AI-агенти — це новий вектор шахрайства. Ось чому ваша система виявлення, найімовірніше, їх пропускає.

Майже все минуле десятиліття «bot detection» означало відрізняти автоматизацію від людей. Сигнал був чіткий, бо розрив був широкий: у ботів не було тремтіння миші, пауз на читання, контекстної обізнаності. Вони були очевидні, якщо знати, куди дивитися.

Цей розрив звужується. Категорія загрози, яку fraud-командам треба зрозуміти у 2026 році, — це агент на базі LLM: автоматизація, побудована на великих мовних моделях, здатна читати, міркувати, вирішувати й діяти способами, що куди більше нагадують людське мислення, ніж будь-яке попереднє покоління ботів. Сигнали виявлення, що працювали проти скриптових ботів, помітно менш ефективні проти агентів, натренованих на людській поведінці.

Це не спекуляції про майбутню загрозу. Трафік, керований агентами, уже є у ваших fraud-логах, здебільшого хибно позначений або як «реальні користувачі», або як «складні боти». Склад цього трафіку змінюється. Підходи до виявлення, які витримують, потребують іншої архітектурної моделі, ніж та, що розгортає більшість платформ.

Цей матеріал — для лідерів у сфері безпеки та продукту, які намагаються зрозуміти, що насправді відрізняє автоматизацію на базі агентів, чому це важливо для захисту від шахрайства та які патерни виявлення проти неї працюють.

Що таке AI-агент у контексті шахрайства

Фразу «AI-агент» вживають вільно. У контексті шахрайства змістовне визначення — це автоматизація, що відповідає трьом критеріям:

• Керується мовною моделлю (GPT-4, Claude, Gemini чи подібною) для ухвалення рішень, а не жорстко закодованими скриптами.
• Працює в середовищі реального браузера — зазвичай headless- або headed-екземпляр Chrome, Firefox чи Safari, часто на хмарній інфраструктурі, призначеній для браузерної автоматизації.
• Здатна адаптуватися до непередбачуваних станів сторінки — повідомлень про помилки, змін макета, додаткових кроків верифікації — без потреби, щоб розробник оновлював скрипт.

Це поєднання якісно відрізняється від старішої автоматизації. Скриптовий бот, що йде за записаним макросом, ламається щойно сторінка змінюється. Агент читає сторінку, розуміє, на що дивиться, і коригує свій підхід. Перше покоління будували для легітимних сценаріїв (веб-дослідження, тестування доступності, автоматизований перегляд). Друге покоління включає операторів, які застосовують ці інструменти до шахрайства в масштабі.

Чому старі сигнали виявлення слабші проти агентів

Традиційний набір інструментів bot detection покладається на сигнали, що відрізняють автоматизацію від людей. Агенти змінюють силу кожного сигналу.

Поведінкові сигнали. Ентропія рухів миші, динаміка натискань клавіш, патерни прокручування. У реальних людей є природна варіативність — тремтіння, вагання, виправлення помилок. У скриптових ботів немає або варіативності взагалі (ідеально прямі лінії, миттєве заповнення форм), або є згенерована варіативність, що статистично виявляється.

Агенти, які керують реальними браузерами, схильні продукувати більш людиноподібні патерни. Вони використовують справжню симуляцію вводу браузера, часто рандомізовану. Вони витрачають час, щоб «прочитати» сторінки, бо базовій моделі потрібно опрацювати візуальний або DOM-контент. Поведінковий сигнал усе ще присутній, але він шумніший і потребує складнішого аналізу, щоб його виокремити.

CAPTCHA. Сучасні сервіси розв'язування CAPTCHA завжди могли долати CAPTCHA у масштабі приблизно за $0,001 за завдання. Агенти роблять це нативно. Звичайний GPT-4o чи Claude може подивитися на CAPTCHA на основі зображення й з високою точністю визначити, куди клікнути. Захисна цінність CAPTCHA проти агентів близька до нуля.

Velocity-правила. Фіксовані пороги на кількість дій за хвилину. Скриптові боти схильні агресивно їх порушувати, бо оптимізація під швидкість — це вся суть. Агенти навмисне сповільнюються, бо їхня базова модель натренована на людській поведінці, яка має природний темп. Velocity-правила ловлять агентів лише тоді, коли вони налаштовані на високооб'ємні операції.

Просте fingerprinting. Статичні списки canvas-хешів, шрифтів, рядків User-Agent. Агенти, що працюють на реальних браузерах, продукують легітимні значення для всього цього. Fingerprint виглядає коректно, бо він і є коректний — агент використовує реальний браузер, і браузер повідомляє те, чим він насправді є.

Патерн: сигнали на основі «автоматизація виглядає інакше, ніж люди» слабшають, коли автоматизація стає більше схожою на людей.

