Немые агенты, которые совершают покупки, бронируют билеты и входят в систему за реальных клиентов, появляются без предоставления информации о себе. Блокировка всех таких агентов лишает вас клиента. Разрешение всем подвергает вас серьезному риску. В этой статье описан третий вариант: выборочные действия.

Агенты: да или нет? Основная часть проблем от трафика ИИ-агентов связана с тем, что компании применяют один и тот же ответ на этот вопрос ко всему своему ресурсу. Практически ни одна компания не должна использовать ни тот, ни другой ответ везде.

Выборочные действия — это лучший подход, чем либо полная блокировка, либо полный допуск. С помощью выборочных действий вы можете:

Узнать, что уже доходит до вас

Узнать, что уже доходит до вас

Установить политику на основе вашего определения приемлемого использования

Установить политику на основе вашего определения приемлемого использования

Сделать верификацию путем к «да»

Сделать верификацию путем к «да»

Держать двери для просмотра открытыми, пока идентификация догоняет процесс

Держать двери для просмотра открытыми, пока идентификация догоняет процесс

Что такое немой агент?

Немой агент — это автоматизация, действующая через обычный браузер или клиентскую сессию без предоставления проверяемой идентичности агента. Это может быть легитимный помощник, действующий от имени клиента, неавторизованный агент, превышающий свои полномочия, или вредоносная автоматизация, имитирующая поведение агента.

Когда человеческая и автоматизированная активность происходят в рамках одной аутентифицированной сессии, различие между ними становится более сложной задачей. Без явной идентификации агента компании вынуждены полагаться на поведенческие и технические сигналы, которые не всегда отражают полную картину: ослабьте защиту для поддержки легитимных агентов, и вы рискуете подвергнуть бизнес угрозе вредоносной автоматизации; ужесточите ее — и вы рискуете заблокировать активность, санкционированную клиентом.

Парадокс перехвата сеанса

Немые агенты Meta Muse и Instinct работают таким образом уже сегодня. OpenAI Dots добавляет новый нюанс: агент авторизован в облаке, но «немой», когда переключается на собственный компьютер клиента. OpenAI говорит своим клиентам: «Если веб-сайт блокирует облачный браузер, попросите вашего бота попробовать подключенный компьютер». В этом и заключается сложность. Когда агенты не подписывают свои запросы, агент для покупок, приобретающий кроссовки для реального человека, и бот-реселлер, имитирующий его, могут выглядеть поразительно похоже.

Экосистема агентов стремительно развивается, и компании быстро обратили на это внимание. 20 сентября Amazon закрыла для Muse доступ к своему магазину после того, как Meta отказалась удалить Amazon из числа поддерживаемых агентов. Представители Amazon заявили, что Muse не идентифицирует себя и, судя по всему, сохраняет учетные данные клиентов. 13 октября JPMorgan заблокировал внешние агенты для клиентских счетов, а Citi, Schwab и Bank of America приняли аналогичные меры в ту же неделю.

Axios reported that banks are finding third-party agents inside customer accounts, и что некоторые из этих агентов, судя по всему, действуют за пределами того, о чем просил клиент. Ритейлеры столкнулись с другой проблемой: покупатели жалуются, что агент не смог завершить покупку, обычно из-за того, что системы защиты от ботов расценили его действия как автоматизацию, а не из-за намеренной блокировки конкретного агента.

Большинство предложенных до сих пор мер сводятся к двум направлениям:

Полная блокировка агентов при входе в систему и при переводе средств

Полная блокировка агентов при входе в систему и при переводе средств

Предоставление доступа только для чтения, позволяющее агенту просматривать аккаунт без возможности совершать действия

Предоставление доступа только для чтения, позволяющее агенту просматривать аккаунт без возможности совершать действия

Обе меры являются разумными временными позициями, но ни одна из них не является стратегией, поскольку обе отвечают на вопрос «да или нет», в то время как реальный вопрос заключается в том, какие действия агенту должно быть разрешено выполнять.

