Agenty AI to nowy wektor oszustw. Oto dlaczego Twój system detekcji prawdopodobnie ich nie wychwytuje.

Przez większość ostatniej dekady „bot detection” oznaczało odróżnianie automatyzacji od ludzi. Sygnał był wyraźny, bo przepaść była duża: boty nie miały drżenia myszy, pauz na czytanie ani świadomości kontekstu. Były oczywiste, jeśli wiedziałeś, gdzie patrzeć.

Ta przepaść się zamyka. Kategorią zagrożeń, którą zespoły ds. fraudu muszą zrozumieć w 2026 roku, jest agent oparty na LLM — automatyzacja zbudowana na dużych modelach językowych, która potrafi czytać, rozumować, decydować i działać w sposób bliższy ludzkiemu poznaniu niż jakakolwiek wcześniejsza generacja botów. Sygnały detekcji, które działały przeciwko botom opartym na skryptach, są zauważalnie mniej skuteczne wobec agentów wytrenowanych na ludzkim zachowaniu.

To nie są spekulacje o przyszłym zagrożeniu. Ruch generowany przez agenty jest już w Twoich logach fraudowych, w większości błędnie oznaczony jako „prawdziwi użytkownicy” albo „zaawansowane boty”. Skład tego ruchu się zmienia. Podejścia do detekcji, które się bronią, wymagają innego modelu architektonicznego niż ten, który wdraża większość platform.

Ten materiał jest dla liderów bezpieczeństwa i produktu, którzy próbują zrozumieć, co naprawdę jest inne w automatyzacji sterowanej przez agenty, dlaczego ma to znaczenie dla obrony przed fraudem i jakie wzorce detekcji przeciwko niej działają.

Czym jest agent AI w kontekście fraudu

Wyrażenie „agent AI” bywa używane luźno. W kontekście fraudu sensowna definicja to automatyzacja, która spełnia trzy kryteria:

• Napędzana modelem językowym (GPT-4, Claude, Gemini lub podobnym) w podejmowaniu decyzji, a nie zakodowanymi na sztywno skryptami.
• Operująca w środowisku prawdziwej przeglądarki — zwykle jest to instancja Chrome, Firefox lub Safari (headless lub z interfejsem), często działająca na infrastrukturze chmurowej zaprojektowanej pod automatyzację przeglądarek.
• Zdolna do adaptacji do nieoczekiwanych stanów strony — komunikatów o błędach, zmian układu, dodatkowych kroków weryfikacji — bez konieczności aktualizowania skryptu przez programistę.

Ta kombinacja jest jakościowo inna niż starsza automatyzacja. Bot oparty na skrypcie, podążający za nagranym makrem, zawodzi w momencie, gdy strona się zmienia. Agent czyta stronę, rozumie, na co patrzy, i dostosowuje swoje podejście. Pierwsza generacja powstała do legalnych zastosowań (research w sieci, testowanie dostępności, zautomatyzowane przeglądanie). Druga generacja obejmuje operatorów stosujących te narzędzia do fraudu na dużą skalę.

Dlaczego stare sygnały detekcji są słabsze wobec agentów

Tradycyjny zestaw narzędzi do bot detection opiera się na sygnałach, które odróżniają automatyzację od ludzi. Agenty zmieniają siłę każdego z tych sygnałów.

Sygnały behawioralne. Entropia ruchu myszy, dynamika naciśnięć klawiszy, wzorce przewijania. Prawdziwi ludzie mają naturalną zmienność — drżenie, wahanie, korygowanie błędów. Boty oparte na skryptach mają albo zerową zmienność (idealnie proste linie, natychmiastowe wypełnianie formularzy), albo zmienność wygenerowaną, którą da się statystycznie wykryć.

Agenty sterujące prawdziwymi przeglądarkami zwykle wytwarzają wzorce bardziej zbliżone do ludzkich. Korzystają z rzeczywistej symulacji wejścia przeglądarki, często zrandomizowanej. Potrzebują czasu na „przeczytanie” stron, bo model bazowy musi przetworzyć treść wizualną lub DOM. Sygnał behawioralny wciąż jest obecny, ale jest bardziej zaszumiony i wymaga bardziej wyrafinowanej analizy, żeby go wyodrębnić.