Сигнали, що досі працюють

Виявлення проти агентів потребує сигналів, які автоматизація не може легко приховати, незалежно від того, наскільки людиноподібною виглядає поверхнева поведінка.

Сигнатури мережевого рівня. Агенти зазвичай працюють на хмарній інфраструктурі: AWS, GCP, Azure чи спеціалізованих сервісах браузерної автоматизації. Діапазони IP ідентифіковні. TCP/TLS fingerprints відрізняються від споживчих ISP. Сигнали, які спостерігаються на боці сервера, ловлять більшу частину агентського трафіку незалежно від того, що заявляє клієнтський бік.

Постачальники, які працюють саме з продуктами browser-as-a-service (Browserbase, Anchor, Steel.dev та інші), мають ідентифіковні мережеві сигнатури. Реальні користувачі з резидентних ISP на мережевому рівні виглядають інакше, ніж агенти, що працюють у хмарних середовищах. Це найнадійніший окремий сигнал у 2026 році.

Тонкі device fingerprints. Реальні GPU продукують патерни з рухомою комою, які важко підробити піксель-в-піксель. Віртуалізовані середовища й хмарні GPU-екземпляри продукують дещо інші патерни. AudioContext fingerprinting виявляє відмінності в обробці аудіо між фізичним залізом і віртуалізованим. Дрейф годинника реального часу відрізняється між споживчими пристроями в локальній мережі й хмарними екземплярами, синхронізованими з високоякісними NTP-серверами.

Кожен окремий сигнал малий. Поєднані по 130+ пробах, вони дають узгоджену картину: «це виглядає як реальний споживчий пристрій» проти «це виглядає як розміщене в хмарі браузерне середовище, незалежно від того, що заявляє User-Agent».

Зв'язування між сесіями. Операції агентів часто передбачають одну базову систему, що керує багатьма сесіями. Навіть коли кожна сесія має унікальний device fingerprint, поведінкові кореляції між сесіями (ідентичні патерни таймінгу, ідентичне ухвалення рішень, ідентична реакція на помилки) виявляють координацію.

Перевірки узгодженості на боці сервера. Агенти можуть підробити будь-який окремий сигнал. Підтримувати узгодженість між усіма сигналами значно важче. Якщо JavaScript-середовище заявляє «Chrome 120 на macOS», але мережевий fingerprint вказує на Linux-сервер в AWS, це неузгодженість, яку клієнт не бачить і тому не може виправити.

Поліморфне виявлення. Клієнтський код виявлення, що змінюється щодня, позбавляє агентів можливості попередньо тренуватися на ньому. Статичні проби реверс-інжинірять; ротовані проби — ні.

Архітектурний патерн: багато слабких сигналів у поєднанні з перевіркою узгодженості перемагають будь-який окремий сильний сигнал. Окремі сильні сигнали зрештою вдається обійти. Поєднання п'ятдесяти слабких сигналів з вимогами узгодженості між ними опирається обходу значно довше.

Як атаки, керовані агентами, виглядають на практиці

Три патерни, які ми спостерігаємо в трафіку 2026 року:

Патерн 1: Фермінг створення акаунтів. Агенти створюють акаунти у масштабі, проходячи email-верифікацію, кроки KYC та початковий onboarding продукту. Кожен акаунт призначений для подальшого вилучення цінності: збирання бонусів, експлуатація безкоштовного тарифу, фермінг airdrop'ів, скрапінг контенту. Агент виконує роботу, яка раніше потребувала або грубих скриптів (ловляться легко), або людської праці (дорого).

Юніт-економіка фінансово на боці зловмисника. Операція агента може запускати 1000 одночасних браузерних сесій на звичайній хмарній інфраструктурі менш ніж за $50 на годину. Кожен успішний акаунт вартий певної цінності (€50–500 за велкам-бонуси в iGaming, $10–100 за експлуатацію безкоштовного тарифу SaaS, значно більше за крипто-airdrop'и). Гранична вартість на акаунт наближається до нуля, тоді як гранична цінність лишається відчутною.

Патерн 2: Credential stuffing з адаптивною логікою. Старіші інструменти credential stuffing засипають пари облікових даних на login-ендпоінти з brute-force-швидкістю. Сучасні підходи на базі агентів тестують обережніше, обробляють CAPTCHA, коли вона з'являється, переходять до потоків відновлення, коли початковий вхід не вдається, і поводяться з кожним «успішним» обліковим записом обережніше, щоб не спровокувати агресивний захист.

Показник успіху на облікові дані схожий зі старішими техніками. Складність виявлення вища, бо агент не виглядає як brute-force-операція — він виглядає як серія звичайних спроб входу зі звичайним темпом.

Патерн 3: Зловживання промокодами та скрапінг контенту. Найповільніші за темпом атаки агентів. Агент відвідує сторінки продукту, застосовує промокоди, захоплює ціни, захоплює контент, виходить. Обсяг на IP помірний. Обсяг на сесію малий. Сигнал тонкий, але сукупні витрати — втрата конкурентної розвідки, виснаження промо-бюджету, крадіжка контенту — значні.

