Dziewięć na dziesięć firm mierzy się z kryzysem ruchu botów, gdy agenci AI zacierają granice
PYMNTS poinformował, że 89,5% badanych firm uważa ruch botów za wyzwanie, mimo rosnącej pewności co do ich zdolności odróżniania pomocnych agentów od zagrożeń. Nagłówek google news oddaje skalę zjawiska, lecz głębszy problem nie sprowadza się jedynie do liczby botów. Firmy muszą teraz odróżniać złośliwą automatyzację od oprogramowania działającego w imieniu legalnych klientów.
To rozróżnienie staje się trudniejsze, gdy agenci AI zaczynają wyszukiwać produkty, zarządzać kontami i inicjować zakupy. Agent zakupowy i bot oszust mogą wykonywać podobne działania w podobnym tempie. Blokowanie każdego zautomatyzowanego użytkownika ograniczyłoby ryzyko, ale jednocześnie odrzucałoby nowe formy legalnego handlu.
Konflikt przesuwa się z podziału na ludzi i boty ku podziałowi na autoryzowanych agentów i niezaufaną automatyzację. Obecne mechanizmy kontroli zaprojektowano tak, by rozpoznawały ludzi, urządzenia i konta. Nie zaprojektowano ich natomiast do ustalania, czy oprogramowanie ma uprawnienie do działania w imieniu konkretnej osoby.
Badanie wskazuje na powszechny problem ruchu botów
Zarządzanie botami stało się powszechnym wyzwaniem operacyjnym, a nie wąską kwestią dotyczącą zespołów cyberbezpieczeństwa.
Ustalenie pochodzi z badania PYMNTS Intelligence przygotowanego we współpracy z firmą Trulioo, zajmującą się weryfikacją tożsamości. Pełny raport z badania analizował odpowiedzi 350 liderów biznesu.
Respondenci pracowali w obszarach zgodności, zwalczania oszustw, zarządzania ryzykiem, underwritingu, pozyskiwania dostawców i monitorowania sprzedawców. Ich firmy działały na kilku rynkach geograficznych i w różnych kategoriach przychodów.
PYMNTS przeprowadził badanie między 1 sierpnia a 10 września 2025 roku. Wynika z niego, że 89,5% organizacji uznawało zarządzanie ruchem botów za co najmniej nieznacznie trudne.
Większość firm zaliczyła problem do kategorii niewielkich lub umiarkowanych. Mimo to jedynie około jedna na dziesięć wskazała, że ruch botów nie stanowi żadnego wyzwania.
Badanie wykazało również, że 52,3% organizacji odnotowało wzrost ruchu botów w poprzednim roku. Mniej niż 10% stwierdziło, że wolumeny pozostały stabilne.
Wynik ten jest istotny, ponieważ pokazuje zmiany w obu kierunkach. Część firm doświadczyła spadku ruchu, podczas gdy większość mierzyła się ze wzrostem. Bardzo niewiele obserwowało niezmienione środowisko.
Badanie nie dowodzi, że każdy wzrost obejmował złośliwą aktywność. Ruch botów obejmuje crawlery wyszukiwarek, usługi monitorujące, komercyjne scrapery, asystentów dla klientów oraz wrogą automatyzację.
Właśnie ta mieszana populacja sprawia, że wynik jest znaczący. Więcej automatyzacji nie oznacza automatycznie większej liczby oszustw, ale zwiększa liczbę interakcji wymagających decyzji o zaufaniu.
System bezpieczeństwa może zakwestionować nieznane oprogramowanie lub całkowicie je zablokować. Takie reakcje stają się jednak kosztowne, gdy autoryzowany agent próbuje zrealizować żądanie klienta.
Badanie mierzyło ten koszt za pomocą wyników fałszywie dodatnich, czyli legalnych transakcji cyfrowych błędnie uznanych za podejrzane. Duże przedsiębiorstwa zgłosiły wskaźnik fałszywie dodatni na poziomie 3,3%.
Firmy o rocznych przychodach od 50 mln do 250 mln USD zgłosiły niższy wskaźnik wynoszący 2,7%. Różnica wydaje się niewielka, dopóki nie zostanie zastosowana do milionów transakcji.
