Pendant la majeure partie de la dernière décennie, la gestion des bots s’est articulée autour d’une question relativement simple : cette interaction provient-elle d’un humain ou d’un bot ?
Cette question reste d’actualité, mais elle ne suffit plus. L’IA agentique donne naissance à des agents autonomes capables de raisonner, de planifier et d’agir. Ces agents peuvent naviguer sur des sites web, interpréter du contenu, s’adapter aux changements et exécuter des processus complexes en plusieurs étapes, avec peu ou pas d’intervention humaine.
Pour les équipes de sécurité, cela signifie que le défi ne consiste plus simplement à identifier et à bloquer les automatisations indésirables, mais à en comprendre l’intention et à décider de la réponse à apporter.
La prochaine ère de la gestion des bots nous obligera à répondre à une autre question : peut-on faire confiance à cette interaction ? Cette question est au cœur de ma session, « La confiance à l’ère des agents d’IA », proposée dans le cadre du Post-Mythos Security Summit de F5, disponible à la demande.
“La question n’est désormais plus simplement de savoir si vous avez affaire à un bot. Il s’agit de déterminer ce que cette interaction cherche à accomplir, si elle est digne de confiance et comment vous devez y réagir.”
Le changement majeur ne tient pas au volume, mais aux capacités.
Le trafic automatisé continue d’augmenter. Mais le changement le plus important ne réside pas simplement dans le volume d’automatisation auquel les organisations sont confrontées. Il tient à ce que cette automatisation est capable de faire.
Les agents d’IA actuels peuvent se comporter de manière étonnamment similaire à des utilisateurs légitimes. Ils peuvent se connecter, naviguer sur un site, ajouter des articles à un panier, créer un compte ou effectuer une transaction. Parallèlement, les attaquants peuvent utiliser des systèmes automatisés toujours plus performants pour orchestrer des campagnes qui s’adaptent en fonction des identités, des appareils et des sessions.
Cela brouille une distinction sur laquelle les équipes de sécurité s’appuient depuis des années. Un assistant d’achat légitime peut générer un trafic automatisé qu’un commerçant souhaite accueillir. Ce n’est clairement pas le cas d’un système automatisé qui tente de procéder à du bourrage d’identifiants, à une prise de contrôle de compte, à de l’extraction de données ou à une utilisation abusive des promotions. Pourtant, tous deux peuvent interagir avec une application d’une manière qui, si l’on examine chaque requête séparément, semble légitime.
Une requête légitime peut tout de même avoir des conséquences néfastes
C’est là que les approches traditionnelles peuvent montrer leurs limites.
Les outils spécialisés de gestion des bots et de prévention de la fraude répondent généralement à un problème précis, comme l’identification des requêtes malveillantes ou le signalement des transactions suspectes. Leur champ d’action étant plus restreint, ils peuvent ne pas disposer d’une visibilité suffisante pour détecter les activités coordonnées impliquant plusieurs appareils, sessions utilisateur, comptes et étapes du parcours client. Les concurrents protègent le trafic ; F5 protège les processus métier.
Prenons l’exemple d’un parcours de paiement. Une connexion peut sembler légitime. Il peut en aller de même pour la consultation d’une page produit, l’ajout d’un article au panier et la validation d’une transaction. Mais l’analyse de la séquence complète, ainsi que des identités, des appareils et des comportements qui y sont associés, peut révéler une tout autre réalité.
Par exemple, une analyse interne des bots et de l’automatisation a révélé que le processus de paiement avait enregistré une hausse de 13,38 % de l’automatisation sur les plateformes mobiles entre décembre 2025 et mai 2026. Cela montre pourquoi protéger les requêtes individuelles ne revient pas à protéger le résultat commercial auquel ces requêtes aboutissent en définitive.
Les équipes chargées de la sécurité et de la lutte contre la fraude doivent donc aller au-delà du simple fait de déterminer si une action est automatisée. Elles doivent disposer de suffisamment de contexte pour décider si une interaction donnée doit être autorisée, surveillée, soumise à une vérification ou bloquée.
De la détection à la prise de décision en temps réel
La détection des bots reste essentielle. Mais même une identification parfaite des bots ne suffirait pas, à elle seule, à résoudre ce problème.
