Cloudflare ha ampliado sus herramientas para que los responsables de sitios web identifiquen y gestionen el tráfico generado por agentes personales de IA que actúan en nombre de usuarios. La compañía presenta nuevos paneles de analítica y políticas de acceso más finas destinadas a distinguir entre solicitudes humanas y las realizadas por asistentes personales, de modo que los administradores puedan aceptar, limitar o bloquear esos agentes según el negocio.
Qué muestran las nuevas analíticas y por qué importan
Las novedades introducen en Security Analytics una categoría específica llamada Personal Assistants que aparece junto a las clasificaciones existentes (Verified Bot, Likely Human, Likely Automated y Automated). Al seleccionar esa categoría, los equipos de seguridad y operaciones pueden ver la evolución del tráfico generado por agentes personales a lo largo del tiempo.
Además, en las estadísticas principales se añade un widget de Personal Assistants que lista los agentes detectados y el número de solicitudes de cada uno. Al filtrar por un agente en concreto, el resto de widgets se actualizan para mostrar rutas solicitadas, códigos de estado HTTP y redes de origen. Con ello se puede comprobar de un vistazo si un agente realiza inicios de sesión, consulta fichas de producto, llega al proceso de compra o encuentra errores en páginas no compatibles.
Contexto de cuentas y ayuda al equipo antifraude
Para sitios que usan Account Abuse Protection (mencionado en la nota como disponible en acceso temprano), Cloudflare añade visibilidad sobre qué usuario representa cada agente. La página de visión global muestra qué agentes están activos entre los usuarios y cuántas cuentas los usan, y los eventos de registro o inicio de sesión indican si la acción provino de un agente y cuál.
Esto facilita investigaciones: un analista puede ver si un inicio de sesión anómalo provino de un agente que el cliente usa habitualmente o de uno nuevo, y reaccionar de forma dirigida. Cloudflare describe la posibilidad de mitigar un problema sobre una cuenta concreta aplicando una regla WAF sobre el Hashed User ID sin bloquear al agente para todos los demás usuarios.
Políticas de acceso más granulares para agentes personales
Cloudflare amplía las políticas que ya ofrecía para bots y AI, renombrando el ajuste como AI Crawler and Agent access policies. Ahora es posible definir una política global para agentes y opciones separadas por cada agente personal compatible: Allow (permitir), Block on pages with ads (bloquear en páginas con publicidad) o Block (bloquear).
Durante el alta de una nueva zona, el asistente de Cloudflare pregunta si el sitio monetiza páginas con anuncios y sugiere políticas iniciales en función de la respuesta; esas decisiones pueden revisarse posteriormente en Security Settings.
Qué cambia para administradores y dueños de sitios
- Visibilidad: los administradores ganan información sobre qué agentes visitan su web, qué rutas consultan y cómo interactúan con secciones sensibles como login o checkout.
- Control: se pueden aplicar políticas diferenciadas por agente para permitir acceso completo, limitarlo en páginas con anuncios o bloquearlo.
- Investigación y mitigación: al vincular agentes con cuentas de usuario, los equipos antifraude pueden tomar medidas dirigidas sin penalizar a usuarios legítimos que usan asistentes.
En la práctica, los responsables de una web deben revisar los nuevos paneles para identificar agentes relevantes para su negocio (por ejemplo, asistentes que ayudan a encontrar artículos o productos) y ajustar las políticas: permitir agentes útiles, bloquear los que consuman recursos o afecten ingresos por anuncios, y aplicar mitigaciones específicas en caso de actividad sospechosa.
Próximos pasos y retos pendientes
Cloudflare indica que el siguiente objetivo es preservar el contexto del usuario cuando un agente actúa como intermediario —por ejemplo, transmitir si la persona es cliente, qué autorizaciones ha dado o qué protecciones aplicar— de forma compatible con la privacidad. La compañía menciona que trabajará con operadores de agentes y actores del ecosistema para explorar mecanismos que permitan llevar reputación y responsabilidad sin comprometer datos personales.
Mientras tanto, la recomendación práctica es que los equipos que gestionan sitios y tiendas online revisen Security Settings → AI Crawler and Agent access policies y evalúen las opciones que mejor protejan ingresos y experiencia de usuario.
Lee también:
- Investigador demuestra que un LLM local casi descubre PHP2Shell antes de su divulgación
- Ola de ciberataques afecta frigoríficos de supermercados en Europa y obliga a desechar alimentos
Fuente: Cloudflare Blog
