Wat botdetectie is
Botdetectie is de verzameling technieken die wordt gebruikt om geautomatiseerd verkeer te onderscheiden van menselijk verkeer. Het heeft een lange geschiedenis in webbeveiliging: credential stuffing, scraping, nepaanmeldingen, het hamsteren van voorraad en spam tegengaan, allemaal verschijnselen die voorkomen in de OWASP Automated Threats to Web Applications taxonomie. Typische invoer omvat IP-reputatie, aanvraagfrequenties, header- en protocol-fingerprints, controles van de browseromgeving en interactiesignalen. Typische uitkomsten zijn een score of een oordeel, vaak rechtstreeks gekoppeld aan blokkeren, uitdagen of toestaan.
Waarom het op die manier is gebouwd
Klassieke botdetectie ontstond vanuit één aanname: geautomatiseerd verkeer is meestal vijandig, en het werk is om het buiten te houden. Die aanname maakte één botscore, afgedwongen aan de rand, tot een redelijk ontwerp. Als een verzoek geautomatiseerd lijkt, daag het dan uit met een CAPTCHA of blokkeer het.
Waarom dat model niet meer genoeg is
Applicaties ontvangen nu een veel bredere mix van actoren:
- mensen die normaal browsen,
- mensen die werken met AI-assistenten die namens hen lezen, concepten maken of invullen,
- legitieme agents en crawlers die zichzelf identificeren, soms met signed requests,
- autonome agents die taken voor gebruikers uitvoeren,
- onbekende clients waarvan de aard niet uit het bewijsmateriaal kan worden vastgesteld.
Een binaire botscore beschrijft dit niet goed. Onze post Human, AI-assisted or agent: a practical taxonomy for application traffic zet het alternatief uiteen. Elk geautomatiseerd verzoek blokkeren duwt legitieme deelnemers weg; ze allemaal toestaan haalt nuttige controle weg. En een zeker oordeel op mager bewijsmateriaal veroorzaakt false positives die echte gebruikers treffen.
Hoe actor intelligence verschilt
Actor intelligence stelt een bredere vraag: wat voor actor is aanwezig, en wat laat het bewijsmateriaal eigenlijk zien? Het verschilt van klassieke botdetectie op drie manieren:
- Rijkere categorieën. Human, Human + AI, Agent en Unknown, in plaats van mens versus bot.
- Expliciete basis. Elk resultaat geeft aan of het berust op Verified, Declared of Inferred bewijs, of op geen van deze, zodat een cryptografische controle nooit wordt verward met een gedragsmatige schatting.
- Gescheiden beslissingen. Het resultaat informeert het beleid van je applicatie in plaats van standaard één beslissing af te dwingen. Teams observeren eerst en beslissen daarna per route.
De twee benaderingen kunnen naast elkaar bestaan. Grote crawler-operators ondersteunen al controles die verder gaan dan de user-agent string, zoals Google's crawler verification by reverse DNS and IP range, en signed requests breiden dat idee uit naar elke operator. Voor signalen die je vandaag kunt gebruiken, zie how to tell if website traffic comes from AI agents. Misbruikcontroles aan de rand blijven waardevol; actor intelligence geeft de applicatie zelf de context om voor elk type interactie de juiste ervaring te ontwerpen.
Veelvoorkomende misvattingen
- "Agents zijn gewoon bots." Sommige zijn misbruikend; veel zijn legitieme gebruikers van je product die namens iemand handelen.
- "Een botscore is een feit." Het is een inferentie met foutmarges. Behandel het als bewijsmateriaal met een betrouwbaarheidsniveau, niet als een oordeel.
- "Unknown betekent blokkeren." Unknown betekent dat het bewijsmateriaal onvoldoende is. Wat daarna gebeurt, moet een expliciete keuze per route zijn (zie fail open vs fail closed).
Hoe Proof of Actor hierin past
Proof of Actor is actor intelligence voor apps, websites, APIs en MCP servers. Detect verzamelt signalen en scheidt geverifieerde uitspraken van inferenties; Understand toont interactietypen, trends en bewijsmateriaal; Route laat je eigen beleidsregels specifieke interacties toestaan, aanpassen, uitdagen, beoordelen of beperken. Er wordt standaard niets geblokkeerd.
Bekijk het product of vraag vroege toegang aan.
Bronnen
- OWASP Automated Threats to Web Applications: taxonomie van geautomatiseerde dreigingen zoals credential stuffing, scraping en accountaanmaak
- Google: Verifying Google's crawlers and fetchers: door de operator gepubliceerde crawlerverificatie