AI-agents zijn de nieuwe fraudevector. Dit is waarom je detectie ze waarschijnlijk mist.

Het grootste deel van het afgelopen decennium betekende "bot detection" het onderscheiden van automatisering en mensen. Het signaal was helder omdat het verschil groot was: bots hadden geen muisjitter, geen leespauzes, geen contextueel besef. Ze waren overduidelijk als je wist waar je moest kijken.

Dat verschil wordt kleiner. De dreigingscategorie die fraudeteams in 2026 moeten begrijpen is de LLM-gedreven agent — automatisering gebouwd op large language models die kunnen lezen, redeneren, beslissen en handelen op een manier die dichter bij menselijke cognitie ligt dan welke eerdere generatie bots dan ook. De detectiesignalen die tegen scriptgebaseerde bots werkten, zijn tegen agents die op menselijk gedrag getraind zijn merkbaar minder effectief.

Dit is geen speculatie over een toekomstige dreiging. Agent-gedreven verkeer zit al in je fraudelogs, meestal verkeerd gelabeld als ofwel "echte gebruikers" ofwel "geavanceerde bots". De samenstelling van dit verkeer verandert. De detectieaanpakken die standhouden vragen om een ander architectuurmodel dan wat de meeste platforms uitrollen.

Dit stuk is bedoeld voor security- en productleiders die willen begrijpen wat er werkelijk anders is aan agent-gedreven automatisering, waarom het ertoe doet voor fraudebestrijding en welke detectiepatronen ertegen werken.

Wat een AI-agent in de context van fraude eigenlijk is

De term "AI-agent" wordt losjes gebruikt. In de fraudecontext is de betekenisvolle definitie automatisering die aan drie criteria voldoet:

• Aangedreven door een language model (GPT-4, Claude, Gemini of vergelijkbaar) voor besluitvorming in plaats van hard-coded scripts.
• Werkend in een echte browseromgeving — meestal een headless of headed instance van Chrome, Firefox of Safari, vaak draaiend op cloudinfrastructuur die voor browserautomatisering is ontworpen.
• In staat om zich aan te passen aan onverwachte paginatoestanden — foutmeldingen, layoutwijzigingen, extra verificatiestappen — zonder dat een ontwikkelaar het script hoeft bij te werken.

Deze combinatie is kwalitatief anders dan oudere automatisering. Een scriptgebaseerde bot die een opgenomen macro volgt faalt op het moment dat een pagina verandert. Een agent leest de pagina, begrijpt wat hij ziet en past zijn aanpak aan. De eerste generatie werd gebouwd voor legitieme use cases (web research, accessibility testing, geautomatiseerd browsen). De tweede generatie omvat operators die deze tools op grote schaal op fraude toepassen.

Waarom oude detectiesignalen zwakker zijn tegen agents

De traditionele bot-detection-toolkit leunt op signalen die automatisering van mensen onderscheiden. Agents veranderen de sterkte van elk signaal.

Behavioral signalen. Muisbewegingsentropie, keystroke dynamics, scrollpatronen. Echte mensen hebben natuurlijke variatie — jitter, aarzeling, foutcorrectie. Scriptgebaseerde bots hebben ofwel geen variatie (perfect rechte lijnen, instant ingevulde formulieren) ofwel gegenereerde variatie die statistisch detecteerbaar is.

Agents die echte browsers besturen produceren doorgaans meer mensachtige patronen. Ze gebruiken de echte input-simulatie van de browser, vaak gerandomiseerd. Ze nemen de tijd om pagina's te "lezen" omdat het onderliggende model visuele of DOM-content moet verwerken. Het behavioral signaal is er nog steeds, maar het is ruiziger en vereist geavanceerdere analyse om eruit te halen.

CAPTCHA. Moderne CAPTCHA-oplosdiensten hebben CAPTCHA's altijd al op grote schaal kunnen verslaan voor ongeveer $0,001 per challenge. Agents doen het native. Generieke GPT-4o of Claude kan naar een op afbeeldingen gebaseerde CAPTCHA kijken en met hoge nauwkeurigheid bepalen wat er aangeklikt moet worden. De defensieve waarde van CAPTCHA tegen agents is bijna nul.

Velocity-regels. Vaste drempels op acties per minuut. Scriptgebaseerde bots overtreden deze doorgaans agressief omdat optimaliseren voor snelheid het hele punt is. Agents vertragen bewust omdat hun onderliggende model op menselijk gedrag getraind is, dat een natuurlijk tempo heeft. Velocity-regels vangen agents alleen wanneer ze voor high-volume operaties geconfigureerd zijn.

Simpele fingerprinting. Statische lijsten van canvas-hashes, fonts, User-Agent-strings. Agents die echte browsers draaien produceren voor al deze zaken legitieme waarden. De fingerprint ziet er correct uit omdat hij correct is — de agent gebruikt een echte browser, en de browser rapporteert wat hij werkelijk is.

Het patroon: signalen gebaseerd op "automatisering ziet er anders uit dan mensen" verzwakken naarmate automatisering meer op mensen gaat lijken.

