بر اساس گزارش جدید State of Bot & Agent Security 2026، فعالیت ربات‌های مخرب بین جولای ۲۰۲۵ تا ژوئن ۲۰۲۶ رشد خیره‌کننده ۱۲۴ درصدی داشته است، در حالی که ترافیک انسانی تنها ۱۳.۲ درصد افزایش یافته است. این داده‌ها نشان می‌دهد که ترافیک ربات‌ها با سرعتی ۹ برابر بیشتر از کاربران واقعی در حال رشد است.
رشد ترافیک AI و عامل‌های هوشمند
ترافیک مربوط به Agentهای هوش مصنوعی و خزنده‌های (Crawlers) مدل‌های زبانی بزرگ (LLM) در همین بازه زمانی ۸۲.۳ درصد رشد کرده است. در مجموع، ربات‌ها و AI Agentها حدود ۲۶.۵ درصد از کل ترافیک تحلیل شده در بیش از ۷۵,۰۰۰ وب‌سایت را به خود اختصاص داده‌اند.
تحلیل انواع حملات رباتیک
- Web Scraping: با سهم ۷۰.۹ درصدی، غالب‌ترین نوع فعالیت ربات‌های مخرب است که هدف آن استخراج داده‌ها در مقیاس وسیع است.
- Credential Stuffing: این حملات الگویی تکرارپذیر دارند؛ مهاجمان پس از حملات حجیم، برای به‌روزرسانی لیست‌های دسترسی و تغییر زیرساخت (Infrastructure Rotation) موقتاً عقب‌نشینی کرده و سپس بازمی‌گردند.
- DDoS و Spam: فعالیت‌های مربوط به حملات منع سرویس و ارسال اسپم نیز در این بازه افزایش یافته است.
سطوح پیچیدگی ربات‌ها
ربات‌ها بر اساس پیچیدگی به سه دسته تقسیم می‌شوند:
- ربات‌های ساده (Simple Bots): برای شناسایی (Reconnaissance) و اسکن اهداف آسان استفاده می‌شوند و در برابر سایت‌های با حفاظت پایین موثر هستند.
- ربات‌های با پیچیدگی متوسط: از چارچوب‌های Browser Automation برای شبیه‌سازی نشست‌های (Sessions) مرورگر استفاده می‌کنند تا شناسایی آن‌ها سخت‌تر شود.
- ربات‌های پیشرفته: از ابزارهای پیچیده و اثرانگشت‌های مرورگر (Browser Fingerprints) جعلی استفاده می‌کنند تا سیگنال‌های اتوماسیون را پنهان کنند.
چالش‌های دفاعی و نقاط ضعف
گزارش اشاره می‌کند که سیگنال‌های سمت مرورگر (Browser-side signals) به تنهایی کافی نیستند، زیرا مهاجمان می‌توانند آن‌ها را تقلید یا حذف کنند. همچنین، درخواست‌هایی که مستقیماً APIها یا End-pointهای موبایل را هدف قرار می‌دهند، هرگز کدهای سمت کلاینت را اجرا نمی‌کنند.
نتیجه تست‌ها: حدود ۶۵.۳ درصد از وب‌سایت‌های محبوب مورد آزمایش، نتوانستند هیچ‌کدام از ۱۰ ربات شبیه‌سازی شده را شناسایی کنند و تنها ۲.۴ درصد موفق شدند تمامی انواع ربات‌ها را مسدود یا به چالش (Challenge) بکشند.
توصیه برای مدیران امنیت
با افزایش ترافیک AI به صفحات Login (رشد ۸ برابری در نیمه اول ۲۰۲۶)، تمایز بین یک دستیار AI مشروع و یک ربات تست اعتبار (Credential-testing bot) حیاتی است. سیستم‌های امنیتی باید به جای تصمیمات باینری (ساده)، توالی (Sequence)، سرعت، حجم و کانتکست هر تعامل را تحلیل کنند.
