AI agenti jsou nový vektor podvodů. Zde je důvod, proč je vaše detekce nejspíš přehlíží.

Po většinu posledního desetiletí znamenala „detekce botů“ odlišení automatizace od lidí. Signál byl jasný, protože rozdíl byl velký: boti neměli žádný chvějivý pohyb myši, žádné pauzy na čtení, žádné povědomí o kontextu. Byli zřejmí, pokud jste věděli, kam se dívat.

Tato mezera se uzavírá. Kategorie hrozeb, kterou fraud týmy potřebují v roce 2026 pochopit, je agent poháněný LLM — automatizace postavená na velkých jazykových modelech, která umí číst, uvažovat, rozhodovat se a jednat způsoby, jež se lidskému myšlení podobají více než kterákoli předchozí generace botů. Detekční signály, které fungovaly proti botům založeným na skriptech, jsou proti agentům trénovaným na lidském chování výrazně méně účinné.

Nejde o spekulaci o budoucí hrozbě. Provoz řízený agenty už je ve vašich fraud lozích, většinou nesprávně označený buď jako „reální uživatelé“, nebo jako „sofistikovaní boti“. Skladba tohoto provozu se mění. Detekční přístupy, které obstojí, vyžadují jiný architektonický model, než jaký většina platforem nasazuje.

Tento článek je pro lídry v oblasti bezpečnosti a produktu, kteří se snaží pochopit, co je na automatizaci řízené agenty skutečně jiné, proč na tom pro obranu proti podvodům záleží a jaké detekční vzory proti ní fungují.

Co je AI agent v kontextu podvodů ve skutečnosti

Slovní spojení „AI agent“ se používá volně. V kontextu podvodů je smysluplná definice taková: automatizace, která splňuje tři kritéria:

• Je řízená jazykovým modelem (GPT-4, Claude, Gemini nebo podobným) pro rozhodování, nikoli napevno naprogramovanými skripty.
• Provozuje reálné prohlížečové prostředí — obvykle headless nebo headed instanci Chrome, Firefox nebo Safari, často běžící na cloudové infrastruktuře navržené pro automatizaci prohlížečů.
• Dokáže se přizpůsobit neočekávaným stavům stránky — chybovým hláškám, změnám rozvržení, dalším ověřovacím krokům — aniž by vývojář musel aktualizovat skript.

Tato kombinace se kvalitativně liší od starší automatizace. Bot založený na skriptu, který následuje nahrané makro, selže ve chvíli, kdy se stránka změní. Agent stránku přečte, pochopí, na co se dívá, a upraví svůj postup. První generace byla postavena pro legitimní účely (webový výzkum, testování přístupnosti, automatizované prohlížení). Druhá generace zahrnuje operátory, kteří tyto nástroje aplikují na podvody ve velkém měřítku.

Proč jsou staré detekční signály proti agentům slabší

Tradiční sada nástrojů pro detekci botů se opírá o signály, které odlišují automatizaci od lidí. Agenti mění sílu každého z těchto signálů.

Behaviorální signály. Entropie pohybu myši, dynamika stisků kláves, vzorce scrollování. Reální lidé mají přirozenou variabilitu — chvění, váhání, opravování chyb. Boti založení na skriptech mají buď žádnou variabilitu (dokonale rovné linie, okamžité vyplnění formulářů), nebo generovanou variabilitu, kterou lze statisticky odhalit.

Agenti ovládající reálné prohlížeče mají tendenci produkovat vzorce více připomínající lidi. Používají skutečnou simulaci vstupu prohlížeče, často randomizovanou. Zpracování stránek jim „čtení“ zabere čas, protože podkladový model musí zpracovat vizuální obsah nebo obsah DOM. Behaviorální signál je stále přítomen, ale je zašuměnější a jeho extrakce vyžaduje sofistikovanější analýzu.