W takiej skali ułamek punktu procentowego może dotyczyć wielu klientów. Może też generować koszty obsługi, porzucone zakupy i powtarzane kontrole tożsamości.
Oryginalne zestawienie google news przedstawiało ustalenie jako trudność w zarządzaniu ruchem. Dane źródłowe pokazują szerszy problem obejmujący tożsamość, autoryzację, oszustwa i doświadczenie klienta.
Firmy nie decydują jedynie o tym, czy żądanie pochodziło od oprogramowania. Decydują, czy to oprogramowanie reprezentuje zaufanego użytkownika i ma pozwolenie na wykonanie żądanego działania.
Dlaczego legalni agenci AI podnoszą stawkę
Rozwój użytecznych agentów AI sprawia, że polityka bezpieczeństwa oparta przede wszystkim na blokowaniu staje się ryzykowna biznesowo.
Tradycyjne mechanizmy obrony przed botami często rozpoczynają się od binarnej klasyfikacji. Żądanie jest traktowane jako ludzkie lub zautomatyzowane, a następnie akceptowane, kwestionowane, ograniczane albo blokowane.
Takie podejście działa, gdy automatyzacja należy do znanych kategorii. Zadeklarowany crawler wyszukiwarki może zostać dopuszczony, podczas gdy bot stosujący credential stuffing otrzymuje natychmiastową blokadę.
Agentowa AI osłabia ten prosty podział. Agent AI to oprogramowanie, które może wykonywać sekwencję działań prowadzących do celu określonego przez użytkownika.
Działania te mogą obejmować porównywanie produktów, sprawdzanie dostępności, wypełnianie formularzy lub zarządzanie subskrypcją. Agent może również wejść na uwierzytelnione konto albo zainicjować płatność.
Takie zachowanie może przypominać nadużycie. Zarówno pomocne, jak i złośliwe oprogramowanie może szybko przeglądać strony, podążać przewidywalnymi ścieżkami, wysyłać formularze i wykonywać powtarzalne żądania.
HUMAN Security ustalił, że ruch pochodzący od agentów AI i przeglądarek agentowych wzrósł rok do roku o 7 851%. Jego benchmark ruchu przeanalizował ponad jeden kwadrylion interakcji zaobserwowanych w 2025 roku.
Według tego zbioru danych miesięczny ruch napędzany przez AI wzrósł o 187% między styczniem a grudniem. Crawlery szkoleniowe nadal stanowiły 67,5% zaobserwowanego wolumenu botów AI.
Systemy agentowe zaczęły jednak wykraczać poza odczytywanie stron. HUMAN podał, że 77% aktywności agentowej miało miejsce na stronach produktów i wyszukiwania.
Kolejne 8,8% pojawiło się na stronach kont, a 5% dotarło do procesów uwierzytelniania. Strony finalizacji zakupu stanowiły 2,3% zaobserwowanej aktywności agentowej.
Odsetki te pokazują, dlaczego firmy handlowe stoją przed natychmiastową presją. Agenci docierają do tych samych wrażliwych obszarów, które są celem operacji przejmowania kont i oszustw płatniczych.
Pytanie o bezpieczeństwo zmienia się zatem na każdym etapie. Odczytanie publicznej strony produktu wiąże się z innym ryzykiem niż zmiana adresu na uwierzytelnionym koncie.
Sprzedawca detaliczny może z zadowoleniem przyjąć agenta porównującego dostępne produkty. Ten sam sprzedawca potrzebuje silniejszych dowodów, zanim pozwoli agentowi wykorzystać zgromadzoną wartość lub zmienić informacje o płatności.
Duże przedsiębiorstwa wydają się szczególnie narażone. Badanie PYMNTS wykazało, że 57% firm o przychodach wynoszących co najmniej 1 mld USD doświadczyło incydentów lub strat związanych z botami albo agentami.
Porównywalny odsetek wśród mniejszych firm wyniósł 32%. Badanie nie dowodzi, że rozmiar firmy spowodował te incydenty.
Większe organizacje zwykle obsługują więcej witryn, kont, rynków i przepływów płatności. Stanowią również cenniejsze cele i przetwarzają więcej interakcji, w których może wystąpić błąd klasyfikacji.