Видимость, аналитика и выборочные действия

Наша позиция заключается в том, что автоматизированный трафик должен регулироваться тем, для чего он предназначен и насколько сайт может проверить его достоверность, а не тем, применяется ли к нему слово «агент». Для этого требуются три последовательных шага:

Видимость: чтобы видеть агентский трафик, разделенный по назначению, а не сваленный в одну кучу

Видимость: чтобы видеть агентский трафик, разделенный по назначению, а не сваленный в одну кучу

Аналитика: чтобы знать, какие агенты заявили о себе, а какие были определены на основе поведения

Аналитика: чтобы знать, какие агенты заявили о себе, а какие были определены на основе поведения

Выборочные действия: чтобы разрешить агенту просматривать ваш каталог, но при этом оценивать каждую попытку оформления заказа на предмет риска автоматизации

Выборочные действия: чтобы разрешить агенту просматривать ваш каталог, но при этом оценивать каждую попытку оформления заказа на предмет риска автоматизации

Из этого вытекают четыре обязательных условия, которые подробно описаны в конце этой статьи: узнайте, что уже доходит до вас, принимайте решения для каждой конечной точки, а не для сайта в целом, воспринимайте верификацию как способ сказать «да» и держите двери для просмотров открытыми, пока индустрия создает систему идентификации агентов.

Что делает агента немым

Почти на всем протяжении истории управления ботами любая заслуживающая внимания автоматизация заявляла о себе. Поисковые роботы публиковали свои пользовательские агенты (User-Agent) и диапазоны IP-адресов. Например, сайт мог найти Googlebot, подтвердить его и относиться к нему иначе, чем к анонимному скраперу. Такая схема работала, потому что оператор бота хотел быть узнанным.

Потребительские агенты непреднамеренно разрушили эту систему. Они были созданы для того, чтобы использовать веб так же, как это делает человек: они управляют браузером, кликают по страницам, заполняют формы и обходят препятствия точно так же, как это делал бы человек.

Muse работает на виртуальной машине в облаке Meta со встроенным браузером.

Muse работает на виртуальной машине в облаке Meta со встроенным браузером.

Instinct поддерживает постоянный облачный рабочий стол и управляет им с помощью сохраненных учетных данных пользователя, включая электронную почту и платежные реквизиты.

Instinct поддерживает постоянный облачный рабочий стол и управляет им с помощью сохраненных учетных данных пользователя, включая электронную почту и платежные реквизиты.

Dots работает как облачный агент от OpenAI.

Dots works as a cloud agent from OpenAI.

С точки зрения сервера, каждый из них представляет собой сеанс браузера: строка User-Agent указывает на браузер, а их поведение свидетельствует об автоматизации.

Аутентифицированные риски: за пределами просмотра каталога

Это важно из-за того, что находится по другую сторону этого сеанса. Агент, просматривающий каталог товаров, — это в худшем случае вопрос конфиденциальности. Агент, вошедший в систему с учетными данными клиента, — это совсем другое дело. Условия использования Instinct наделяют его полномочиями агента пользователя для совершения юридически обязывающих транзакций, а в уведомлении о конфиденциальности этого сервиса в качестве рисков его использования указаны непреднамеренные платежи и манипуляции посредством скрытых инструкций. Первые тестировщики задокументировали и то, и другое: один внедрил инструкции в электронное письмо и наблюдал, как агент следует им, в то время как другой столкнулся с тем, что письмо было отправлено от его имени без одобрения.

Поэтому, когда банки говорят, что они не могут определить, было ли действие внутри аккаунта инициировано пользователем, они описывают реальный пробел, а не проблему обнаружения, которую можно решить с помощью покупки дополнительных инструментов. Агент находится в сеансе на законных основаниях, используя учетные данные, переданные клиентом. Ничто в запросе не говорит об обратном.

Что сообщают компании

Эти сообщения поступают в двух вариантах в зависимости от того, где появляется агент — в банковской сфере или в электронной коммерции.