CAPTCHA. Moderní služby na řešení CAPTCHA byly vždy schopny porazit CAPTCHA ve velkém měřítku za zhruba 0,001 USD za jednu výzvu. Agenti to zvládají nativně. Obecný GPT-4o nebo Claude se může podívat na obrázkovou CAPTCHA a s vysokou přesností určit, kam kliknout. Obranná hodnota CAPTCHA proti agentům je téměř nulová.

Velocity pravidla. Pevné prahy na počet akcí za minutu. Boti založení na skriptech je bývají porušují agresivně, protože optimalizace na rychlost je celý smysl jejich existence. Agenti se záměrně zpomalují, protože jejich podkladový model je trénován na lidském chování, které má přirozené tempo. Velocity pravidla zachytí agenty jen tehdy, když jsou nakonfigurováni na vysokoobjemové operace.

Jednoduchý fingerprinting. Statické seznamy canvas hashů, fontů, řetězců User-Agent. Agenti provozující reálné prohlížeče produkují u všech těchto položek legitimní hodnoty. Fingerprint vypadá správně, protože správný je — agent používá reálný prohlížeč a prohlížeč hlásí to, čím skutečně je.

Vzorec je jasný: signály založené na tom, že „automatizace vypadá jinak než lidé“, slábnou s tím, jak automatizace stále více připomíná lidi.

Signály, které stále fungují

Detekce proti agentům vyžaduje signály, které automatizace nedokáže snadno skrýt bez ohledu na to, jak lidsky vypadá její povrchové chování.

Signatury na síťové vrstvě. Agenti obvykle běží na cloudové infrastruktuře: AWS, GCP, Azure nebo specializovaných službách pro automatizaci prohlížečů. Rozsahy IP adres jsou identifikovatelné. TCP/TLS fingerprinty se liší od spotřebitelských ISP. Serverově pozorovatelné signály zachytí většinu agentního provozu bez ohledu na to, co tvrdí klientská strana.

Dodavatelé provozující konkrétně produkty typu browser-as-a-service (Browserbase, Anchor, Steel.dev a další) mají identifikovatelné síťové signatury. Reální uživatelé z rezidenčních ISP vypadají na síťové vrstvě jinak než agenti běžící v cloudových prostředích. Toto je v roce 2026 nejspolehlivější jednotlivý signál.

Jemné device fingerprinty. Reálná GPU produkují vzorce s plovoucí desetinnou čárkou, které je těžké napodobit pixel po pixelu. Virtualizovaná prostředí a cloudové GPU instance produkují mírně odlišné vzorce. AudioContext fingerprinting odhaluje rozdíly ve zpracování zvuku mezi fyzickým a virtualizovaným hardwarem. Odchylka hodin v reálném čase se liší mezi spotřebitelskými zařízeními v lokální síti a cloudovými instancemi synchronizovanými s vysoce kvalitními NTP servery.

Každý jednotlivý signál je malý. V kombinaci napříč více než 130 sondami vytvářejí ucelený obraz: „toto vypadá jako reálné spotřebitelské zařízení“ oproti „toto vypadá jako prohlížečové prostředí hostované v cloudu, bez ohledu na to, co tvrdí User-Agent“.

Propojování napříč relacemi. Operace agentů často zahrnují jeden podkladový systém ovládající mnoho relací. I když má každá relace unikátní device fingerprint, behaviorální korelace napříč relacemi (identické časové vzorce, identické rozhodování, identická reakce na chyby) odhalují koordinaci.

Serverové kontroly koherence. Agenti mohou podvrhnout kterýkoli jednotlivý signál. Udržet koherenci napříč všemi signály je dramaticky obtížnější. Pokud JavaScriptové prostředí tvrdí „Chrome 120 na macOS“, ale síťový fingerprint indikuje Linuxový server v AWS, jde o nekonzistenci, do níž klient nemá vhled, a proto ji nemůže opravit.

