Durante la mayor parte de la última década, la gestión de bots se ha centrado en una pregunta relativamente sencilla: ¿esta interacción procede de una persona o de un bot?
Esa pregunta no va a desaparecer, pero ya no es suficiente. La IA agéntica está creando agentes autónomos capaces de razonar, planificar y actuar. Estos agentes pueden navegar por sitios web, interpretar contenidos, adaptarse a los cambios y ejecutar flujos de trabajo complejos de varios pasos con poca o ninguna intervención humana.
Para los equipos de seguridad, esto significa que el reto ya no consiste simplemente en identificar y bloquear la automatización no deseada, sino en comprender su intención y decidir qué hacer al respecto.
La próxima era de la gestión de bots nos obligará a responder a una pregunta diferente: ¿Podemos confiar en esta interacción? Esta pregunta es el eje central de mi sesión, «La confianza en la era de los agentes de IA», que forma parte del evento bajo demanda de F5 Post-Mythos Security Summit.
“La cuestión ahora no es simplemente si estás interactuando con un bot, sino qué pretende conseguir esa interacción, si es de confianza y qué deberías hacer al respecto.”
El mayor cambio no está en el volumen, sino en la capacidad.
El tráfico automatizado sigue creciendo. Pero el cambio más importante no es simplemente el volumen de automatización que observan las organizaciones, sino lo que esa automatización es capaz de hacer.
Los agentes de IA actuales pueden comportarse de forma sorprendentemente similar a los usuarios legítimos. Pueden iniciar sesión, navegar por un sitio web, añadir artículos a un carrito, crear una cuenta o completar una transacción. Al mismo tiempo, los atacantes pueden utilizar una automatización cada vez más avanzada para orquestar campañas que se adaptan a distintas identidades, dispositivos y sesiones.
Esto difumina una distinción en la que los equipos de seguridad han confiado durante años. Un asistente de compras legítimo puede generar tráfico automatizado que un minorista quiera aceptar. En cambio, un sistema automatizado que intente realizar ataques de relleno de credenciales, apropiarse de cuentas, extraer datos o abusar de promociones claramente no es bienvenido. Y ambos pueden interactuar con una aplicación de formas que, si se analiza cada solicitud por separado, parecen legítimas.
Una solicitud legítima puede aun así conducir a un resultado perjudicial
Aquí es donde los enfoques tradicionales pueden quedarse cortos.
Las herramientas especializadas de gestión de bots y prevención del fraude suelen resolver un problema específico, como identificar solicitudes maliciosas o marcar transacciones sospechosas. Dado que operan en un ámbito más limitado, es posible que no tengan suficiente visibilidad para detectar actividades coordinadas que abarcan varios dispositivos, sesiones de usuario, cuentas y etapas del recorrido del cliente. La competencia protege el tráfico; F5 protege los flujos de trabajo empresariales.
Pensemos en un proceso de compra. Un inicio de sesión puede parecer legítimo, al igual que navegar por la página de un producto, añadir un artículo al carrito y realizar una transacción. Sin embargo, comprender la secuencia completa, así como las identidades, los dispositivos y los comportamientos asociados a ella, puede revelar una realidad muy distinta.
Por ejemplo, un análisis interno de bots y automatización reveló que el proceso de pago experimentó un aumento del 13,38 % en la automatización en plataformas móviles entre diciembre de 2025 y mayo de 2026. Esto demuestra por qué proteger las solicitudes individuales no es lo mismo que proteger el resultado empresarial que dichas solicitudes acaban generando.
Por tanto, los equipos de seguridad y prevención del fraude no solo necesitan saber si algo está automatizado. Necesitan suficiente contexto para decidir si una interacción concreta debe permitirse, supervisarse, someterse a una verificación adicional o bloquearse.
De la detección a la toma de decisiones en tiempo real
La detección de bots sigue siendo fundamental. Pero ni siquiera una identificación perfecta de los bots resolvería por sí sola este problema.
