O que é detecção de bots
A detecção de bots é o conjunto de técnicas usado para distinguir tráfego automatizado de tráfego humano. Ela tem uma longa história em segurança web: impedir credential stuffing, scraping, inscrições falsas, acúmulo de estoque e spam, todos presentes na taxonomia OWASP Automated Threats to Web Applications. Entradas típicas incluem reputação de IP, taxas de requisição, fingerprints de cabeçalho e protocolo, verificações do ambiente do navegador e sinais de interação. As saídas típicas são uma pontuação ou um veredito, muitas vezes conectados diretamente para bloquear, desafiar ou permitir.
Por que isso foi construído assim
A detecção clássica de bots nasceu de uma suposição: tráfego automatizado é, em sua maioria, adversarial, e a tarefa é mantê-lo fora. Essa suposição tornou razoável um único bot score, aplicado na borda. Se uma requisição parece automatizada, desafie-a com um CAPTCHA ou bloqueie-a.
Por que esse modelo já não basta
As aplicações agora recebem uma mistura muito mais ampla de atores:
- pessoas navegando normalmente,
- pessoas trabalhando com assistentes de IA que leem, redigem ou preenchem em seu nome,
- agentes e crawlers legítimos que se identificam, às vezes com signed requests,
- agentes autônomos concluindo tarefas para usuários,
- clientes desconhecidos cuja natureza as evidências não conseguem estabelecer.
Uma pontuação binária de bot não descreve bem esse cenário. Nosso post Human, AI-assisted or agent: a practical taxonomy for application traffic apresenta a alternativa. Bloquear toda requisição automatizada afasta participantes legítimos; permitir todas remove controles úteis. E um veredito confiante com base em evidências frágeis produz falsos positivos que atingem usuários reais.
Como a inteligência de atores difere
Actor intelligence faz uma pergunta mais ampla: que tipo de ator está presente, e o que as evidências realmente mostram? Ela difere da detecção clássica de bots em três aspectos:
- Categorias mais ricas. Human, Human + AI, Agent e Unknown, em vez de humano versus bot.
- Base explícita. Cada resultado indica se se apoia em evidências Verified, Declared ou Inferred, ou nenhuma delas, para que uma verificação criptográfica nunca seja confundida com uma suposição comportamental.
- Decisões separadas. O resultado informa a política da sua aplicação, em vez de impor uma por padrão. As equipes observam primeiro e depois decidem por route.
As duas abordagens podem coexistir. Grandes operadores de crawlers já oferecem verificações além da string user-agent, como a verificação de crawlers do Google por reverse DNS e faixa de IP, e signed requests estendem essa ideia a qualquer operador. Para sinais que você pode usar hoje, veja como saber se o tráfego de um site vem de agentes de IA. Controles de abuso na borda continuam valiosos; a inteligência de atores dá à própria aplicação o contexto para desenhar a experiência certa para cada tipo de interação.
Equívocos comuns
- "Agentes são apenas bots." Alguns são abusivos; muitos são usuários legítimos do seu produto agindo em nome de alguém.
- "Uma pontuação de bot é um fato." Ela é uma inferência com taxas de erro. Trate-a como evidência com um nível de confiança, não como um veredito.
- "Unknown significa bloquear." Unknown significa que as evidências são insuficientes. O que acontece em seguida deve ser uma escolha explícita, por route (veja fail open vs fail closed).
Como o Proof of Actor se encaixa
Proof of Actor é inteligência de atores para apps, websites, APIs e MCP servers. Detect coleta sinais e separa afirmações verificadas de inferências; Understand mostra tipos de interação, tendências e evidências; Route permite que suas próprias políticas permitam, adaptem, desafiem, revisem ou limitem interações específicas. Nada é bloqueado por padrão.
Explore o produto ou candidate-se para acesso antecipado.
Fontes
- OWASP Automated Threats to Web Applications: taxonomia de ameaças automatizadas, como credential stuffing, scraping e criação de contas
- Google: Verifying Google's crawlers and fetchers: verificação de crawlers publicada pelo operador