Bot tespiti nedir
Bot tespiti, otomatik trafiği insan trafiğinden ayırmak için kullanılan teknikler bütünüdür. Web güvenliğinde uzun bir geçmişi vardır: credential stuffing, scraping, sahte kayıtlar, envanter istifleme ve spam'i durdurmak için kullanılır. Bunların hepsi OWASP Automated Threats to Web Applications taksonomisinde yer alır. Tipik girdiler arasında IP itibarı, istek oranları, başlık ve protokol parmak izleri, tarayıcı ortamı kontrolleri ve etkileşim sinyalleri bulunur. Tipik çıktılar bir puan veya bir karardır, çoğu zaman doğrudan block, challenge veya allow için bağlanır.
Neden bu şekilde geliştirildi
Klasik bot tespiti tek bir varsayım etrafında gelişti: otomatik trafik büyük ölçüde saldırgandır ve amaç onu dışarıda tutmaktır. Bu varsayım, kenarda uygulanan tek bir bot puanını makul bir tasarım haline getirdi. Bir istek otomatik görünüyorsa, onu CAPTCHA ile challenge edin ya da block edin.
Bu model neden artık yeterli değil
Uygulamalar artık çok daha geniş bir actor karışımı alıyor:
- normal şekilde gezinen insanlar,
- kendi adına okuyan, taslak hazırlayan veya form dolduran AI asistanlarıyla çalışan insanlar,
- bazen signed requests ile kendini tanıtan meşru agentler ve crawler'lar,
- kullanıcılar için görev tamamlayan otonom agentler,
- doğası kanıtlarla belirlenemeyen bilinmeyen istemciler.
İkili bir bot puanı bunu iyi tanımlamaz. Human, AI-assisted or agent: a practical taxonomy for application traffic başlıklı yazımız alternatif yaklaşımı ortaya koyar. Her otomatik isteği block etmek meşru katılımcıları uzaklaştırır; hepsine izin vermek ise yararlı kontrolü ortadan kaldırır. Ayrıca zayıf kanıta dayalı kendinden emin bir karar, gerçek kullanıcılara denk gelen yanlış pozitifler üretir.
Actor intelligence nasıl farklıdır
Actor intelligence daha geniş bir soru sorar: burada ne tür bir actor var ve kanıt aslında ne gösteriyor? Klasik bot tespitinden üç yönden ayrılır:
- Daha zengin kategoriler. Human, Human + AI, Agent ve Unknown, insan ile bot ayrımının yerine geçer.
- Açık dayanak. Her sonuç, doğrulanmış, beyan edilmiş veya çıkarımsal kanıta mı dayandığını ya da hiçbirine dayanmıyor mu, bunu söyler; böylece kriptografik bir kontrol davranışsal bir tahminle asla karıştırılmaz.
- Ayrı kararlar. Sonuç, uygulamanızın politikasını varsayılan olarak uygulamak yerine bilgilendirir. Ekipler önce gözlemler, sonra route bazında karar verir.
İki yaklaşım birlikte var olabilir. Büyük crawler operatörleri zaten user-agent stringinin ötesinde kontrolleri destekler. Google'ın crawler verification by reverse DNS and IP range yaklaşımı buna bir örnektir ve signed requests bu fikri herhangi bir operatöre genişletir. Bugün kullanabileceğiniz sinyaller için website traffic'in AI agentlerden gelip gelmediği nasıl anlaşılır bölümüne bakın. Kenardaki abuse kontrolleri değerini korur; actor intelligence ise uygulamanın kendisine her etkileşim türü için doğru deneyimi tasarlayacak bağlamı verir.
Yaygın yanlış anlamalar
- "Agent'ler sadece bot'tur." Bazıları kötüye kullanıma yöneliktir; çoğu, ürününüzü birinin adına kullanan meşru kullanıcılardır.
- "Bir bot puanı bir gerçektir." Bu, hata payı olan bir çıkarımdır. Bunu bir karar değil, güven düzeyi olan bir kanıt olarak ele alın.
- "Unknown block demektir." Unknown, kanıtın yetersiz olduğu anlamına gelir. Sonrasında ne olacağı, açık bir route bazlı seçim olmalıdır (bkz. fail open vs fail closed).
Proof of Actor bu yapıya nasıl uyar
Proof of Actor, apps, websites, APIs ve MCP servers için actor intelligence sunar. Detect sinyalleri toplar ve doğrulanmış iddiaları çıkarımlardan ayırır; Understand etkileşim türlerini, eğilimleri ve kanıtı gösterir; Route ise kendi politikalarınızın belirli etkileşimleri allow, adapt, challenge, review veya limit etmesine izin verir. Varsayılan olarak hiçbir şey block edilmez.
Ürünü keşfedin veya erken erişim için başvurun.
Kaynaklar
- OWASP Automated Threats to Web Applications: credential stuffing, scraping ve hesap oluşturma gibi otomatik tehditlerin taksonomisi
- Google: Verifying Google's crawlers and fetchers: operatör tarafından yayımlanan crawler doğrulaması