación informando que su asistente integrado realizó una acción para un usuario autenticado. Lee más en la entrada del glosario interacción asistida por IA.

Agent

Interacción automatizada o originada por un agente, respaldada por una identidad verificable, como una firma de solicitud válida de una clave publicada, o por una inferencia cuidadosamente calificada. Un resultado Agent describe quién actúa. No significa que el agente esté autorizado, sea seguro o actúe con una delegación válida de una persona. Lee más sobre agentes autónomos.

Unknown

La evidencia disponible no respalda una determinación fiable. Unknown es un resultado honesto y útil: muestra dónde termina tu cobertura y permite que tus políticas gestionen los casos inciertos de forma deliberada y no por accidente.

Cada clase viene con una base

Separar el tráfico humano y el de agentes es solo la mitad del trabajo. La otra mitad es saber cuán sólida es cada conclusión. Por eso cada resultado de Proof of Actor lleva una base:

  • Verified: una afirmación comprobable validada, por ejemplo una firma de solicitud verificada contra una clave publicada.
  • Declared: el cliente o tu aplicación lo indicó, por ejemplo un agente que se nombra a sí mismo o un usuario que revela asistencia de IA.
  • Inferred: una conclusión derivada de señales de comportamiento o de contexto, siempre etiquetada como inferencia.
  • Unknown: no hay evidencia suficiente para una determinación.

La combinación de clase y base es lo que te permite construir reglas precisas. Un agente Verified y un agente Inferred siguen siendo agentes, pero quizá quieras dar al primero una API estructurada y tratar al segundo con un límite de tasa estándar. Una solicitud declarada como asistida por IA y una sesión humana pueden seguir su curso normalmente, con una etiqueta que ayude a tu equipo de soporte. Puedes encontrar la taxonomía completa en Detection & Limitations.

Cómo ocurre la clasificación

Proof of Actor sigue el mismo recorrido primero la evidencia para cada interacción. La explicación completa está en How It Works.

Las señales que tu integración puede ver

  • Firmas de solicitud de clientes automatizados que publican sus claves, usando HTTP Message Signatures según se define en RFC 9421. El grupo de trabajo Web Bot Auth de la IETF tiene el mandato de estandarizar cómo se autentican así los clientes automatizados.
  • Declaraciones de clientes que se identifican, como los user agents documentados de rastreadores y capturadores de IA, y de tu propia aplicación cuando sabe que hay asistencia de IA involucrada.
  • Contexto de la solicitud disponible para una integración del lado del servidor, como encabezados y detalles del protocolo.
  • Señales de interacción de una integración de navegador aprobada en las páginas donde se ejecuta.

De las señales a un resultado

Las señales se verifican, se etiquetan por base y se combinan. Una evidencia verificada fuerte produce un resultado seguro. Una evidencia débil o contradictoria produce una inferencia calificada o Unknown. Un tiempo de espera agotado o una señal ausente nunca se convierten en un resultado Human. La salida es una clase, una base y un resumen de evidencia que cualquiera de tu equipo puede leer.

Qué puedes hacer una vez que el tráfico está separado

Proof of Actor se organiza en torno a tres capacidades: Detect, Understand y Route.

Detecta al actor detrás de cada interacción

Recoge las señales disponibles en cada contexto y separa las afirmaciones verificadas de las inferencias. Mantén visible Unknown.

Entiende cómo cada actor usa tu producto

Ve la mezcla de actividad humana, asistida por IA, de agentes y desconocida por ruta y a lo largo del tiempo. Abre cualquier resultado para ver qué se sabe y qué no. Detecta las rutas donde se concentran los agentes y los flujos de trabajo donde la asistencia de IA es habitual.

Dirige cada actor a la experiencia correcta

Aplica tus propias políticas una vez que la evidencia las respalde. En un sitio web público, el caso de uso de sitios web muestra cómo estas decisiones se mapean a rutas reales:

  • Ofrece a los agentes verificados una respuesta estructurada o API en lugar de páginas con forma humana.
  • Mantén la experiencia estándar para las sesiones dirigidas por humanos.
  • Etiqueta las solicitudes asistidas por IA para que el equipo adecuado las atienda.
  • Pide credenciales más sólidas en acciones sensibles cuando tus propias condiciones lo requieran.
  • Elige una alternativa explícita para Unknown en cada ruta, como permitir las páginas públicas y mantener los controles existentes en los cambios de cuenta.

La guía sobre cómo desplegar políticas conscientes del actor de forma segura cubre cómo pasar de observación a aplicación una ruta a la vez.

Por qué esto importa para tus usuarios

Hacerlo bien beneficia a todas las personas que usan tu aplicación.