Tworzy to presję w wielu działach. Zespoły bezpieczeństwa chcą mniej skutecznych ataków, podczas gdy zespoły odpowiedzialne za przychody chcą mniej odrzuconych klientów.
Liderzy ds. zgodności potrzebują możliwych do obrony mechanizmów kontroli tożsamości. Zespoły produktowe chcą, by agenci uzyskiwali dostęp do użytecznych funkcji bez zdobywania nadmiernych uprawnień.
Czytelnicy śledzący tę historię przez google news nie powinni interpretować jej jako dowodu, że wszyscy agenci AI są niebezpieczni. Konflikt dotyczy brakujących sygnałów zaufania, a nie samej automatyzacji.
Rzeczywista rywalizacja to autoryzacja kontra zgadywanie na podstawie zachowania
Firmy muszą weryfikować uprawnienia agenta, zamiast wnioskować o jego intencjach wyłącznie na podstawie szybkości i zachowania podczas przeglądania.
Wykrywanie behawioralne poszukuje sygnałów związanych z automatyzacją lub nadużyciami. Mogą one obejmować nietypowe tempo żądań, skryptową nawigację, niespójności urządzeń oraz powtarzające się nieudane uwierzytelnienia.
Takie sygnały pozostają wartościowe. Mogą ujawniać ataki na szeroką skalę, identyfikować podejrzane sesje i uruchamiać silniejszą weryfikację.
Zachowanie nie zawsze jednak wyjaśnia, kto upoważnił agenta. Legalny asystent i złośliwy bot mogą wykazywać podobne wzorce techniczne.
To centralny konflikt tego artykułu. Firmy mogą nadal zgadywać na podstawie zachowania albo budować systemy weryfikujące przekazane uprawnienia.
PYMNTS i Trulioo określają to drugie podejście jako „Know Your Agent”, czyli KYA. Termin ten odnosi się do mechanizmów kontroli, które identyfikują zautomatyzowanego aktora i łączą go ze zweryfikowanym uprawnieniem.
KYA rozszerza znane ramy tożsamości. Know Your Customer sprawdza osobę, podczas gdy Know Your Business weryfikuje organizację komercyjną.
Weryfikacja agentów dodaje kolejną warstwę. Pyta, jakie oprogramowanie działa, czyje interesy reprezentuje i jakie działania ta strona zatwierdziła.
Łańcuch ten ma znaczenie, ponieważ zaufany agent może nadal działać na rzecz przejętego konta. Zweryfikowany użytkownik może również przyznać agentowi szerszy dostęp, niż zamierzał.
Użyteczne mechanizmy kontroli potrzebują zatem więcej niż rozpoznawalnej nazwy bota. Potrzebują powiązania między użytkownikiem, agentem, żądanym działaniem i obowiązującymi ograniczeniami.
Ograniczenia te mogą obejmować wartość transakcji, kategorię sprzedawcy, czas, lokalizację lub dostęp do danych. Użytkownik może zezwolić na badanie produktów bez autoryzowania zakupu.
Inny użytkownik może dopuścić cykliczne zamówienie artykułów gospodarstwa domowego, lecz zabronić zmian na koncie. Właściwa decyzja zależy od kontekstu, a nie wyłącznie od tożsamości agenta.
Model ten przypomina delegowany dostęp stosowany już w systemach oprogramowania. Aplikacje często otrzymują uprawnienia o ograniczonym zakresie zamiast pełnych danych uwierzytelniających użytkownika.
Handel agentowy rozszerza tę zasadę na przeglądanie i transakcje. Trudność polega na zachowaniu autoryzacji między kilkoma firmami i systemami technicznymi.
Asystent użytkownika, dostawca tożsamości, sprzedawca, platforma antyfraudowa i sieć płatnicza mogą widzieć różne fragmenty interakcji. Żaden pojedynczy uczestnik nie ma automatycznie pełnego rejestru zaufania.
Ta fragmentacja sprawia, że firmy polegają na pośrednich wskazówkach. Znany user agent, stabilny adres sieciowy lub podpisane żądanie mogą pomóc, ale każdy z tych sygnałów ma ograniczenia.
Atakujący mogą naśladować cechy przeglądarek i korzystać z rotacyjnych sieci rezydencjalnych. Mogą też przejmować legalne konta lub nadużywać autoryzowanych integracji.
