Sécuriser le commerce agentique
Comment les entreprises de e-commerce peuvent distinguer les agents d’IA légitimes des automatisations malveillantes tout au long du parcours d’achat.
Le virage stratégique
La sécurité du commerce numérique ne peut plus reposer sur la distinction entre les humains et les robots. Les commerçants doivent déterminer l’identité d’un agent d’IA, qui l’a autorisé, ce qu’il est autorisé à faire et si son comportement reste digne de confiance tout au long de la transaction.
Le trafic du commerce numérique n’est plus uniquement humain
Le trafic du commerce numérique n’est plus uniquement humain
Le commerce électronique entre dans une nouvelle phase où les agents d’IA participent directement à la découverte et à la comparaison des produits, aux achats, aux paiements, au service client et à la gestion des comptes. Ces interactions peuvent élargir la portée et fluidifier les parcours, mais elles génèrent également une nouvelle catégorie de trafic automatisé qui doit être évaluée différemment des sessions humaines traditionnelles.
Selon un rapport de Gartner®, « D’ici 2030, 20 % des transactions de commerce numérique seront effectuées par l’intermédiaire de plateformes d’IA, soit via un paiement géré par l’IA, soit par des agents d’IA. »
Les commerçants sont déjà confrontés au bourrage d’identifiants, au piratage de comptes, aux tests de cartes bancaires, à l’extraction automatisée des prix, à l’accaparement des stocks, au vol de points de fidélité et aux abus lors du paiement. Les achats effectués par des agents rendent cet environnement plus complexe, car les agents d’achat légitimes et les systèmes automatisés malveillants peuvent utiliser des interfaces, des API, des identifiants et des parcours transactionnels similaires. Bloquer indistinctement toute automatisation risque de freiner un nouveau canal de vente prometteur. À l’inverse, l’autoriser sans contrôles appropriés peut accroître la fraude, l’exposition des données, les coûts opérationnels et les risques pesant sur la confiance des clients.
Comment ce défi affecte les achats agentiques
Comment ce défi affecte les achats agentiques
Les achats agentiques délèguent tout ou partie du parcours d’achat à un agent d’IA. Un consommateur peut autoriser un agent à rechercher des produits, comparer des offres, se connecter à un compte, sélectionner un article, lancer le paiement, suivre une commande ou demander un remboursement. Chaque étape soulève des questions auxquelles les dispositifs traditionnels de contrôle des bots n’ont pas été conçus pour répondre.
Un commerçant doit déterminer dans quelle mesure il peut faire confiance à un agent, si un véritable client a autorisé l’action et si l’opération demandée entre dans le cadre prévu par le client. Il doit également évaluer si un agent techniquement valide se comporte de manière anormale, car ses identifiants, sa délégation ou le contexte de la transaction peuvent avoir été compromis.
Au lieu de s’appuyer sur des contrôles d’identité statiques ou de considérer l’autorisation comme un état binaire, les architectures modernes doivent cesser de se demander : « Le demandeur est-il humain ? » Elles doivent plutôt examiner l’ensemble du parcours opérationnel : « Quel niveau de confiance cet agent a-t-il acquis à cet instant précis ? Son comportement global reste-t-il cohérent avec une intention légitime, ou ses activités ultérieures ont-elles dégradé cette confiance au point de laisser supposer une compromission ? »
De la détection des bots à la vérification des agents
De la détection des bots à la vérification des agents
Un modèle de commerce agentique fiable doit évaluer trois éléments avant d’autoriser un agent à effectuer une action sensible :
- Identité : vérifiez quel agent d’IA ou service automatisé est à l’origine de la demande.
- Délégation : confirmez qu’un client spécifique a autorisé l’agent à agir.
- Gestion : appliquez précisément les restrictions concernant les ressources, les actions, les valeurs et les durées autorisées.
La vérification est nécessaire, mais elle ne se confond pas avec la détection de la fraude. Elle permet d’établir si les justificatifs présentés et la délégation sont valides. L’analyse des comportements et des transactions reste indispensable pour repérer un agent autorisé dont les accès ont été dérobés ou dont l’activité ne correspond pas à l’achat prévu.
Le commerce numérique sécurisé de F5
F5 reconnaît que le trafic du commerce moderne comprend des clients, des agents d’IA de confiance, des robots d’exploration, des extracteurs de données et des bots malveillants. Les commerçants ont besoin d’une sécurité complète qui inspecte le trafic et applique la protection appropriée, des contrôles d’accès aux vérifications des transactions, sans ralentir les acheteurs légitimes ni les agents d’achat venus effectuer un achat.
Quatre défis interconnectés
Une activité légitime peut ressembler à une attaque
Le credential stuffing, la prise de contrôle de comptes et les tests de cartes bancaires peuvent passer par des sessions apparemment légitimes. Le trafic des agents peut également présenter une autorité déléguée qui a été usurpée ou utilisée de manière abusive.
