Rilevare gli agenti AI: come i browser di Claude, ChatGPT e Perplexity differiscono dagli esseri umani

Nel 2024 gli agenti AI sono passati dalle demo sperimentali al traffico di produzione. L'API Computer Use di Claude può guidare un browser. Gli strumenti di navigazione di ChatGPT esplorano i siti web per rispondere alle query. Il motore di risposta di Perplexity effettua crawling in tempo reale. E una categoria crescente di assistenti basati su AI — Browserbase, il Computer Use di Anthropic, OpenAI Operator — svolge attività web end-to-end per conto degli utenti.

Per un sito web, questo crea una nuova categoria di visitatore che non rientra in nessuna delle due caselle del rilevamento tradizionale dei bot. Gli agenti AI non sono scraper che estraggono dati su larga scala. Non sono esseri umani che cliccano in una UI. Sono qualcosa di intermedio — un visitatore per sessione, un obiettivo per visita, ma con esecuzione a velocità di macchina e precisione meccanica.

Rilevarli ha un significato diverso rispetto a rilevare i bot. A volte conviene servirli (un agente utile che fa acquisti per un cliente). A volte conviene bloccarli (scraping non autorizzato tramite un wrapper AI). In entrambi i casi, prima bisogna sapere che ci sono.

Come differiscono architetturalmente gli agenti AI

Tre architetture principali producono traffico di agenti AI sul web:

Gli agenti a guida browser eseguono un browser headless o headful controllato da un LLM. Il Computer Use di Anthropic, OpenAI Operator, Browserbase e Skyvern rientrano tutti qui. Il browser è un vero Chrome o Chromium. L'agente lo istruisce tramite manipolazione del DOM oppure tramite analisi degli screenshot e clic su coordinate.

Gli agenti solo API recuperano le pagine tramite librerie HTTP (Node.js, Python, Go) e passano l'HTML a un LLM per l'elaborazione. La maggior parte degli agenti di Perplexity e di quelli basati sulla ricerca funziona così. Non c'è alcun browser — solo un livello di fetching che alimenta un modello con testo.

Gli agenti ibridi usano un browser per i siti ricchi di JavaScript e il fetching via API per i contenuti statici. Molti agenti in produzione rientrano in questa categoria, scegliendo dinamicamente in base al bersaglio.

Ogni architettura lascia fingerprint diversi.

Segnale 1. Durata della sessione del browser

Gli utenti reali hanno sessioni lunghe e poco focalizzate. Aprono schede, si distraggono, tornano. La durata mediana di una sessione umana su un'attività decisionale è di 8–20 minuti.

Gli agenti AI hanno sessioni brevi e focalizzate. Un tipico task di Computer Use — prenotare un volo, ordinare la spesa, estrarre dati di prodotto — richiede da 30 secondi a 3 minuti end-to-end. La sessione inizia con il caricamento della pagina, esegue 5–30 azioni in sequenza e termina.

Una durata di sessione sotto i 5 minuti con più di 10 azioni discrete e nessun cambio di scheda del browser è un comportamento umano atipico e un comportamento tipico di un agente.

Segnale 2. Precisione dei clic sulle coordinate

Gli agenti a guida browser di Anthropic e OpenAI usano l'analisi degli screenshot per identificare gli elementi della UI, poi cliccano sulle coordinate. Il calcolo delle coordinate è preciso al pixel.

Gli utenti reali cliccano all'interno di regioni. Un pulsante di 200x40 pixel riceve clic distribuiti su tutta l'area, concentrati verso il centro ma con varianza umana. Gli agenti AI cliccano in una banda ristretta — spesso entro 2–3 pixel dal centro geometrico dell'elemento. Cento clic con deviazione media sotto i 3 pixel non sono una distribuzione umana.

Il rilevamento richiede la raccolta delle coordinate dei clic e la loro analisi rispetto ai confini degli elementi. Funziona bene sui dati a scala di sessione.