L’étape suivante consiste à prendre des décisions en temps réel en fonction de l’identité, du comportement et de l’intention. Cela nécessite de comprendre qui ou quoi interagit avec une application au fil du temps, de conserver le contexte comportemental entre les sessions actives, d’établir une identité persistante pour chaque appareil et de mettre en relation les activités anormales observées sur différents comptes.
En d’autres termes, la solution ne consiste pas simplement à améliorer la détection ponctuelle, mais à prendre de meilleures décisions.
Il s’agit d’une évolution importante pour la gestion des bots, car l’automatisation elle-même fait désormais partie intégrante des activités numériques courantes. À mesure que les agents autonomes effectuent de plus en plus de recherches, d’achats, de réservations et de transactions pour le compte des utilisateurs, les organisations ne peuvent plus simplement considérer chaque interaction automatisée comme une activité à bloquer. Elles doivent distinguer les automatisations fiables des activités malveillantes et réagir de manière appropriée, sans imposer de contraintes inutiles aux clients légitimes.
Prendre des décisions de confiance à l’ère de l’autonomie
Lors de ma session au F5 Post-Mythos Security Summit, j’explique comment F5 Distributed Cloud Bot Defense évolue pour répondre aux enjeux de cet environnement, notamment grâce à la détection de l’IA agentique et à l’intelligence des appareils. J’examinerai également comment l’identité persistante des appareils, le contexte comportemental et les relations entre les comptes peuvent aider les équipes chargées de la sécurité et de la lutte contre la fraude à prendre des décisions de confiance en temps réel, ainsi que la manière dont les nouvelles approches en matière d’identité des agents peuvent permettre aux organisations d’accueillir les interactions légitimes pilotées par l’IA tout en réagissant de manière appropriée aux abus. Et parce que les agents d’IA agissent aussi bien par l’intermédiaire d’API que de pages web, F5 Distributed Cloud Bot Defense fonctionne conjointement avec F5 Distributed Cloud API Security sur la F5 Application Delivery and Security Platform, afin que les décisions de confiance s’appliquent à chaque interaction, où qu’elle ait lieu.
La détection des bots a permis de résoudre un problème majeur à une époque où les scripts automatisés étaient plus faciles à distinguer de l’activité humaine. L’IA agentique change la donne.
À l’ère de l’autonomie, les organisations qui tireront leur épingle du jeu ne seront pas celles qui bloquent le plus de bots, mais celles qui savent à quelles interactions se fier et qui agissent en temps réel en fonction de ces décisions.
Pour en savoir plus, ne manquez pas ma présentation lors du « F5 Post-Mythos Security Summit ».
Pour comprendre la technologie sur laquelle s’appuie F5 pour lutter contre l’utilisation malveillante de l’IA agentique, consultez notre article technique.
À propos de l’auteur
Articles de blog associés
IA et cybersécurité
Découvrez comment l’IA et la cybersécurité fonctionnent de concert. Découvrez comment l’IA et le machine learning (ML) permettent à votre entreprise de rester sécurisée, efficace et prête à innover avec F5.
Suivre le rythme de l’innovation de pointe ne suffit pas à faire avancer l’entreprise : se préparer à la réglementation de l’IA
À mesure que la réglementation de l’IA évolue, réfléchissez aux mesures de protection que vous pouvez mettre en place dès maintenant.
Les contrôleurs de mise à disposition d’applications reviennent au cœur des priorités stratégiques
L’IA rebat les cartes de la livraison d’applications. Nirav Shah de F5 revient sur la nouvelle étude de Gartner® consacrée aux ADC et explique ce qu’elle implique pour les décisions des entreprises en matière d’infrastructure.
Ce que nos clients nous disent sur l’IA, le multicloud hybride et la sécurité des applications
Le nouveau vice-président senior du marketing produit de F5 explique les pressions liées à l’IA auxquelles sont confrontés les dirigeants d’entreprise et ce dont ils ont besoin pour renforcer leur organisation.
Cinq niveaux de cyberrésilience antifragile transforment les pratiques en résultats
Découvrez comment cinq niveaux de résilience antifragile transforment les perturbations en comportements adaptatifs qui limitent les défaillances et renforcent l’architecture multicloud hybride.
Optimiser les pipelines d’IA en éliminant les goulets d’étranglement dans les charges de travail modernes
À mesure que les charges de travail d’IA montent en puissance, les entreprises constatent des ralentissements provenant du pipeline de données en amont qui alimente le modèle d’IA. Voici comment F5 BIG-IP peut les aider.