Rozwiązaniem nie jest jeden uniwersalny wynik oceny bota. Jest nim warstwowa decyzja łącząca tożsamość, zadeklarowany cel, autoryzację, zachowanie i ryzyko transakcyjne.
Zmiana ta wpływa również na analitykę. Strona produktu wyświetlona przez agenta nie stanowi ani konwencjonalnej wizyty człowieka, ani koniecznie bezwartościowego ruchu.
Agent może porównywać opcje dla klienta, który nigdy bezpośrednio nie odwiedza witryny. Systemy analityczne muszą łączyć zautomatyzowane badanie z późniejszymi zakupami, nie zakładając, że każde żądanie jest oszukańcze.
Wyzwanie to obejmuje również publikowanie i wyszukiwanie. Google News, konwencjonalne crawlery wyszukiwarek, boty szkoleniowe i silniki odpowiedzi służą różnym celom, nawet gdy zbierają podobne strony.
Firmy potrzebują zasad odzwierciedlających te różnice. Firma może z zadowoleniem przyjmować indeksowanie, ograniczać szkolenie modeli i zezwalać agentom transakcyjnym jedynie po uwierzytelnieniu.
Pewność jest wysoka, ale dane pokazują luki
Pewność dużych przedsiębiorstw co do wykrywania botów niepokojąco współistnieje ze zgłaszanymi stratami i wskaźnikami fałszywie dodatnimi.
Ponad dziewięć na dziesięć dużych przedsiębiorstw powiedziało PYMNTS, że czuje się pewnie w odróżnianiu szkodliwych botów od pomocnych. Sama pewność nie dowodzi, że ich mechanizmy kontroli działają niezawodnie.
Ta sama grupa zgłosiła wyższe wskaźniki incydentów niż mniejsze firmy. Duże przedsiębiorstwa odnotowały również najwyższy w badaniu wskaźnik fałszywie dodatni.
Wyniki te nie muszą być sprzeczne. Firma może działać lepiej niż jej konkurenci, a jednocześnie tracić pieniądze na większą skalę bezwzględną.
Może też dysponować silnymi narzędziami wykrywania, lecz działać w bardziej złożonych systemach. Każde dodatkowe logowanie, API, spółka zależna i ścieżka płatności tworzy kolejną możliwą lukę w kontroli.
Mimo to kontrast zasługuje na krytyczną analizę. Uczestnikami badania byli liderzy odpowiedzialni za zapobieganie oszustwom, zgodność z przepisami, ryzyko i powiązane obszary.
Ich odpowiedzi odzwierciedlają profesjonalne oceny, a nie niezależny test skuteczności wykrywania. Firmy mogą też różnie definiować incydenty, ruch botów i pomocnych agentów.
Raport powstał we współpracy z dostawcą rozwiązań z zakresu tożsamości cyfrowej, co daje mu odpowiednią wiedzę ekspercką, ale także perspektywę komercyjną. Czytelnicy powinni traktować jego rekomendacje jako świadome ramy działania, a nie neutralny standard techniczny.
Niezależne dane o ruchu potwierdzają szerszy trend. Imperva podała, że w 2024 roku zautomatyzowany ruch przewyższył aktywność ludzi.
Jej badania nad szkodliwymi botami sklasyfikowały 37% globalnego ruchu internetowego jako złośliwe boty. Kolejne 14% pochodziło od pożytecznych botów, pozostawiając ludziom 49%.
Imperva stwierdziła również, że boty o średnim i zaawansowanym poziomie zaawansowania stanowiły 55% ataków botów. Programy te próbują naśladować prawdziwe przeglądarki i zachowania użytkowników.
Proste ataki o dużym wolumenie nadal rosły — z 40% do 45% ataków botów. Łatwiejszy dostęp do automatyzacji umożliwia mniej doświadczonym operatorom generowanie szkodliwego ruchu na dużą skalę.
Raport wykazał, że 44% zaawansowanego ruchu botów było wymierzone w interfejsy programowania aplikacji. API to ustrukturyzowane połączenia umożliwiające oprogramowaniu wymianę danych lub uruchamianie funkcji.