De signalen die nog steeds werken

Detectie tegen agents vereist signalen die automatisering niet gemakkelijk kan verbergen, ongeacht hoe mensachtig het oppervlakkige gedrag lijkt.

Signaturen op netwerkniveau. Agents draaien doorgaans op cloudinfrastructuur: AWS, GCP, Azure of gespecialiseerde browserautomatiseringsdiensten. De IP-ranges zijn identificeerbaar. De TCP/TLS-fingerprints verschillen van consumenten-ISP's. Server-side waarneembare signalen vangen het meeste agent-verkeer, ongeacht wat de client-side beweert.

De vendors die specifiek browser-as-a-service-producten aanbieden (Browserbase, Anchor, Steel.dev en anderen) hebben identificeerbare netwerksignaturen. Echte gebruikers vanaf residentiële ISP's zien er op netwerkniveau anders uit dan agents die in cloudomgevingen draaien. Dit is het meest betrouwbare signaal van 2026.

Subtiele device fingerprints. Echte GPU's produceren floating-point-patronen die pixel-perfect moeilijk te vervalsen zijn. Gevirtualiseerde omgevingen en cloud-GPU-instances produceren licht afwijkende patronen. AudioContext-fingerprinting onthult verschillen in audioverwerking tussen fysieke hardware en gevirtualiseerde hardware. Real-time clock skew verschilt tussen consumentenapparaten op een lokaal netwerk en cloud-instances die met hoogwaardige NTP-servers gesynchroniseerd zijn.

Elk afzonderlijk signaal is klein. Gecombineerd over 130+ probes vormen ze een coherent beeld: "dit lijkt op een echt consumentenapparaat" versus "dit lijkt op een cloud-gehoste browseromgeving, ongeacht wat de User-Agent beweert".

Cross-session linking. Agent-operaties omvatten vaak één onderliggend systeem dat vele sessies aanstuurt. Zelfs wanneer elke sessie een unieke device fingerprint heeft, onthullen behavioral correlaties tussen sessies (identieke timingpatronen, identieke besluitvorming, identieke respons op fouten) de coördinatie.

Server-side coherentiechecks. Agents kunnen elk afzonderlijk signaal spoofen. Coherentie over alle signalen heen bewaren is dramatisch moeilijker. Als de JavaScript-omgeving "Chrome 120 op macOS" beweert, maar de netwerkfingerprint wijst op een Linux-server in AWS, dan is dat een inconsistentie die de client niet kan zien en dus niet kan corrigeren.

Polymorfe detectie. Client-side detectiecode die dagelijks verandert, ontneemt agents de mogelijkheid om er vooraf op te trainen. Statische probes worden reverse-engineered; roterende probes niet.

Het architectuurpatroon: meerdere zwakke signalen, gecombineerd met coherentiechecks, verslaan elk afzonderlijk sterk signaal. Afzonderlijke sterke signalen worden verslagen. De combinatie van vijftig zwakke signalen met coherentie-eisen daartussen weerstaat ontwijking veel langer.

Hoe agent-gedreven aanvallen er in de praktijk uitzien

Drie patronen die we in het verkeer van 2026 waarnemen:

Patroon 1: Account creation farming. Agents maken op grote schaal accounts aan, waarbij ze e-mailverificatie, KYC-stappen en initiële product-onboarding voltooien. Elk account is bedoeld voor downstream waarde-extractie: bonusclaiming, exploitatie van free tiers, airdrop farming, content scraping. De agent doet het werk dat voorheen ofwel grove scripts (makkelijk gevangen) ofwel menselijke arbeid (duur) vereiste.

De financiële unit economics zijn in het voordeel van de aanvaller. Een agent-operatie kan 1.000 gelijktijdige browsersessies draaien op commodity cloudinfrastructuur voor minder dan $50 per uur. Elk geslaagd account is een bepaalde waarde waard (€50–500 voor iGaming-welkomstbonussen, $10–100 voor exploitatie van SaaS free tiers, veel hoger voor crypto-airdrops). De marginale kosten per account naderen nul terwijl de marginale waarde betekenisvol blijft.

Patroon 2: Credential stuffing met adaptieve logica. Oudere credential-stuffing-tools vuren credentialparen met brute-force-snelheid af op login-endpoints. Moderne agent-gedreven aanpakken testen zorgvuldiger, handelen CAPTCHA af wanneer die verschijnt, navigeren naar recovery-flows wanneer de initiële login mislukt, en gaan zorgvuldiger om met elke "geslaagde" credential om agressieve verdediging niet te triggeren.

Het succespercentage per credential is vergelijkbaar met oudere technieken. De detectiemoeilijkheid is hoger omdat de agent er niet uitziet als een brute-force-operatie — het lijkt op een reeks normale loginpogingen met een normaal tempo.