CAPTCHA. Nowoczesne usługi rozwiązywania CAPTCHA od dawna potrafią pokonywać je na dużą skalę za około 0,001 dolara za wyzwanie. Agenty robią to natywnie. Ogólny GPT-4o czy Claude potrafi spojrzeć na CAPTCHA opartą na obrazie i z wysoką dokładnością wskazać, w co kliknąć. Wartość obronna CAPTCHA wobec agentów jest bliska zeru.

Reguły velocity. Sztywne progi liczby akcji na minutę. Boty oparte na skryptach zwykle łamią je agresywnie, bo optymalizacja pod prędkość jest całym sensem ich działania. Agenty celowo zwalniają, bo ich model bazowy jest wytrenowany na ludzkim zachowaniu, które ma naturalne tempo. Reguły velocity łapią agenty tylko wtedy, gdy są skonfigurowane pod operacje o wysokim wolumenie.

Proste fingerprinting. Statyczne listy hashy canvas, czcionek, ciągów User-Agent. Agenty działające na prawdziwych przeglądarkach produkują dla wszystkich tych elementów legalne wartości. Fingerprint wygląda poprawnie, bo jest poprawny — agent używa prawdziwej przeglądarki, a przeglądarka raportuje to, czym naprawdę jest.

Wzorzec: sygnały oparte na założeniu „automatyzacja wygląda inaczej niż ludzie” słabną, w miarę jak automatyzacja coraz bardziej przypomina ludzi.

Sygnały, które nadal działają

Detekcja przeciwko agentom wymaga sygnałów, których automatyzacja nie może łatwo ukryć, niezależnie od tego, jak bardzo ludzkie wydaje się zachowanie na powierzchni.

Sygnatury warstwy sieciowej. Agenty zazwyczaj działają na infrastrukturze chmurowej: AWS, GCP, Azure lub wyspecjalizowanych usługach automatyzacji przeglądarek. Zakresy IP są identyfikowalne. Fingerprinty TCP/TLS różnią się od tych z konsumenckich ISP. Sygnały obserwowalne po stronie serwera wychwytują większość ruchu agentów niezależnie od tego, co deklaruje strona kliencka.

Dostawcy oferujący produkty typu browser-as-a-service (Browserbase, Anchor, Steel.dev i inni) mają identyfikowalne sygnatury sieciowe. Prawdziwi użytkownicy z konsumenckich ISP wyglądają w warstwie sieciowej inaczej niż agenty działające w środowiskach chmurowych. To najbardziej niezawodny pojedynczy sygnał w 2026 roku.

Subtelne fingerprinty urządzeń. Prawdziwe GPU produkują wzorce zmiennoprzecinkowe, które trudno podrobić z dokładnością do piksela. Środowiska zwirtualizowane i chmurowe instancje GPU produkują nieco inne wzorce. Fingerprinting AudioContext ujawnia różnice w przetwarzaniu dźwięku między sprzętem fizycznym a zwirtualizowanym. Dryf zegara czasu rzeczywistego różni się między urządzeniami konsumenckimi w sieci lokalnej a instancjami chmurowymi zsynchronizowanymi z wysokiej jakości serwerami NTP.

Każdy pojedynczy sygnał jest mały. Połączone w ponad 130 sondach tworzą spójny obraz: „to wygląda jak prawdziwe urządzenie konsumenckie” kontra „to wygląda jak środowisko przeglądarki hostowane w chmurze, niezależnie od tego, co deklaruje User-Agent”.

Łączenie sesji. Operacje agentów często angażują jeden system bazowy kontrolujący wiele sesji. Nawet gdy każda sesja ma unikatowy fingerprint urządzenia, korelacje behawioralne między sesjami (identyczne wzorce czasowe, identyczne podejmowanie decyzji, identyczna reakcja na błędy) zdradzają koordynację.

Serwerowe kontrole spójności. Agenty mogą sfałszować każdy pojedynczy sygnał. Utrzymanie spójności wszystkich sygnałów jest dramatycznie trudniejsze. Jeśli środowisko JavaScript deklaruje „Chrome 120 na macOS”, ale fingerprint sieciowy wskazuje na serwer Linux w AWS, jest to niespójność, której klient nie widzi, a więc nie może jej skorygować.