To ukierunkowanie ma znaczenie dla systemów agentowych. Agent może korzystać ze strony internetowej, lecz wydajni agenci komercyjni często będą szukać bezpośredniego dostępu do API.
API mogą wspierać silniejsze uwierzytelnianie i jasno określone uprawnienia. Mogą też udostępniać wartościowe funkcje biznesowe, gdy autoryzacja jest niepełna.
Warunki w poszczególnych branżach znacznie się różnią. Imperva stwierdziła, że szkodliwe boty stanowiły 59% ruchu w handlu detalicznym i 41% ruchu w turystyce w 2024 roku.
Handel detaliczny i turystyka oferują też wartościowe cele. Zautomatyzowani atakujący mogą wykupywać zapasy, testować skradzione karty, zbierać ceny lub przejmować konta lojalnościowe.
Jednocześnie sektory te dobrze nadają się do wykorzystania przez legalnych agentów. Klienci korzystają, gdy oprogramowanie może porównywać taryfy, monitorować ceny lub składać zakup.
To nakładanie się oznacza, że firmy nie mogą optymalizować działań wyłącznie pod kątem najwyższego współczynnika blokowania. System, który odrzuca każdą niepewną interakcję, może ograniczyć mierzalne ataki, jednocześnie ukrywając utracony popyt.
Odwrotna sytuacja jest równie niebezpieczna. Firma, która dopuszcza agentów bez jasnych uprawnień, może narazić konta, płatności i informacje klientów.
Szacowana przez badanie kwota niemal 100 miliardów dolarów łączy straty wynikające z oszustw i przypadkowego odrzucania legalnych transakcji. Tę liczbę należy interpretować ostrożnie.
To szacunek branżowy, a nie audytowana suma dla badanych firm. Kategorie te mierzą również różne formy szkód.
Oszustwo oznacza skuteczne wrogie działanie. Fałszywie pozytywny wynik oznacza działanie obronne, które zaszkodziło legalnej interakcji.
Łączne ujęcie tych zjawisk podkreśla kluczowy kompromis. Rygorystyczne kontrole mogą powodować straty handlowe, a luźne kontrole — straty związane z bezpieczeństwem.
Celem nie jest maksymalne ani minimalne tarcie. Chodzi o trafniejszą decyzję dotyczącą uprawnień na każdym wrażliwym etapie.
Google News wskazuje na szerszą zmianę w ekonomice botów
Problem botów się rozszerza, ponieważ zautomatyzowany ruch niesie obecnie zarówno wrogie ryzyko, jak i potencjalną wartość komercyjną.
Przez lata wiele organizacji traktowało boty jako problem bezpieczeństwa stron internetowych. Zespoły ds. bezpieczeństwa zarządzały scrapingiem, atakami na dane uwierzytelniające, nadużyciami związanymi z zapasami i aktywnością typu denial-of-service.
Agenci AI rozszerzają tę dyskusję o dystrybucję i przychody. Zautomatyzowany odwiedzający może wnosić intencję zakupową klienta, nie generując tradycyjnego wyświetlenia strony.
Akamai podała, że do grudnia 2025 roku boty AI generowały 47,9% ruchu handlowego w jej sieci. Jej ustalenia dotyczące bezpieczeństwa handlu umieściły branżę w centrum presji związanej z oszustwami agentowymi.
Akamai poinformowała również, że organizacje handlowe sklasyfikowały do celów monitorowania ponad 90% aktywności botów AI. Około trzy czwarte pozostałej aktywności przepuszczały bez ograniczeń.
Monitorowanie może być rozsądną pierwszą reakcją, gdy klasyfikacje pozostają niepewne. Pozwala firmom obserwować zachowania przed egzekwowaniem zasad, które mogłyby blokować użytecznych agentów.
Jednak bierna obserwacja pozostawia lukę, gdy podejrzana automatyzacja dociera do funkcji konta lub płatności. Firmy potrzebują zasad, które zmieniają się wraz ze wzrostem wrażliwości interakcji.
Strony publiczne mogą tolerować szerszy dostęp. Uwierzytelnianie, zapisane metody płatności, salda programów lojalnościowych i odzyskiwanie konta wymagają większej pewności.