Polymorfní detekce. Klientský detekční kód, který se denně mění, upírá agentům možnost se na něj předem natrénovat. Statické sondy jsou reverzně analyzovány; rotující sondy nikoli.

Architektonický vzorec: více slabých signálů v kombinaci s kontrolou koherence poráží jakýkoli jednotlivý silný signál. Jednotlivé silné signály bývají poraženy. Kombinace padesáti slabých signálů s požadavky na koherenci mezi nimi odolává obcházení mnohem déle.

Jak vypadají útoky řízené agenty v praxi

Tři vzorce, které v provozu roku 2026 pozorujeme:

Vzorec 1: Farmaření na zakládání účtů. Agenti zakládají účty ve velkém měřítku, dokončují ověření e-mailu, KYC kroky a počáteční onboarding do produktu. Každý účet je určen k následné extrakci hodnoty: čerpání bonusů, zneužívání free tier, farmaření airdropů, scraping obsahu. Agent odvádí práci, která dříve vyžadovala buď hrubé skripty (snadno zachytitelné), nebo lidskou práci (drahé).

Finanční jednotková ekonomika hraje ve prospěch útočníka. Operace s agenty může na běžné cloudové infrastruktuře provozovat 1 000 souběžných prohlížečových relací za méně než 50 USD za hodinu. Každý úspěšný účet má nějakou hodnotu (50–500 € u uvítacích bonusů v iGamingu, 10–100 USD u zneužití SaaS free tier, mnohem více u kryptoairdropů). Marginální náklady na jeden účet se blíží nule, zatímco marginální hodnota zůstává významná.

Vzorec 2: Credential stuffing s adaptivní logikou. Starší nástroje pro credential stuffing bombardují přihlašovací endpointy páry přihlašovacích údajů rychlostí hrubé síly. Moderní přístupy řízené agenty testují opatrněji, zvládají CAPTCHA, když se objeví, přecházejí do obnovovacích toků, když počáteční přihlášení selže, a s každým „úspěšným“ přihlašovacím údajem zacházejí opatrněji, aby nespustily agresivní obranu.

Míra úspěšnosti na jeden přihlašovací údaj je podobná jako u starších technik. Obtížnost detekce je vyšší, protože agent nevypadá jako operace hrubou silou — vypadá jako řada normálních pokusů o přihlášení s normálním tempem.

Vzorec 3: Zneužívání promo kódů a scraping obsahu. Nejpomalejší útoky agentů. Agent navštíví produktové stránky, aplikuje promo kódy, zachytí ceny, zachytí obsah a odejde. Objem na jednu IP adresu je skromný. Objem na jednu relaci je malý. Signál je jemný, ale agregátní náklady — ztráta konkurenčního zpravodajství, vyčerpání promo rozpočtu, krádež obsahu — jsou významné.

Tyto tři vzorce sdílejí společnou obrannou výzvu: signatura na úrovni jednotlivé akce vypadá lidsky. Detekce vyžaduje buď pohled na agregátní vzorce napříč mnoha relacemi, nebo pohled na hlubší vrstvy (síť, hardware, koherence), které agent nedokáže snadno podvrhnout.

Co to znamená pro váš tým

Tři pozorování, na kterých záleží bez ohledu na typ platformy:

Pozorování 1: Skóre detekce botů, která jste sledovali, mohou skutečnou hrozbu podhodnocovat. Většina platforem měří „provoz botů“ pomocí signálů, které agentní provoz nespouští. Skóre v mnoha platformách klesá nebo zůstává ploché ne proto, že by se hrozba zmenšovala, ale proto, že měření tuto novou kategorii přehlíží.

Pozorování 2: Dodavatelé postavení na starých modelech signálů jsou zranitelní. Pokud marketing vašeho detekčního dodavatele zdůrazňuje behaviorální analýzu jako hlavní odlišovací prvek, položte tvrdé otázky, jak jejich architektura zvládá agentní provoz. Mnoho dodavatelů je v této kategorii měsíce nebo roky pozadu.