Detekcja polimorficzna. Kod detekcji po stronie klienta, który zmienia się codziennie, odbiera agentom możliwość wcześniejszego wytrenowania się na nim. Statyczne sondy są poddawane inżynierii wstecznej; rotujące sondy — nie.

Wzorzec architektoniczny: wiele słabych sygnałów w połączeniu ze sprawdzaniem spójności pokonuje każdy pojedynczy mocny sygnał. Pojedyncze mocne sygnały zostają pokonane. Kombinacja pięćdziesięciu słabych sygnałów z wymaganiami spójności między nimi znacznie dłużej opiera się obejściu.

Jak w praktyce wyglądają ataki sterowane przez agenty

Trzy wzorce, które obserwujemy w ruchu z 2026 roku:

Wzorzec 1: Farmienie zakładania kont. Agenty zakładają konta na dużą skalę, przechodząc weryfikację e-mail, kroki KYC i wstępny onboarding produktu. Każde konto jest przeznaczone do dalszego wyciągania wartości: odbierania bonusów, eksploatacji darmowego planu, farmienia airdropów, scrapingu treści. Agent wykonuje pracę, która wcześniej wymagała albo prymitywnych skryptów (łatwych do wychwycenia), albo ludzkiej pracy (kosztownej).

Ekonomia jednostkowa sprzyja atakującemu. Operacja agentowa może uruchomić 1000 równoległych sesji przeglądarki na standardowej infrastrukturze chmurowej za mniej niż 50 dolarów na godzinę. Każde udane konto jest warte pewną wartość (50–500 euro za bonusy powitalne w iGaming, 10–100 dolarów za eksploatację darmowego planu SaaS, znacznie więcej za airdropy krypto). Koszt krańcowy na konto zbliża się do zera, podczas gdy wartość krańcowa pozostaje znacząca.

Wzorzec 2: Credential stuffing z logiką adaptacyjną. Starsze narzędzia do credential stuffing miotają parami danych logowania w endpointy logowania z prędkością brute-force. Nowoczesne podejścia sterowane przez agenty testują ostrożniej, obsługują CAPTCHA, gdy się pojawi, przechodzą do procesów odzyskiwania, gdy początkowe logowanie zawiedzie, i traktują każde „udane” dane uwierzytelniające ostrożniej, by nie wyzwolić agresywnej obrony.

Wskaźnik sukcesu na dane uwierzytelniające jest podobny do starszych technik. Trudność detekcji jest wyższa, bo agent nie wygląda jak operacja brute-force — wygląda jak seria normalnych prób logowania o normalnym tempie.

Wzorzec 3: Nadużywanie kodów promocyjnych i scraping treści. Ataki agentów o najwolniejszym tempie. Agent odwiedza strony produktów, stosuje kody promocyjne, przechwytuje ceny, przechwytuje treść, wychodzi. Wolumen na IP jest umiarkowany. Wolumen na sesję jest mały. Sygnał jest subtelny, ale zagregowany koszt — utrata competitive intelligence, wyczerpanie budżetu promocyjnego, kradzież treści — jest znaczący.

Te trzy wzorce łączy wspólne wyzwanie obronne: sygnatura pojedynczej akcji wygląda po ludzku. Detekcja wymaga albo patrzenia na zagregowane wzorce w wielu sesjach, albo patrzenia na głębsze warstwy (sieć, sprzęt, spójność), których agent nie może łatwo sfałszować.

Co to oznacza dla Twojego zespołu

Trzy obserwacje, które mają znaczenie niezależnie od typu platformy:

Obserwacja 1: Wyniki bot detection, które śledziłeś, mogą zaniżać rzeczywiste zagrożenie. Większość platform mierzy „ruch botów” sygnałami, których ruch agentów nie wyzwala. Wynik spada lub utrzymuje się na stałym poziomie na wielu platformach nie dlatego, że zagrożenie się kurczy, ale dlatego, że pomiar pomija nową kategorię.

Obserwacja 2: Dostawcy zbudowani na starych modelach sygnałów są narażeni. Jeśli marketing Twojego dostawcy detekcji podkreśla analizę behawioralną jako główny wyróżnik, zadaj trudne pytania o to, jak ich architektura radzi sobie z ruchem agentów. Wielu dostawców jest w tej kategorii spóźnionych o miesiące lub lata.