Les commerçants ne peuvent pas considérer tous les bots comme malveillants
Une stratégie de blocage généralisé peut entraver des activités automatisées légitimes. Les robots d’indexation destinés à l’entraînement, les extracteurs de données pour l’IA et les agents d’IA peuvent chacun nécessiter un traitement différent selon la stratégie commerciale du détaillant.
Les solutions ponctuelles laissent des lacunes
Des contrôles distincts pour les applications web, les bots, les API, le côté client, l’identité et la fraude peuvent générer des signaux fragmentés et des réponses incohérentes.
Les environnements hybrides et multiclouds accentuent les incohérences
Les vitrines en ligne, les API, les applications et les services peuvent être déployés dans des centres de données, des clouds, des sites en périphérie, des marques acquises et des écosystèmes de partenaires.
Comment F5 s’inscrit dans une démarche d’achat agentique de confiance
Classifier le trafic généré par l’IA et les systèmes automatisés
Classer le trafic lié à l’IA et le trafic automatisé
Les fonctionnalités de gestion des bots de F5 permettent de distinguer les automatisations autorisées des activités malveillantes en analysant les caractéristiques, l’intention et le comportement du trafic. Les commerçants peuvent ainsi appliquer des politiques différentes aux agents d’IA, aux robots d’indexation, aux extracteurs de données, aux tentatives d’utilisation abusive d’identifiants et aux bots transactionnels, plutôt que de traiter toutes les automatisations de la même manière.
Protégez les comptes et les transactions de vos clients
Protégez les comptes et les transactions de vos clients
Les solutions F5 de protection des applications et de lutte contre les bots peuvent contribuer à réduire les prises de contrôle de comptes, le bourrage d’identifiants, les tests de cartes bancaires, les abus lors du paiement, l’accaparement des stocks et la fraude aux programmes de fidélité, tout en préservant l’accès des clients légitimes et des agents d’achat autorisés.
Sécurisez les API qui sous-tendent le commerce entre agents
Sécurisez les API qui sous-tendent le commerce entre agents
Les achats agentiques s’appuient sur des API pour la recherche, la gestion des stocks, la tarification, l’identité, le paiement, la gestion des commandes et le service client. F5 Distributed Cloud API Security assure la découverte des API, la gestion de leur posture de sécurité, leur surveillance et leur protection tout au long du cycle commercial.
Protégez les expériences d’IA destinées aux clients
Protégez les expériences d’IA destinées aux clients
Les fonctionnalités de sécurité de l’IA de F5 et AI Guardrails peuvent contribuer à protéger les moteurs de recherche basés sur l’IA, les assistants d’achat et d’autres interactions reposant sur des LLM contre l’injection de prompts, les entrées et sorties non sécurisées, les fuites de données et les utilisations abusives.
Appliquez une protection cohérente dans tous les environnements
Appliquez une protection cohérente dans tous les environnements
La F5 Application Delivery and Security Platform réunit les fonctionnalités de mise à disposition et de sécurité des applications dans les environnements hybrides et multicloud, afin d’assurer une plus grande cohérence des politiques et de la visibilité pour les applications, les API, les services d’IA et le trafic automatisé.
Impact sur l’activité
Les commerçants qui ne sont pas en mesure d’identifier et de contrôler le trafic des agents risquent de bloquer des recommandations et des achats à forte valeur ajoutée, d’autoriser des automatisations frauduleuses, d’augmenter les rétrofacturations et les coûts opérationnels, d’exposer les informations de leurs clients ou de créer des obstacles qui réduisent le taux de conversion. Ceux qui mettent en place un accès sécurisé pour les agents peuvent prendre en charge un nouveau canal d’achat tout en gardant le contrôle sur les comptes, les API, les paiements, les interactions avec l’IA et les données clients.
Conclusion
Le commerce agentique n’est pas simplement un cas d’usage supplémentaire de la gestion des bots. Il marque le passage de parcours numériques centrés sur l’humain à un commerce dans lequel les machines peuvent rechercher, décider et effectuer des transactions pour le compte des utilisateurs. Une stratégie de sécurité efficace ne bloquera pas l’automatisation par défaut. Elle identifiera les agents d’IA légitimes, vérifiera l’autorisation des clients, appliquera des permissions précises, détectera les comportements malveillants et protégera l’intégralité du parcours de commerce numérique.
Point de vue de F5 : Permettez un commerce de confiance entre machines tout en sécurisant l’identité des agents, l’accès aux API, les interactions avec l’IA, les applications, les transactions et les données clients.
Pour plus d’informations, page de la solution F5 pour l’e-commerce
Prochaines étapes
Gartner, « Les RSSI doivent protéger le commerce agentique afin de prévenir les abus et de préserver les revenus », 10 août 2026, ID G00850599.
Gartner est une marque commerciale de Gartner, Inc. et/ou de ses sociétés affiliées.
Cadre de positionnement et de communication de F5 pour les secteurs de la distribution et du e-commerce, août 2026.