Las personas tienen una experiencia más fluida porque no se les desafía por la fuerza de una puntuación vaga. Las personas que trabajan con IA reciben soporte para la asistencia declarada en flujos de trabajo donde encaja. Los agentes legítimos obtienen una forma fiable y estructurada de hacer su trabajo, lo que reduce el scraping y la carga sobre tu interfaz. Tu equipo obtiene decisiones explicables, de modo que las conversaciones de soporte, las revisiones de incidentes y los cambios de política se basen en evidencia y no en conjeturas.

Un inicio de sesión no es el actor

Una de las fuentes de confusión más comunes es la propia cuenta. Una sesión autenticada te dice qué cuenta está en uso. No te dice quién dirige la interacción actual. La misma cuenta puede ser usada por su propietario al revisar ajustes por la mañana, por un asistente al que el propietario le pidió exportar un informe al mediodía y por un agente que trabaja con una API key por la noche.

Tratar a los tres de la misma forma crea problemas en ambos sentidos. Si cada solicitud sobre la cuenta se asume como del propietario, un agente puede llegar a flujos de trabajo diseñados para una persona. Si cada solicitud inusual se asume como un ataque, las propias herramientas del propietario quedan bloqueadas. Separar el actor de la cuenta permite que tu aplicación mantenga la autenticación y la autorización exactamente como están, y añada el contexto que faltaba sobre quién actúa ahora mismo. Ese contexto es lo que hace posible ofrecer a los agentes acceso estructurado sin abrirles flujos de trabajo solo para humanos.

Empieza en modo de observación

Cada despliegue empieza en modo de observación. Proof of Actor registra resultados mientras tu aplicación responde exactamente como antes. Tu equipo construye una línea base de actividad humana, asistida por IA, de agentes y desconocida, la compara con resultados que ya conoces y revisa cualquier falso positivo antes de que cambie una sola regla. Cuando una política está lista, la activas para un flujo de trabajo y amplías desde ahí.

Únete al programa de desarrolladores fundadores

Proof of Actor está en beta privada con un pequeño grupo de equipos de aplicación. Los desarrolladores fundadores seleccionados pueden recibir hasta 12 meses de acceso gratuito, dentro de los límites de uso acordados, a cambio de comentarios prácticos. Obtienes soporte directo de integración de nuestros ingenieros, acceso temprano a capacidades e influencia sobre las prioridades.

Si necesitas distinguir el tráfico humano y el de agentes de IA en tu aplicación, solicita acceso anticipado y cuéntanos cuál es la interacción que más te interesa entender.

Explora Proof of Actor, lee cómo funciona, o mira exactamente qué puede establecer la evidencia.

Fuentes

PARA DESARROLLADORES

What your code receives

Every interaction resolves to one result record. Your application reads the class and the basis and applies its own policy.

Result record
{
  "route": "GET /api/v1/catalog",
  "class": "agent",
  "basis": "verified",
  "evidence": [
    { "signal": "http_message_signature", "result": "valid", "keyid": "assistant.example" },
    { "signal": "client_declaration", "value": "assistant.example" }
  ],
  "observed_at": "2026-11-13T10:42:07Z"
}
class
Human, Human + AI, Agent o Unknown.
basis
Qué tan sólida es la evidencia: Verified, Declared, Inferred o Unknown.
evidence
Las señales detrás del resultado, para que tu equipo vea por qué.

Empieza en modo de observación: registra los resultados junto a tus logs y no cambies nada hasta que elijas una política. Lee la guía de integración de Node.js

Preguntas frecuentes

¿Cómo distingues el tráfico humano y el de agentes de IA?

Proof of Actor combina las señales que tu integración puede observar, como firmas de solicitud, declaraciones del cliente, contexto de la solicitud y señales de interacción del navegador, y devuelve una clase con una base explícita.

¿Por qué existe una clase Human + AI?

Algunas personas trabajan junto a un asistente de IA. Tratar a esas sesiones como totalmente humanas o totalmente automatizadas hace perder contexto importante. Human + AI cubre la asistencia que se declara o que puede observarse mediante una integración compatible.

¿Un resultado Agent es lo mismo que un bot malicioso?

No. Muchos agentes son participantes legítimos. Un resultado Agent describe quién actúa, no si la acción está permitida. Tus políticas deciden cómo se atiende a cada agente.

¿Qué pasa si el tráfico no se puede clasificar?

Se informa como Unknown, un resultado de primera clase. Unknown nunca se convierte en Human y nunca se trata como malicioso por defecto.

¿Tengo que bloquear algo?

No. Empiezas en modo de observación, revisas los resultados y activas políticas solo donde tu equipo tenga confianza en que encajan.

Sabe quién usa tu app.

Beta privada para un pequeño grupo de desarrolladores fundadores.

Obtener acceso anticipadoVer precios

¿Prefieres hablar primero? Habla con los fundadores