Банкинг: не верифицированные действия в аутентифицированных аккаунтах

В банковской сфере главная забота заключается в действиях внутри аутентифицированной сессии. Как сообщает Axios, крупные американские банки фиксируют работу сторонних агентов в клиентских аккаунтах, причем некоторые из них, судя по всему, предпринимают шаги, выходящие за рамки того, о чем просил клиент. Публичные заявления самих банков оставались последовательными с середины октября:

JPMorgan не допускает внешние агенты к розничным счетам.

JPMorgan не допускает внешние агенты к розничным счетам.

Citi ограничивает их действия.

Citi ограничивает их действия.

Schwab заявляет, что пресекает попытки агентов перемещать средства клиентов.

Schwab заявляет, что пресекает попытки агентов перемещать средства клиентов.

Bank of America требует одобрения человеком перед выводом средств со счета.

Bank of America требует одобрения человеком перед выводом средств со счета.

Chase призвал клиентов не передавать свои учетные данные третьим лицам.

Chase призвал клиентов не передавать свои учетные данные третьим лицам.

Несколько банков движутся в сторону предоставления доступа только для чтения в качестве компромисса.

Несколько банков движутся в сторону предоставления доступа только для чтения в качестве компромисса.

Текущая траектория развития автономных ИИ-агентов повторяет ранний этап агрегации финансовых счетов: хаотичную, неавторизованную фазу сбора данных с пользовательского интерфейса, обусловленную потребительским спросом, которая неизбежно заставляет платформы переходить от активного сопротивления к стандартизированным протоколам. В 2010-х годах такие агрегаторы, как Plaid, Yodlee и Mint, обходили отсутствие банковских API путем сбора учетных данных пользователей, запуска «безголовых» скриптов для имитации пользовательских сессий, парсинга данных и обхода проверок безопасности.

Сегодня автономные боты и агенты действуют по абсолютно той же схеме.

Коммерция: угроза упущенной выгоды

В сфере коммерции беспокойство вызывает клиент, который не может завершить покупку. Amazon заблокировал Muse в сентябре и теперь уведомляет покупателей, когда агент пытается что-то купить на их счете. Материал TechCrunch включает Yelp, eBay, Zillow, Pizza Hut, Adidas и несколько авиакомпаний в число сайтов, где, по словам пользователей, агентам было отказано в доступе. Иногда это результат осознанной политики. В других случаях существующие средства защиты от ботов обнаруживают автоматизированное поведение при покупках и реагируют так, как спроектированы.

В основе как банкинга, так и коммерции лежит объем трафика, который был огромным еще до запуска любого из этих агентов. В отчете Akamai «Состояние интернета» за июль 2026 года отмечается, что почти половина (47.9%) всего трафика ИИ-ботов в глобальной сети Akamai в период с июля по декабрь 2025 года пришлась на вертикаль коммерции. В нем также говорится, что коммерческие организации отнесли более 90% активности ИИ-ботов к категории «только мониторинг» и разрешили примерно три четверти оставшейся активности без каких-либо ограничений.

Другими словами, большинство компаний наблюдали за ИИ-трафиком, а не управляли им, задолго до того, как агенты начали добираться до кнопки оформления заказа.

Почему очевидные меры не работают

Блокировка каждого агента — это самый быстрый ответ и самый простой способ защиты изнутри. На этапе входа в систему и переводов средств блокировка на данный момент также может быть наиболее правильным решением с точки зрения безопасности. Однако применительно ко всему сайту блокировка перестает быть мерой безопасности и становится коммерческим решением. Агент действует в интересах клиента, который хочет что-то купить, и блокировка бьет по этому клиенту. Покупатели, столкнувшиеся с блокировкой, не делают вывод о том, что их агенту нужны лучшие учетные данные; они уходят на сайт, который работает.

Доступ только для чтения — это более взвешенный вариант, и он выглядит надежнее, хотя решает более узкую задачу, чем кажется. Чтение данных аккаунта не лишено риска, если затем агент совершает действия на основе прочитанного в какой-то другой системе, а множество ценных действий не сводятся ни к чтению, ни к переводу денег, включая бронирование, перенос встреч, изменение адреса и использование бонусов. Режим «только для чтения» позволяет выиграть время, а не определяет политику.

