Cos'è il rilevamento dei bot
Il rilevamento dei bot è l'insieme di tecniche usate per distinguere il traffico automatizzato da quello umano. Ha una lunga storia nella sicurezza web: fermare credential stuffing, scraping, registrazioni false, accumulo di inventario e spam, tutti presenti nella tassonomia OWASP Automated Threats to Web Applications. Gli input tipici includono reputazione IP, frequenza delle request, fingerprint di header e protocollo, controlli sull'ambiente del browser e segnali di interazione. Gli output tipici sono un punteggio o un verdetto, spesso collegati direttamente per bloccare, sfidare o consentire.
Perché è stato costruito in questo modo
Il rilevamento classico dei bot è nato da un presupposto: il traffico automatizzato è per lo più ostile, e il compito è tenerlo fuori. Questo presupposto rendeva ragionevole un singolo punteggio bot, applicato all'edge. Se una request sembra automatizzata, la si sfida con un CAPTCHA o la si blocca.
Perché quel modello non basta più
Le application oggi ricevono un insieme molto più ampio di attori:
- persone che navigano normalmente,
- persone che lavorano con assistenti AI che leggono, preparano bozze o compilano per loro conto,
- agent e crawler legittimi che si identificano, talvolta con signed requests,
- agent autonomi che completano attività per gli utenti,
- client sconosciuti la cui natura non può essere stabilita dall'evidenza.
Un punteggio bot binario non descrive bene questo scenario. Il nostro articolo Human, AI-assisted or agent: a practical taxonomy for application traffic presenta l'alternativa. Bloccare ogni request automatizzata allontana partecipanti legittimi; consentirle tutte elimina un controllo utile. E un verdetto sicuro su evidenze deboli produce falsi positivi che colpiscono utenti reali.
In cosa si differenzia l'intelligence degli attori
Actor intelligence pone una domanda più ampia: che tipo di attore è presente, e cosa mostra davvero l'evidenza? Si differenzia dal rilevamento classico dei bot in tre modi:
- Categorie più ricche. Human, Human + AI, Agent e Unknown, invece di umano contro bot.
- Base esplicita. Ogni risultato indica se si basa su evidenze verified, declared o inferred, oppure su nessuna, così un controllo crittografico non viene mai confuso con una stima comportamentale.
- Decisioni separate. Il risultato informa la policy della tua application invece di applicarne una per impostazione predefinita. I team osservano prima, poi decidono per route.
I due approcci possono coesistere. I principali operatori di crawler già supportano controlli oltre la stringa user-agent, come la verifica dei crawler di Google tramite reverse DNS e intervallo IP, e le signed requests estendono questa idea a qualsiasi operatore. Per i segnali che puoi usare oggi, vedi come capire se il traffico del sito web proviene da agent AI. I controlli contro gli abusi all'edge restano preziosi; l'intelligence degli attori dà all'application stessa il contesto per progettare l'esperienza giusta per ogni tipo di interazione.
Malintesi comuni
- "Gli agent sono solo bot." Alcuni sono abusivi; molti sono utenti legittimi del tuo prodotto che agiscono per conto di qualcuno.
- "Un punteggio bot è un fatto." È un'inferenza con tassi di errore. Trattalo come evidenza con un livello di confidenza, non come un verdetto.
- "Unknown significa bloccare." Unknown significa che l'evidenza è insufficiente. Ciò che succede dopo dovrebbe essere una scelta esplicita, per route (vedi fail open vs fail closed).
Come si inserisce Proof of Actor
Proof of Actor è intelligence degli attori per app, website, API e MCP server. Detect raccoglie i segnali e separa le affermazioni verified dalle inferenze; Understand mostra tipi di interazione, tendenze ed evidenze; Route consente alle tue policy di allow, adapt, challenge, review o limitare interazioni specifiche. Nulla viene bloccato per impostazione predefinita.
Esplora il prodotto oppure richiedi l'accesso anticipato.
Fonti
- OWASP Automated Threats to Web Applications: tassonomia di minacce automatizzate come credential stuffing, scraping e creazione di account
- Google: Verifying Google's crawlers and fetchers: verifica dei crawler pubblicata dall'operatore