Taki postęp oparty na ryzyku oferuje praktyczne rozwiązanie pośrednie. Pozwala uniknąć traktowania każdego zautomatyzowanego żądania jako równie niebezpiecznego.
Unika też przyznawania agentowi szerokiego zaufania tylko dlatego, że obsługuje go znana firma. Legalna usługa może być błędnie skonfigurowana, przejęta lub używana poza zakresem autoryzacji klienta.
Koncentracja operatorów tworzy kolejną komplikację. HUMAN przypisał około 69% zaobserwowanego ruchu napędzanego przez AI w 2025 roku agentom użytkownika OpenAI.
Meta odpowiadała za około 16%, a Anthropic za około 11%. Pozostali zidentyfikowani operatorzy wygenerowali łącznie mniej niż 5%.
Pomiary te pochodzą z bazy klientów HUMAN, więc nie reprezentują całego internetu. Mimo to pokazują, jak decyzje dotyczące kilku operatorów mogą kształtować całkowitą ekspozycję na AI.
Sprzedawca mógłby stworzyć reguły dla rozpoznanych agentów od głównych dostawców. Tożsamość dostawcy nie odpowiada jednak na pytanie, czy konkretna transakcja ma zgodę użytkownika.
Mniejsi lub samodzielnie hostowani agenci stanowią dodatkowe wyzwanie. Blokowanie każdego nieznanego agenta faworyzowałoby duże platformy i ograniczało konkurencję.
Dopuszczanie ich bez silnej weryfikacji zwiększałoby ryzyko oszustw. Otwarte standardy dotyczące tożsamości i delegowanych uprawnień mogłyby ograniczyć ten konflikt.
Google News oferuje użyteczną analogię, choć nie jest agentem transakcyjnym. Wydawcy mogą identyfikować znane roboty wyszukiwarek i decydować, jak ich treści pojawiają się w systemach odkrywania.
Handel potrzebuje bogatszej wersji tej relacji. Sklep musi rozumieć nie tylko, kto żąda informacji, lecz także co agent może zrobić dalej.
Ta zmiana wpływa na strategię biznesową. Firmy odrzucające legalnych agentów mogą zniknąć z odkrywania produktów lub zakupów pośredniczonych przez AI.
Firmy, które zbyt swobodnie akceptują agentów, mogą ponosić koszty oszustw, scrapingu i zanieczyszczonej analityki. Żadna z tych skrajności nie zapewnia trwałego modelu operacyjnego.
Na co firmy powinny zwracać uwagę dalej
Kolejny etap zależy od weryfikowalnych poświadczeń agentów, węższych uprawnień i dowodów, że te kontrole ograniczają zarówno oszustwa, jak i fałszywie pozytywne wyniki.
Pierwszym sygnałem będzie przyjęcie przenośnych metod identyfikacji i autoryzacji agentów. Sprzedawcy potrzebują poświadczeń, które mogą zweryfikować bez budowania niestandardowych połączeń dla każdego dostawcy AI.
Poświadczenia te powinny identyfikować operatora i łączyć agenta z użytkownikiem. Powinny też wyrażać ograniczony zakres żądanego działania.
Ich przyjęcie wzmocniłoby argument za kontrolami opartymi na KYA. Fragmentaryczne lub zastrzeżone podejścia pozostawiłyby firmy zależne od wnioskowania na podstawie zachowań.
Drugim sygnałem będzie mierzalna zmiana wskaźników fałszywie pozytywnych wyników. Badanie PYMNTS ustaliło wskaźnik 3,3% wśród dużych przedsiębiorstw i 2,7% wśród mniejszych firm.
Przyszłe badania powinny pokazać, czy ciągła weryfikacja obniża te wartości. Powinny również oddzielać transakcje realizowane przez ludzi od autoryzowanych transakcji agentowych.
Niższy współczynnik odrzuceń bez wzrostu oszustw wspierałby podejście skoncentrowane na tożsamości. Spadek tarcia połączony ze wzrostem strat osłabiłby je.
Trzecim sygnałem będzie sposób, w jaki główni sprzedawcy obsługują agentów przy logowaniu i finalizacji zakupu. Publiczne odkrywanie produktów jest już powszechną aktywnością agentów, ale wrażliwe działania pozostają ograniczone.