Третий ответ — пропускать агента, потому что он распознан, — несет в себе наибольший скрытый риск. Распознавание сегодня в основном означает сопоставление сигнатуры: паттерна заголовков, цифровых отпечатков и поведения, которые обычно демонстрирует известный агент. Сигнатуры можно подделать. Любое исключение, прописанное для сигнатуры, автоматически распространяется на все, что маскируется под нее достаточно хорошо, а трафик, который больше всего стремится имитировать агента по покупкам, — это как раз тот трафик, который ритейлеры меньше всего хотят видеть на чекауте во время старта продаж.

В этом и заключается ловушка. Тотальная блокировка бьет по выручке, тотальное разрешение дает карт-бланш любому самозванцу в том же костюме, а режим «только для чтения» лишь откладывает принятие решения. Перестаньте задаваться вопросом, разрешать ли агентам доступ, и начните решать, какие именно действия им разрешить.

Видимость: группировка ИИ-трафика по намерениям

Единая категория «ИИ-боты» не может служить основой для политики безопасности, поскольку находящийся в ней трафик преследует противоположные цели. Кроулер, собирающий описания ваших товаров для обучения модели, поисковый робот, индексирующий ваш сайт, чтобы ваш бренд появлялся в ответах ИИ, и ассистент, запрашивающий одну страницу, потому что ваш клиент задал вопрос, — это три принципиально разные транзакции.

В августе 2026 года мы разделили эту категорию в каталоге ботов Akamai на три:

Кроулеры для обучения ИИ — собирают контент в больших объемах для обучения моделей (например, GPTBot, ClaudeBot и Meta-ExternalAgent).

Кроулеры для обучения ИИ — собирают контент в больших объемах для обучения моделей (например, GPTBot, ClaudeBot и Meta-ExternalAgent).

Поисковые кроулеры ИИ — индексируют сайты для поисковых систем на базе ИИ и цитирования источников (например, OAI-SearchBot, Claude-SearchBot и PerplexityBot).

Поисковые кроулеры ИИ — индексируют сайты для поисковых систем на базе ИИ и цитирования источников (например, OAI-SearchBot, Claude-SearchBot и PerplexityBot).

ИИ-фетчеры и агенты — обращаются к странице в реальном времени, чтобы ответить на вопрос или выполнить задачу (например, ChatGPT-User, ChatGPT Agent, GoogleAgent-Mariner и предполагаемые скрытые агенты).

ИИ-фетчеры и агенты — обращаются к странице в реальном времени, чтобы ответить на вопрос или выполнить задачу (например, ChatGPT-User, ChatGPT Agent, GoogleAgent-Mariner и предполагаемые скрытые агенты).

Это разделение предоставляет компаниям более детальный контроль над действиями, которые в противном случае противоречили бы друг другу: ограничить кроулеры для обучения, чтобы защитить контент, на который организация не давала лицензию; приветствовать поисковые кроулеры, чтобы контент оставался видимым в ответах ИИ; и относиться к агентам реального времени как к пользовательскому трафику, которым они обычно и являются — по одной политике на каждую категорию, устанавливаемой самим бизнесом.

Видимость также должна выходить за рамки каталога. Трафик, который беспокоит банк, не занимается простым просмотром страниц — он авторизован. Мониторинг активности агентов в аутентифицированных сессиях — это совсем не то же самое, что отслеживание на страницах с контентом, и компании нужны оба этих ракурса, прежде чем она сможет начать управлять своими рисками.

Инсайт: научитесь различать заявленную идентичность и предполагаемое поведение

Категории показывают, какого рода трафик прибыл. Следующий вопрос, который стоит задать, — откуда вы знаете то, что знаете о каждом агенте, и здесь есть два совершенно разных ответа.

Некоторые агенты заявляют о себе способом, который можно проверить. Они публикуют ключ, подписывают свои запросы и могут быть проверены на периферии, а не на слово. Такие агенты известны, и известный агент может иметь собственную политику — в том числе при оформлении заказа, — поскольку распознавание не зависит ни от чего, что можно скопировать.