Patroon 3: Misbruik van promotiecodes en content scraping. De traagste agent-aanvallen. De agent bezoekt productpagina's, past promotiecodes toe, legt prijzen vast, legt content vast, en vertrekt. Het volume per IP is bescheiden. Het volume per sessie is klein. Het signaal is subtiel, maar de totale kosten — verlies van concurrentie-intelligentie, uitputting van promotiebudget, contentdiefstal — zijn significant.

Deze drie patronen delen een gemeenschappelijke defensieve uitdaging: de signatuur per actie ziet er menselijk uit. Detectie vereist ofwel het kijken naar aggregaatpatronen over vele sessies, ofwel het kijken naar de diepere lagen (netwerk, hardware, coherentie) die de agent niet gemakkelijk kan vervalsen.

Wat dit voor je team betekent

Drie observaties die ertoe doen, ongeacht het platformtype:

Observatie 1: De bot-detection-scores die je hebt bijgehouden onderschatten mogelijk de werkelijke dreiging. De meeste platforms meten "botverkeer" met signalen die agent-verkeer niet triggert. De score daalt of blijft in veel platforms vlak, niet omdat de dreiging krimpt maar omdat de meting de nieuwe categorie mist.

Observatie 2: Vendors gebouwd op oude signaalmodellen zijn kwetsbaar. Als de marketing van je detectievendor behavioral analyse als de primaire onderscheidende factor benadrukt, stel dan harde vragen over hoe hun architectuur met agent-verkeer omgaat. Veel vendors lopen maanden of jaren achter op deze categorie.

Observatie 3: De juiste architectuur is geen enkele laag. Detectie op enkel netwerkniveau mist agents die op residentiële proxy-infrastructuur draaien. Detectie op enkel device-niveau mist agents die op fysieke hardware draaien. De verdedigbare architectuur combineert lagen met coherentiechecks.

De platforms die deze overgang goed aanpakken delen een patroon: ze behandelen hun detectie als een doorlopende capaciteit in plaats van een uitgerold product. Ze meten per kwartaal, tunen regels per maand, en hebben een relatie met hun detectievendor die doorlopende R&D omvat in plaats van een statisch SaaS-contract.

De komende 18 maanden

Drie voorspellingen over hoe deze categorie zich ontwikkelt:

Voorspelling 1: Het aandeel agent-verkeer groeit. Van percentages in enkele cijfers in 2025 richting dubbele cijfers tegen eind 2026. De economische prikkels bevorderen uitbreiding: de kosten van agent-infrastructuur blijven dalen, de capaciteit van agents blijft verbeteren, en de waarde van geautomatiseerde fraude blijft investeringen aantrekken.

Voorspelling 2: Gespecialiseerde agent-platforms verschijnen. Generieke LLM-gebaseerde automatisering is de eerste golf. De tweede golf zijn doelgerichte agents voor specifieke fraudecategorieën: bonus-farming-agents, credential-stuffing-agents, airdrop-farming-agents. Elk is geoptimaliseerd voor zijn specifieke doel en moeilijker te detecteren dan algemene agents.

Voorspelling 3: De respons van verdedigers consolideert rond specifieke architectuurpatronen. Multi-layer detectie met cross-layer coherentiechecks en polymorfe client-side code wordt de standaard. Vendors die deze architectuur niet in de komende 18 maanden uitbrengen worden niet-concurrerend tegenover vendors die dat wel doen.

Het venster om deze dreiging voor te blijven is ongeveer die periode van 18 maanden. Platforms die effectieve detectie in het vroege deel van het venster uitrollen hebben een makkelijker pad dan platforms die wachten tot agent-verkeer hun dreigingsoppervlak domineert en het dan achteraf moeten inbouwen.

Waar Tracio past

Agent-detectie is een van de belangrijkste R&D-investeringen voor Tracio in 2026. De architectuur dekt de signaallagen die tegen agents standhouden: netwerksignaturen (inclusief bekende cloud-gehoste browseromgevingen), device-coherentiechecks (die gevirtualiseerde hardware vangen ongeacht de geclaimde omgeving), behavioral biometrics (sub-milliseconde patronen die zelfs geavanceerde agents nog steeds onderscheiden) en cross-customer signaaldeling (die gecoördineerde campagnes vangt die meerdere platforms bestrijken).

De polymorfe JavaScript-laag ontneemt agents de mogelijkheid om ontwijkingen vooraf te trainen tegen statische probes. Het server-side verdict integreert alle signalen en levert in minder dan 50 milliseconden een ALLOW-, CHALLENGE- of BLOCK-beslissing, met de redenering erbij zodat je team kan verifiëren en tunen.

Uitrol is snel: één SDK op de pagina, één server-side verify-call bij elk kritiek beslissingspunt. De free tier dekt 2.500 verificaties per maand — genoeg om een betekenisvolle pilot te draaien en te zien wat er werkelijk in je verkeer zit.

Benieuwd welk percentage van je verkeer agent-gedreven is?

Start je gratis proefperiode

— 2.500 verificaties gratis, geen creditcard.

Boek een demo

om je specifieke dreigingsoppervlak door te nemen en een baseline-schatting van agent-verkeer op je platform te krijgen.