Ці три патерни поділяють спільний захисний виклик: сигнатура на окрему дію виглядає людською. Виявлення потребує або аналізу сукупних патернів по багатьох сесіях, або аналізу глибших шарів (мережа, залізо, узгодженість), які агент не може легко підробити.

Що це означає для вашої команди

Три спостереження, що мають значення незалежно від типу платформи:

Спостереження 1: Bot-detection показники, які ви відстежували, можуть недооцінювати реальну загрозу. Більшість платформ вимірюють «бот-трафік» за сигналами, яких агентський трафік не спричиняє. Показник у багатьох платформах знижувався або лишався незмінним не тому, що загроза зменшується, а тому, що вимірювання пропускає нову категорію.

Спостереження 2: Постачальники, побудовані на старих моделях сигналів, вразливі. Якщо маркетинг вашого постачальника виявлення наголошує на поведінковому аналізі як головному диференціаторі, поставте жорсткі запитання про те, як їхня архітектура обробляє агентський трафік. Багато постачальників відстають на місяці чи роки в цій категорії.

Спостереження 3: Правильна архітектура — це не один шар. Виявлення лише на мережевому рівні пропускає агентів, що працюють на інфраструктурі резидентних проксі. Виявлення лише на рівні пристрою пропускає агентів, що працюють на фізичному залізі. Стійка архітектура поєднує шари з перевіркою узгодженості.

Платформи, які добре справляються з цим переходом, поділяють один патерн: вони ставляться до свого виявлення як до постійної здатності, а не як до розгорнутого продукту. Вони вимірюють щокварталу, налаштовують правила щомісяця й мають стосунки з постачальником виявлення, що включають постійну R&D, а не статичний SaaS-контракт.

Наступні 18 місяців

Три прогнози щодо того, як ця категорія еволюціонує:

Прогноз 1: Частка агентського трафіку зростає. Від однозначних відсотків у 2025 році до двозначних відсотків до кінця 2026 року. Економічні стимули на боці розширення: вартість інфраструктури агентів продовжує падати, спроможність агентів продовжує зростати, а цінність автоматизованого шахрайства продовжує залучати інвестиції.

Прогноз 2: Постають спеціалізовані платформи агентів. Загальна автоматизація на базі LLM — це перша хвиля. Друга хвиля — агенти, побудовані під конкретні категорії шахрайства: агенти для фермінгу бонусів, агенти credential stuffing, агенти для фермінгу airdrop'ів. Кожен оптимізований під свою конкретну ціль і його важче виявити, ніж агентів загального призначення.

Прогноз 3: Відповідь захисників консолідується навколо конкретних архітектурних патернів. Багатошарове виявлення з перевіркою міжшарової узгодженості та поліморфним клієнтським кодом стає стандартом. Постачальники, які не постачають цю архітектуру в наступні 18 місяців, стають неконкурентоспроможними проти тих, хто це робить.

Вікно для того, щоб випередити цю загрозу, — це приблизно той 18-місячний період. Платформи, які розгортають ефективне виявлення на ранньому етапі вікна, мають легший шлях, ніж платформи, які чекають, доки агентський трафік почне домінувати на їхній поверхні загроз, а потім змушені дообладнувати систему.

Де вписується Tracio

Виявлення агентів — одна з головних R&D-інвестицій Tracio у 2026 році. Архітектура покриває сигнальні шари, що витримують проти агентів: мережеві сигнатури (включно з відомими розміщеними в хмарі браузерними середовищами), перевірки узгодженості пристрою (ловлять віртуалізоване залізо незалежно від заявленого середовища), поведінкова біометрія (субмілісекундні патерни, що досі диференціюють навіть складних агентів) та обмін сигналами між клієнтами (ловить скоординовані кампанії, що охоплюють кілька платформ).

Шар поліморфного JavaScript позбавляє агентів можливості попередньо тренувати обходи проти статичних проб. Серверний вердикт інтегрує всі сигнали й видає рішення ALLOW, CHALLENGE або BLOCK менш ніж за 50 мілісекунд, з доданим обґрунтуванням, щоб ваша команда могла перевірити й налаштувати.

Розгортання швидке: один SDK на сторінці, один серверний виклик verify у кожній критичній точці ухвалення рішень. Безкоштовний тариф покриває 2500 верифікацій на місяць — достатньо, щоб запустити змістовний пілот і побачити, що насправді у вашому трафіку.

Цікаво, який відсоток вашого трафіку керується агентами?

Почніть безкоштовний пробний період

— 2500 верифікацій безкоштовно, без картки.

Замовте демо

щоб пройтися вашою конкретною поверхнею загроз і отримати базову оцінку агентського трафіку на вашій платформі.