Все остальное определяется путем вывода. Мы идентифицируем агентов на основе наблюдаемых характеристик и помечаем их как подозреваемые, поэтому в отчетах отображается запись вроде «Muse Agent (suspected)», а не подтвержденная личность. Эта метка действительно полезна: она показывает, что агент заходит на ваш сайт, примерный объем этого трафика и куда он направляется. Она не гарантирует, что следующий запрос с тем же паттерном исходит от того же агента, и политика, написанная так, будто это так, в конечном итоге предоставит доступ к тому, к чему вы не планировали.

Оценка поведенческих рисков — это то, что остается, когда идентификация недоступна, и это тот метод контроля, который продолжает работать, когда агенты используют методы маскировки. Анализируя то, как перемещается сеанс, а не то, кем он себя заявляет, поведенческий анализ эффективно противостоит агенту, созданному для имитации браузера, и боту-перекупщику, замаскированному под покупателя.

Именно по этой причине легитимные агенты иногда останавливаются при оформлении заказа. Такой результат означает, что система работает так, как и задумано: пока агенты не научатся проходить аутентификацию, часть легитимного трафика агентов будет попадать в категорию не верифицированных.

Практический вывод для команды безопасности заключается в том, чтобы рассматривать два сигнала — категорию/метку и поведение — в совокупности. Категория и метка показывают, кто приходит и в каком объеме. Поведение показывает, что этот сеанс делает прямо сейчас. Ни один из них по отдельности не достаточен для определения политики.

Выборочное действие: принимайте решения для каждой конечной точки, а не для всего сайта в целом

Страница каталога и страница оформления заказа несут разные риски. Агент, читающий описания товаров для клиента, делает то, что стандартные браузеры делали всегда. Компаниям обычно нужен такой трафик, потому что он ведет к продажам и потому что ИИ-ассистенты становятся новым путем к обнаружению товаров.

Однако тот же агент, оформляющий заказ, совершает действия, затрагивающие товарные запасы и деньги, и это заслуживает такого же тщательного контроля, который применяется к любой автоматизации. Страница входа ближе к оформлению заказа, чем к каталогу. То же самое относится ко всему, что вносит изменения в учетную запись.

Вот что означает выборочное действие на практике:

Одна политика для контента, где большая часть ИИ-трафика может отслеживаться или разрешаться

Одна политика для контента, где большая часть ИИ-трафика может отслеживаться или разрешаться

Другая политика для транзакций, в рамках которой каждый запрос оценивается на предмет автоматизации независимо от того, как он себя называет

Другая политика для транзакций, в рамках которой каждый запрос оценивается на предмет автоматизации независимо от того, как он себя называет

Третья политика для аутентификации, где вопрос заключается не в том, является ли сеанс автоматизированным, а в том, является ли стоящий за ним человек владельцем учетной записи и является ли это действие узнаваемым

Третья политика для аутентификации, где вопрос заключается не в том, является ли сеанс автоматизированным, а в том, является ли стоящий за ним человек владельцем учетной записи и является ли это действие узнаваемым

При такой настройке результат выглядит так же, как у большинства ритейлеров: агент может просматривать каталог для клиента, но получает отказ при попытке совершить покупку. Это оставляет путь поиска открытым, применяет существующие средства контроля там, где вращаются деньги, и позволяет бизнесу менять решение по любой отдельной конечной точке, не пересматривая всю политику целиком.

Та же логика отвечает на вопрос, который мы слышим чаще всего: как разрешить конкретному агенту завершить покупку. Работающим решением является не исключение, прописанное под подпись, поскольку любая сущность, имитирующая эту подпись, наследует ее. Работают аутентификация и верификация. Как только агент доказывает, кто он такой, он получает собственную политику, в том числе при оформлении заказа, и бизнес может предоставить доступ проверенной стороне, а не шаблону.

Куда это движется: будущее агентной идентичности

Каждая часть этой проблемы проистекает из одного и того же недостающего элемента. Агент не может доказать, кто он или на кого он работает, поэтому сайты полагаются на выводы, а выводы не могут обеспечить принятие решений, задуманное бизнесом.

