बॉट पहचान क्या है
बॉट पहचान उन तकनीकों का समूह है जिनका उपयोग स्वचालित ट्रैफिक को human traffic से अलग करने के लिए किया जाता है। web security में इसका लंबा इतिहास है: credential stuffing, scraping, fake signups, inventory hoarding और spam को रोकना, जो सभी OWASP Automated Threats to Web Applications taxonomy में आते हैं। आम inputs में IP reputation, request rates, header और protocol fingerprints, browser environment checks और interaction signals शामिल हैं। आम outputs एक score या verdict होते हैं, जिन्हें अक्सर सीधे block, challenge या allow करने के लिए जोड़ा जाता है।
इसे इस तरह क्यों बनाया गया था
Classic bot detection एक ही धारणा पर विकसित हुई: स्वचालित ट्रैफिक अधिकतर adversarial होता है, और काम उसे बाहर रखना है। इस धारणा ने edge पर लागू किए जाने वाले single bot score को एक उचित design बनाया। अगर कोई request automated लगती है, तो उसे CAPTCHA से challenge करें या block करें।
यह model अब पर्याप्त क्यों नहीं है
अब applications को कहीं अधिक विविध actor mix मिलता है:
- सामान्य रूप से browsing करने वाले लोग,
- ऐसे लोग जो AI assistants के साथ काम करते हैं जो उनकी ओर से पढ़ते, draft करते या भरते हैं,
- legitimate agents और crawlers जो अपनी पहचान स्वयं बताते हैं, कभी-कभी signed requests के साथ,
- autonomous agents जो users के लिए tasks पूरे करते हैं,
- unknown clients जिनकी प्रकृति evidence से स्थापित नहीं हो पाती।
एक binary bot score इसे अच्छी तरह नहीं दर्शाता। हमारा post मानव, AI-सहायता प्राप्त या agent: application traffic के लिए एक व्यावहारिक taxonomy इसका वैकल्पिक framework बताता है। हर automated request को block करना legitimate participants को भी बाहर कर देता है; सबको allow करना उपयोगी control हटा देता है। और कमज़ोर evidence पर दिया गया confident verdict false positives पैदा करता है जो असली users पर असर डालते हैं।
actor intelligence कैसे अलग है
actor intelligence एक व्यापक सवाल पूछती है: यहाँ किस तरह का actor मौजूद है, और evidence वास्तव में क्या दिखाता है? यह classic bot detection से तीन तरीकों से अलग है:
- समृद्ध श्रेणियाँ। human बनाम bot के बजाय Human, Human + AI, Agent और Unknown।
- स्पष्ट आधार। हर result बताता है कि वह verified, declared या inferred evidence पर आधारित है, या किसी पर नहीं, ताकि cryptographic check कभी behavioral guess से न मिले-जुले।
- अलग decisions। परिणाम default रूप से enforce करने के बजाय आपकी application policy को सूचित करता है। Teams पहले observe करती हैं, फिर route के अनुसार निर्णय लेती हैं।
दोनों approaches साथ-साथ रह सकती हैं। प्रमुख crawler operators पहले से ही user-agent string से आगे के checks का समर्थन करते हैं, जैसे Google की reverse DNS और IP range द्वारा crawler verification, और signed requests यह विचार किसी भी operator तक बढ़ाते हैं। आज आप जिन signals का उपयोग कर सकते हैं, उनके लिए देखें कैसे पता करें कि website traffic AI agents से आ रहा है। edge पर abuse controls अब भी मूल्यवान हैं; actor intelligence application को यह context देती है कि वह हर प्रकार के interaction के लिए सही experience कैसे डिज़ाइन करे।
सामान्य गलत धारणाएँ
- "Agents बस bots हैं." कुछ abusive होते हैं; कई आपके product के legitimate users होते हैं जो किसी की ओर से काम कर रहे होते हैं।
- "Bot score एक तथ्य है." यह error rates के साथ एक inference है। इसे verdict नहीं, confidence level वाले evidence के रूप में देखें।
- "Unknown का मतलब block है." Unknown का मतलब है कि evidence अपर्याप्त है। आगे क्या होगा, यह एक स्पष्ट, per-route choice होनी चाहिए (देखें fail open बनाम fail closed).
Proof of Actor इसमें कैसे fit होता है
Proof of Actor apps, websites, APIs और MCP servers के लिए actor intelligence है। Detect signals इकट्ठा करता है और verified assertions को inferences से अलग करता है; Understand interaction types, trends और evidence दिखाता है; Route आपकी अपनी policies को specific interactions को allow, adapt, challenge, review या limit करने देता है। डिफ़ॉल्ट रूप से कुछ भी block नहीं होता।
product देखें या early access के लिए आवेदन करें।
स्रोत
- OWASP Automated Threats to Web Applications: credential stuffing, scraping और account creation जैसे automated threats की taxonomy
- Google: Verifying Google's crawlers and fetchers: operator द्वारा प्रकाशित crawler verification