Warto obserwować sprzedawców, którzy publikują jasne zasady dostępu dla agentów i wymagania dotyczące uprawnień. Warto też śledzić ujawnienia dotyczące przejęć kont, testowania kart i sporów związanych z agentami.
Te zmiany pokażą, czy handel agentowy stanie się zaufanym kanałem, czy kolejną warstwą niezarządzanej automatyzacji.
Firmy nie muszą czekać na uniwersalny standard, aby poprawić kontrole. Mogą zinwentaryzować zautomatyzowany ruch i oddzielić publiczne przeglądanie od wrażliwych działań na koncie.
Mogą określić, które agenty są dozwolone, jakie dowody muszą przedstawić oraz które działania wymagają potwierdzenia użytkownika.
Firmy powinny także unikać stosowania jednego wyniku oceny bota na każdej powierzchni cyfrowej. Żądanie dotyczące publicznego katalogu i zmiana metody płatności nie niosą porównywalnego ryzyka.
Ciągła weryfikacja może ponownie oceniać zaufanie podczas sesji. Może uwzględniać tożsamość, urządzenie, zachowanie, kontekst transakcji i żądane uprawnienie.
Takie podejście nadal wymaga powściągliwości. Gromadzenie większej ilości danych może rodzić problemy związane z prywatnością i zgodnością z przepisami, zwłaszcza gdy firmy nie potrafią wyjaśnić swoich decyzji.
Zautomatyzowane kontrole oszustw powinny wspierać ścieżki weryfikacji i odwołania. Klienci potrzebują sposobu na odzyskanie dostępu, gdy legalna transakcja zostanie zakwestionowana.
Liderzy ds. bezpieczeństwa powinni także sprawdzać, czy kontrole prowadzą do nierównych wyników w zależności od lokalizacji, urządzeń lub narzędzi dostępności. Niższy globalny współczynnik fałszywie pozytywnych wyników może ukrywać skoncentrowaną szkodę.
Dla pracowników wiedzy śledzących tę zmianę jakość źródeł ma takie samo znaczenie jak widoczność nagłówków. Wynik google news może ujawnić ważne twierdzenie, ale jego wartość określa metodologia źródłowa.
Ustalenie PYMNTS jest znaczące, ponieważ obejmuje określoną próbę, okres prowadzenia badania i szczegółowe miary. Nadal jednak przedstawia odpowiedzi z ankiety, a nie bezpośrednią obserwację ruchu sieciowego.
Imperva, HUMAN i Akamai dostarczają danych obserwacyjnych, lecz każda z tych firm widzi ruch przez własną sieć klientów. Ich wartości procentowych nie należy łączyć w jeden uniwersalny licznik botów.
Łącznie źródła te wspierają ostrożniejszy wniosek. Zautomatyzowany ruch rośnie, złośliwe boty pozostają znaczącym problemem, a legalni agenci wchodzą do wrażliwych procesów.
Pozostała niepewność dotyczy jakości kontroli. Firmy muszą udowodnić, że potrafią przyjmować autoryzowane oprogramowanie bez tworzenia nowej drogi do oszustw.
Dowodem będą wyniki, a nie ankiety dotyczące pewności. Największe znaczenie będą miały niższe wskaźniki incydentów, mniej odrzuconych klientów i możliwe do prześledzenia uprawnienia agentów.
Czytelnicy, którzy natkną się na kolejny dramatyczny nagłówek google news o botach, powinni zadać trzy pytania. Jaki ruch został zmierzony, jak go sklasyfikowano i do jakiego działania biznesowego dotarł?
Te pytania oddzielają ogólny szum internetowy od rzeczywistego ryzyka operacyjnego. Ujawniają też, czy organizacja potrafi rozpoznać uprawnienia, zamiast jedynie wykrywać automatyzację.
Najbliższe miesiące pokażą, czy firmy wyjdą poza stary model „bot albo nie”. Jeśli tak się stanie, weryfikacja agentów może stać się częścią infrastruktury tożsamości cyfrowej.
Jeśli nie, firmy nadal będą wybierać między dwoma kosztownymi błędami. Albo dopuszczą wrogą automatyzację, albo zablokują oprogramowanie niosące legalną intencję klienta.