Obserwacja 3: Właściwa architektura to nie pojedyncza warstwa. Sama detekcja w warstwie sieciowej przeoczy agenty działające na infrastrukturze residential proxy. Sama detekcja w warstwie urządzenia przeoczy agenty działające na fizycznym sprzęcie. Odporna architektura łączy warstwy ze sprawdzaniem spójności.

Platformy, które dobrze radzą sobie z tą zmianą, mają wspólny wzorzec: traktują swoją detekcję jako ciągłą zdolność, a nie wdrożony produkt. Mierzą kwartalnie, dostrajają reguły miesięcznie i mają relację z dostawcą detekcji obejmującą stałe R&D, a nie statyczny kontrakt SaaS.

Najbliższe 18 miesięcy

Trzy prognozy dotyczące ewolucji tej kategorii:

Prognoza 1: Udział ruchu agentów rośnie. Z jednocyfrowych procentów w 2025 roku w stronę dwucyfrowych procentów do końca 2026 roku. Bodźce ekonomiczne sprzyjają ekspansji: koszty infrastruktury agentowej dalej spadają, możliwości agentów dalej rosną, a wartość zautomatyzowanego fraudu dalej przyciąga inwestycje.

Prognoza 2: Pojawiają się wyspecjalizowane platformy agentowe. Ogólna automatyzacja oparta na LLM to pierwsza fala. Druga fala to agenty zbudowane pod konkretne kategorie fraudu: agenty do farmienia bonusów, agenty do credential stuffing, agenty do farmienia airdropów. Każdy jest zoptymalizowany pod swój konkretny cel i trudniejszy do wykrycia niż agenty ogólnego przeznaczenia.

Prognoza 3: Reakcja obrońców konsoliduje się wokół konkretnych wzorców architektonicznych. Wielowarstwowa detekcja ze sprawdzaniem spójności między warstwami i polimorficznym kodem po stronie klienta staje się standardem. Dostawcy, którzy nie dostarczą tej architektury w ciągu najbliższych 18 miesięcy, stają się niekonkurencyjni wobec tych, którzy to zrobią.

Okno na wyprzedzenie tego zagrożenia to mniej więcej ten 18-miesięczny okres. Platformy, które wdrożą skuteczną detekcję w początkowej części okna, mają łatwiejszą drogę niż te, które czekają, aż ruch agentów zdominuje ich powierzchnię zagrożeń, i wtedy muszą doposażać systemy.

Gdzie w to wpisuje się Tracio

Detekcja agentów jest jedną z głównych inwestycji R&D Tracio w 2026 roku. Architektura obejmuje warstwy sygnałów, które bronią się przed agentami: sygnatury sieciowe (w tym znane środowiska przeglądarek hostowane w chmurze), kontrole spójności urządzeń (wychwytujące zwirtualizowany sprzęt niezależnie od deklarowanego środowiska), biometrię behawioralną (wzorce w skali submilisekundowej, które wciąż różnicują nawet wyrafinowane agenty) oraz współdzielenie sygnałów między klientami (wychwytujące skoordynowane kampanie obejmujące wiele platform).

Warstwa polimorficznego JavaScriptu odbiera agentom możliwość wcześniejszego wytrenowania obejść wobec statycznych sond. Werdykt po stronie serwera integruje wszystkie sygnały i dostarcza decyzję ALLOW, CHALLENGE lub BLOCK w mniej niż 50 milisekund, z dołączonym uzasadnieniem, aby Twój zespół mógł je zweryfikować i dostroić.

Wdrożenie jest szybkie: jeden SDK na stronie, jedno serwerowe wywołanie verify w każdym krytycznym punkcie decyzyjnym. Darmowy plan obejmuje 2500 weryfikacji miesięcznie — wystarczająco, by przeprowadzić sensowny pilotaż i zobaczyć, co naprawdę jest w Twoim ruchu.

Ciekawi Cię, jaki procent Twojego ruchu jest generowany przez agenty?

Rozpocznij darmowy okres próbny

— 2500 weryfikacji za darmo, bez karty kredytowej.

Umów demo

, aby przejść przez Twoją konkretną powierzchnię zagrożeń i uzyskać bazowe oszacowanie ruchu agentów na Twojej platformie.