Cloudflare ha annunciato nuove funzionalità per identificare, analizzare e controllare il traffico generato dagli agenti personali di intelligenza artificiale che accedono ai siti web per conto degli utenti. L’aggiornamento interessa Security Analytics e le politiche di accesso dedicate ai sistemi automatizzati, introducendo una distinzione più dettagliata tra le richieste effettuate dagli assistenti AI e quelle provenienti da altre categorie di bot. La modifica risponde alla crescente presenza di agenti capaci di consultare cataloghi commerciali, confrontare prodotti, cercare informazioni di assistenza e completare operazioni sui siti per conto di una persona. Dal punto di vista dell’infrastruttura web, queste richieste si presentano come traffico automatizzato, ma possono corrispondere ad attività legittimamente richieste da un cliente. Cloudflare introduce quindi strumenti che permettono di riconoscere gli agenti supportati, osservare le risorse richieste e definire condizioni di accesso differenti, evitando di applicare necessariamente la stessa politica a tutti i sistemi automatizzati.
All’interno di Security Analytics è stata aggiunta la categoria Personal Assistants nella sezione Bot Analysis, accanto alle classificazioni Verified Bot, Likely Human, Likely Automated e Automated. Gli amministratori possono selezionare questa categoria per isolare il traffico prodotto dagli agenti personali e analizzarne l’andamento nel tempo. Un nuovo widget Personal Assistants, inserito nelle statistiche principali, identifica gli agenti che visitano il sito e mostra il numero di richieste effettuate da ciascuno. Applicando un filtro a un agente specifico, anche gli altri strumenti di analisi vengono aggiornati per visualizzare i percorsi richiesti, i codici di stato HTTP restituiti dal server e le reti di provenienza. Questo livello di dettaglio consente di verificare se un agente sta consultando schede prodotto, tentando l’autenticazione, accedendo al checkout oppure incontrando errori durante la navigazione. Le informazioni permettono inoltre di distinguere gli agenti che interagiscono con funzioni effettivamente utilizzate dai clienti da quelli che producono richieste non coerenti con i servizi offerti dal sito.
Le organizzazioni che utilizzano Account Abuse Protection, attualmente disponibile in accesso anticipato, possono ottenere informazioni aggiuntive sulle attività degli agenti associate agli account degli utenti. La vista generale del servizio mostra quali assistenti personali risultano utilizzati e quanti account interagiscono attraverso ciascuno di essi. Gli eventi di autenticazione e registrazione possono indicare se una richiesta è stata effettuata da un agente e quale sistema l’ha prodotta, mentre gli strumenti di analisi delle frodi consentono di filtrare gli account in base alla presenza di attività riconducibili ad assistenti AI o al numero di agenti associati. La scheda di un singolo account permette di distinguere un agente utilizzato regolarmente da uno comparso per la prima volta. Quando vengono individuati comportamenti sospetti, gli amministratori possono applicare una regola del Web Application Firewall all’identificatore crittografico dell’account, senza bloccare indiscriminatamente lo stesso agente per tutti gli altri utenti. Il meccanismo sfrutta Hashed User ID, introdotto nel servizio il 2 ottobre 2026, che trasforma un identificatore configurato dal cliente, come indirizzo email, nome utente o numero telefonico, in un valore hash specifico del dominio utilizzabile per correlare gli eventi.
Cloudflare ha inoltre ampliato le precedenti politiche Agents, rinominando la sezione AI Crawler and Agent access policies e introducendo controlli dedicati ai singoli agenti personali supportati. Gli amministratori possono stabilire una politica generale per gli agenti e successivamente applicare eccezioni individuali attraverso tre comportamenti: consentire l’accesso senza blocchi, impedire l’accesso alle pagine che contengono pubblicità oppure bloccare completamente l’agente. Un sito può quindi vietare in generale agli agenti l’accesso alle pagine monetizzate mediante inserzioni, mantenendo autorizzato un particolare assistente. Le regole si inseriscono nel sistema di classificazione del traffico AI introdotto da Cloudflare il 1° luglio 2026, che distingue le attività di ricerca, quelle eseguite dagli agenti per conto degli utenti e quelle destinate all’addestramento dei modelli. Le politiche relative a Search e Training rimangono invariate. Durante la configurazione di un nuovo sito, Cloudflare richiede inoltre se le pagine vengono monetizzate tramite pubblicità e utilizza la risposta per suggerire impostazioni coerenti, successivamente modificabili nella sezione Security Settings.
L’azienda ha indicato come successiva area di sviluppo la conservazione del contesto relativo al rapporto tra un sito e l’utente quando l’interazione viene mediata da un agente AI. Identificare il programma che effettua una richiesta non permette infatti di stabilire automaticamente se esso agisca per conto di un cliente già registrato, quali operazioni siano state autorizzate, se siano presenti abbonamenti o quali tutele debbano essere applicate. Cloudflare intende lavorare con gli operatori degli agenti e con altri soggetti del settore su meccanismi capaci di trasmettere informazioni contestuali nel rispetto della privacy, valutare l’affidabilità degli agenti e attribuire responsabilità quando un’operazione produce conseguenze indesiderate. Queste funzioni appartengono ancora alla fase di sviluppo, mentre l’aggiornamento attuale rende disponibili strumenti più dettagliati per osservare il traffico e differenziare l’accesso ai contenuti web in base all’identità dell’agente riconosciuto.
Questo articolo è stato redatto con il supporto di strumenti di intelligenza artificiale (AI)