Segnale 3. Assenza di scrolling esplorativo

Gli esseri umani scorrono per vedere che cosa c'è in una pagina. Scorrono verso il basso, poi tornano su, poi a metà. Si soffermano sui contenuti che catturano la loro attenzione. Le loro tracce di scroll sono frastagliate.

Gli agenti AI scorrono solo quando necessario. Se l'obiettivo è cliccare su «Aggiungi al carrello» e il pulsante è nella parte visibile della pagina, l'agente può non scorrere affatto. Se l'elemento bersaglio è più in basso, l'agente scorre una volta sola, direttamente verso il bersaglio, poi esegue.

Le sessioni con meno di 2 cambi di direzione di scroll, o con velocità di scroll costante in tutti gli eventi di scroll, indicano una navigazione guidata dal task anziché un'esplorazione.

Segnale 4. Tempistica dell'input di testo

Gli utenti reali digitano a un ritmo di 30–60 parole al minuto, con pause variabili, cancellazioni occasionali e micro-correzioni. La tempistica dei tasti segue una distribuzione con alta varianza e un tasso di cancellazione diverso da zero.

Gli agenti AI compilano i moduli incollando valori o simulando la digitazione a cadenza fissa — spesso 50–100 caratteri al secondo, in modo uniforme, senza cancellazioni. Un campo compilato in 200ms con una stringa di 30 caratteri e zero backspace non è input umano.

Segnale 5. Assenza di refusi

Correlato ma distinto: gli esseri umani fanno refusi. In 1000 caratteri di testo digitato, gli utenti reali producono 15–40 correzioni. Gli agenti AI ne producono zero. L'invio di un modulo con 3 campi per un totale di 100+ caratteri e zero correzioni è insolito per un essere umano.

Segnale 6. Incoerenze dello user agent

Alcuni agenti AI usano user agent personalizzati che li identificano esplicitamente: perplexity-user, ChatGPT-User, ClaudeBot. Sono agenti «educati» che seguono la convenzione dell'auto-identificazione e spesso rispettano il robots.txt.

Qui il rilevamento è banale — leggere lo user agent e confrontarlo con le liste note. Il valore sta nel sapere quando servirli in modo diverso (o bloccarli, se non si desidera lo scraping).

Altri agenti eseguono framework a guida browser ed ereditano lo user agent che il browser usa — tipicamente Chrome. Questi sono più difficili da identificare dal solo user agent e richiedono segnali comportamentali.

Segnale 7. Rendering WebGL in modalità headless

Gli agenti a guida browser che usano Chromium in modalità headless espongono il renderer SwiftShader di cui abbiamo parlato nell'articolo su Puppeteer. Qualsiasi sessione in cui il renderer WebGL contiene SwiftShader e il visitatore esegue 10+ azioni deliberate è quasi certamente un agente AI a guida browser.

I framework di agenti più recenti (Browserbase, alcune configurazioni di Skyvern) eseguono Chrome headful per evitare questo segnale. Presentano stringhe GPU reali. Questo significa che WebGL da solo non basta a rilevare gli agenti moderni — necessario come filtro iniziale, non come soluzione completa.

Segnale 8. Aderenza perfetta alla struttura della pagina

Gli utenti reali cliccano sui link anche mentre è in corso un redirect di pagina. Si interrompono da soli. Fanno doppio clic quando ne basterebbe uno. Cliccano su cose che non sono link.

Gli agenti AI seguono il DOM. Quando vogliono navigare, emettono un'azione contro un elemento specifico. Non cliccano sull'elemento sbagliato né ricaricano a metà caricamento. Le loro sessioni si svolgono con una linearità meccanica che nessun essere umano distratto produce.

Le tracce di sessione con aderenza perfetta — ogni clic su un elemento valido, ogni campo del modulo compilato nell'ordine del DOM, ogni transizione di pagina preceduta da un'azione intenzionale — si leggono come guidate da un agente.

Segnale 9. Time-to-interactive pari a zero

Gli utenti reali hanno bisogno di tempo per elaborare una pagina. Leggono. Scorrono con lo sguardo. Capiscono prima di agire.