Pozorování 3: Správná architektura není jediná vrstva. Detekce na síťové vrstvě samotná přehlíží agenty běžící na rezidenční proxy infrastruktuře. Detekce na úrovni zařízení samotná přehlíží agenty běžící na fyzickém hardwaru. Obranyschopná architektura kombinuje vrstvy s kontrolou koherence.

Platformy, které tento přechod zvládají dobře, sdílejí jeden vzorec: svou detekci berou jako průběžnou schopnost, ne jako nasazený produkt. Měří čtvrtletně, ladí pravidla měsíčně a mají s dodavatelem detekce vztah, který zahrnuje průběžné R&D, nikoli statickou SaaS smlouvu.

Následujících 18 měsíců

Tři předpovědi o tom, jak se tato kategorie vyvíjí:

Předpověď 1: Podíl agentního provozu roste. Z jednotek procent v roce 2025 směrem k dvouciferným procentům do konce roku 2026. Ekonomické pobídky nahrávají expanzi: náklady na infrastrukturu agentů dále klesají, schopnosti agentů se dále zlepšují a hodnota automatizovaných podvodů nadále přitahuje investice.

Předpověď 2: Vznikají specializované agentní platformy. Obecná automatizace založená na LLM je první vlna. Druhou vlnou jsou účelově postavení agenti pro konkrétní kategorie podvodů: agenti na farmaření bonusů, agenti na credential stuffing, agenti na farmaření airdropů. Každý je optimalizován pro svůj konkrétní cíl a hůře se detekuje než univerzální agenti.

Předpověď 3: Reakce obránců se konsoliduje kolem konkrétních architektonických vzorců. Standardem se stává vícevrstvá detekce s kontrolou koherence napříč vrstvami a polymorfním klientským kódem. Dodavatelé, kteří tuto architekturu v následujících 18 měsících nedodají, se stanou nekonkurenceschopnými vůči těm, kteří ji dodají.

Okno pro předstižení této hrozby je zhruba oněch 18 měsíců. Platformy, které nasadí účinnou detekci v rané části tohoto okna, to mají snazší než platformy, které vyčkávají, dokud agentní provoz neovládne jejich hrozbový povrch, a pak musí detekci dodatečně přizpůsobovat.

Kde do toho zapadá Tracio

Detekce agentů je jednou z hlavních R&D investic Tracia v roce 2026. Architektura pokrývá vrstvy signálů, které proti agentům obstojí: síťové signatury (včetně známých prohlížečových prostředí hostovaných v cloudu), kontroly koherence zařízení (zachycení virtualizovaného hardwaru bez ohledu na deklarované prostředí), behaviorální biometrii (submilisekundové vzorce, které odlišují i sofistikované agenty) a sdílení signálů napříč zákazníky (zachycení koordinovaných kampaní zasahujících více platforem).

Vrstva polymorfního JavaScriptu upírá agentům možnost předem natrénovat obcházení proti statickým sondám. Serverový verdikt integruje všechny signály a doručuje rozhodnutí ALLOW, CHALLENGE nebo BLOCK za méně než 50 milisekund, s přiloženým zdůvodněním, aby si jej váš tým mohl ověřit a doladit.

Nasazení je rychlé: jeden SDK na stránce, jedno serverové ověřovací volání v každém kritickém rozhodovacím bodě. Free tier pokrývá 2 500 ověření měsíčně — dost na to, aby proběhl smysluplný pilot a bylo vidět, co je ve vašem provozu skutečně.

Zajímá vás, jaké procento vašeho provozu je řízeno agenty?

Spusťte bezplatnou zkušební verzi

— 2 500 ověření zdarma, bez platební karty.

Rezervujte si demo

a projděte si svůj konkrétní hrozbový povrch a získejte základní odhad agentního provozu na vaší platformě.