El siguiente paso es la toma de decisiones en tiempo real basada en la identidad, el comportamiento y la intención. Para ello, es necesario comprender quién o qué interactúa con una aplicación a lo largo del tiempo, mantener el contexto de comportamiento entre las sesiones activas, establecer una identidad persistente del dispositivo y relacionar la actividad anómala entre distintas cuentas.
En otras palabras, la solución no consiste simplemente en mejorar la detección puntual, sino en tomar mejores decisiones.
Se trata de una evolución importante para la gestión de bots, ya que la propia automatización se está convirtiendo en parte habitual de la actividad empresarial digital. A medida que los agentes autónomos realizan cada vez más búsquedas, compras, reservas y transacciones en nombre de las personas, las organizaciones no pueden limitarse a tratar cada interacción automatizada como algo que deben bloquear. Necesitan distinguir la automatización de confianza de la actividad maliciosa y responder de forma adecuada, sin generar obstáculos innecesarios para los clientes legítimos.
Tomar decisiones de confianza en la era de la autonomía
Durante mi sesión en la F5 Post-Mythos Security Summit, explico cómo F5 Distributed Cloud Bot Defense está evolucionando para abordar este entorno, incluida la detección de IA agéntica y la inteligencia de dispositivos. También analizaré cómo la identidad persistente de los dispositivos, el contexto de comportamiento y las relaciones entre cuentas pueden ayudar a los equipos de seguridad y prevención del fraude a tomar decisiones de confianza en tiempo real, y cómo los nuevos enfoques sobre la identidad de los agentes pueden ayudar a las organizaciones a aceptar interacciones legítimas impulsadas por IA y, al mismo tiempo, responder adecuadamente ante los abusos. Además, dado que los agentes de IA actúan tanto a través de las API como de las páginas web, F5 Distributed Cloud Bot Defense funciona junto con F5 Distributed Cloud API Security en F5 Application Delivery and Security Platform, de modo que las decisiones de confianza se aplican a cada interacción, dondequiera que tenga lugar.
La detección de bots resolvía un problema importante cuando los scripts automatizados eran más fáciles de distinguir de la actividad humana. La IA agéntica está cambiando esa realidad.
En la era de la autonomía, las organizaciones que triunfen no serán las que bloqueen más bots, sino las que sepan en qué interacciones confiar y actúen en tiempo real basándose en esas decisiones.
Para obtener más información, no te pierdas mi presentación en la F5 Post-Mythos Security Summit.
Para comprender la tecnología que utiliza F5 para hacer frente a la amenaza del uso malicioso de la IA agéntica, lea nuestro artículo técnico.
Sobre el autor
Artículos relacionados del blog
IA agéntica en ciberseguridad: promesas y riesgos
Descubre por qué el uso de la IA agéntica en ciberseguridad es esencial para combatir las amenazas impulsadas por IA y por qué los agentes también generan nuevos riesgos empresariales.
Cómo los clientes de F5 del sector financiero abordan la soberanía digital sin frenar la innovación
¿Cómo se materializa la soberanía digital en el mundo real? Dos proyectos recientes de F5 con clientes muestran cómo distintas empresas están afrontando estos retos.
Soberanía operativa: cómo desarrollar resiliencia en un mundo impredecible
Para muchas organizaciones, la cuestión ya no consiste únicamente en controlar los datos, sino en mantener la capacidad de operar, adaptarse y recuperarse a medida que evolucionan las leyes y las circunstancias.
No se puede proteger una conversación con un cortafuegos: cómo el red teaming de IA se volvió esencial
Dado que las implementaciones de IA avanzan a la velocidad de las máquinas, los métodos tradicionales de prueba de software ya no resultan adecuados.
Protege tu canalización de datos de IA sin ralentizarla
Proteger el flujo de datos de la IA no es opcional. Eso está claro. Lo que resulta mucho menos evidente —y mucho más difícil— es cómo protegerlo adecuadamente.
Las extranets no están muertas; solo necesitan una actualización
Modernice su extranet: descubra cómo F5 y Equinix ofrecen una conectividad para partners repetible, segura y escalable, sin la complejidad de las redes tradicionales.