Этот элемент создается прямо сейчас. Web Bot Auth, черновик спецификации в Internet Engineering Task Force, который мы поддерживаем, позволяет агенту подписывать свои запросы, чтобы сайт мог криптографически проверить источник, вместо того чтобы доверять заголовку.

Visa's Trusted Agent Protocol опирается на тот же подход с использованием подписей для платежей, и мы интегрировали его, чтобы мерчанты могли определять, просматривает ли агент страницу или совершает платеж, и связывать этого агента с представляемым им потребителем. Know Your Agent, от Skyfire, добавляет уровень идентификации, который связывает агента с проверенной организацией или пользователем, и мы присоединились к экосистеме Experian Agent Trust вместе с этим. В июне 2026 года мы объединили эти компоненты в структуру безопасности агентов, охватывающую идентификацию, наблюдаемость, доверие и защиту на периферии.

Устранение разрыва: что нужно сделать операторам сегодня

Операторы агентов тоже играют свою роль. Любой оператор может зарегистрироваться в Akamai и пройти верификацию трафика, что превращает предполагаемую подпись в заявленную личность, на основе которой мерчанты могут формировать политику. Агенты, которых сегодня блокируют при оформлении заказа — это, по большей части, агенты, которые еще не сделали этого. Молчаливые агенты не могут быть безопасно пропущены, пока они этого не сделают.

Эта работа все еще продолжается, и тем временем предприятиям приходится управлять своими сайтами. Именно поэтому сейчас применяется регулирование на основе действий, а идентификация повышает планку по мере своего развития. Компания, которая уже отделила контент оформления заказа от входа в систему, сможет сказать «да» верифицированным агентам, когда верификация появится на ее периферии. Компания, которая все еще выбирает между «заблокировать все» и «разрешить все», начнет с нуля.

Четыре шага, которые нужно предпринять сейчас

Четыре шага, которые вы можете предпринять прямо сейчас, включают:

Узнайте, что уже доходит до вас

Узнайте, что уже доходит до вас

Установите политику для каждой конечной точки

Установите политику для каждой конечной точки

Сделайте верификацию путем к согласию

Сделайте верификацию путем к согласию

Держите дверь для просмотра открытой, пока идентификация догоняет процесс

Держите дверь для просмотра открытой, пока идентификация догоняет процесс

Узнайте, что уже доходит до вас

Разделите ваш ИИ-трафик по категориям и посмотрите, куда он попадает: на страницы контента, в систему входа, на оформление заказа или на изменение учетной записи. Большинство команд поражены объемами и тем, какая их часть продолжает отслеживаться без принятия каких-либо решений. Вы не можете настроить политику для трафика, который не измерили.

Установите политику для каждой конечной точки

Принимайте решения отдельно для просмотра, транзакций и аутентифицированных сеансов. Если ответ одинаков во всех трех случаях, это должно быть осознанным выводом, а не унаследованной настройкой.

Сделайте верификацию путем к согласию

Когда партнер или оператор-агент запрашивает доступ к вашему чекауту, ответом должны быть регистрация и подтвержденная личность, а не исключение для подписи. Направляйте операторов на процесс регистрации. Исключение, написанное под определенный шаблон, — это исключение для всего, что может скопировать этот шаблон.

Держите дверь для просмотра открытой, пока проверка личности догоняет процесс

Агенты, действующие от имени реальных клиентов, становятся все более популярным путем к вашему бизнесу, и цена исключения их из этапа поиска измеряется потерями в продажах, а не инцидентами. Держите оборону там, где перемещаются деньги, и оставляйте каталог доступным.

Готовьтесь к эпохе агентов

Компании, которые справятся с этим лучше всего, — это не те, кто угадал, каким агентам доверять. Это те, кто видел, что приближается, знал, какую часть этого они могут проверить, и мог действовать на одной конечной точке, не тревожа остальные.

Чтобы обсудить ваши текущие категории ИИ-трафика и политику транзакций, обратитесь к эксперту Akamai.