Gli agenti AI analizzano il DOM istantaneamente. Il tempo tra il completamento del caricamento della pagina e la prima azione dell'utente, per un utente reale, è tipicamente di 1,5–4 secondi anche su pagine semplici. Per gli agenti AI può essere sotto i 200ms — il tempo che serve all'LLM per identificare l'elemento bersaglio nel DOM.

Un tempo di prima azione molto rapido su una pagina che richiede la comprensione del contenuto è un forte segnale di agente.

Segnale 10. Pattern di fetch HTTP per gli agenti solo API

Perplexity, alcuni flussi di tool-use di Claude e la maggior parte degli agenti basati sulla ricerca non eseguono browser. Recuperano le pagine direttamente tramite librerie HTTP.

Questi agenti lasciano i segnali TLS e HTTP di cui abbiamo parlato in precedenza — il fingerprint di undici di Node.js, quello di requests di Python, quello di net/http di Go. Tipicamente non eseguono JavaScript, quindi non attivano affatto il rilevamento lato client.

Il rilevamento degli agenti solo API avviene a livello di rete: hash TLS JA4, ordine degli header HTTP, comportamenti specifici del browser assenti (nessun fetch della favicon, nessun beacon di analytics, nessuna richiesta di font). Per identificare questi agenti bisogna guardare tanto a ciò che non accade quanto a ciò che accade.

Segnale 11. Obiettivi di sessione a forma di task

Il segnale più forte non è tecnico — è comportamentale. Le sessioni degli agenti AI sono orientate all'obiettivo in modi in cui le sessioni umane lo sono raramente.

Un utente reale che cerca un prodotto può guardare 8 articoli, confrontare le specifiche su 3 schede, leggere le recensioni, abbandonare e tornare un'ora dopo, poi comprare. Un agente AI va al prodotto, estrae le specifiche, aggiunge al carrello, completa il checkout. In meno di 90 secondi. Senza deviazioni.

I sistemi di rilevamento che tracciano i tassi di completamento degli obiettivi a livello di sessione possono identificare il traffico di agenti dalla densità di task completati con successo in sessioni brevi. È un segnale più lento ma altamente affidabile quando combinato con i segnali per singola azione.

Servire gli agenti in modo differenziato

Una volta identificato, il traffico di agenti AI può essere gestito in diversi modi:

• Bloccare — se il sito non vuole accesso automatizzato, negare all'edge. Economico e semplice.

• Servire contenuti alternativi — rispondere con una versione ottimizzata per API (JSON, dati strutturati) più economica da generare della pagina HTML completa.

• Limitare la frequenza — consentire gli agenti ma vincolarne il tasso di richieste per preservare le prestazioni del sito.

• Far pagare — alcuni siti stanno iniziando a far pagare alle aziende AI l'accesso programmatico ai propri dati. Il rilevamento è il prerequisito della fatturazione.

• Servire normalmente — se l'agente agisce per conto di un cliente reale, servirlo è business.

Siti diversi faranno scelte diverse. Ciò che conta tecnicamente è avere il rilevamento in atto perché la scelta sia disponibile.

Il bersaglio in movimento

I framework di agenti AI migliorano ogni mese. Anthropic rilascia aggiornamenti di Computer Use che aggiungono varianza di scroll. Browserbase aggiunge jitter del mouse. OpenAI Operator introduce la simulazione dei refusi. Ogni generazione di framework chiude una parte della superficie di rilevamento descritta sopra.

Le tecniche che funzionano nel 2026 dovranno essere aggiornate entro il 2027. Ma la realtà di fondo non cambierà: gli agenti AI eseguono task. Gli esseri umani vivono i siti web. Quell'asimmetria produce segnale, qualunque siano le tecniche specifiche con cui gli agenti cercano di mimetizzarsi.

Gli stack di rilevamento che trattano gli agenti AI come una categoria persistente e in evoluzione — anziché come un problema risolto una volta per tutte — manterranno la visibilità. Quelli che rilasciano un singolo rilevatore e passano oltre vedranno la propria copertura degradarsi silenziosamente.