Casi la mitad del tráfico en plataformas de comercio ya es generado por bots de IA: el informe de Akamai que prende las alarmas

Casi la mitad del tráfico de comercio ya son bots de IA

A diciembre de 2025, el 47,9% de todo el tráfico de comercio en la red global de Akamai consistía en bots de IA . Las tres fuentes de bots de IA más observadas fueron OpenAI, ByteDance y Anthropic . El tráfico de bots de IA aumentó un 19% interanual en 2025, impulsado principalmente por el sector minorista . En una sola ventana de dos meses (julio-agosto de 2025), Akamai observó más de 25 mil millones de solicitudes de bots de IA dirigidas a la industria del comercio .

Vectores de ataque: las APIs son la superficie principal, los DDoS de capa 7 se disparan un 104%

El informe confirma que las APIs se han convertido en el vector de ataque dominante. El 87% de todas las organizaciones experimentó un incidente de seguridad relacionado con APIs en 2025 . La industria del comercio enfrentó más de 200 mil millones de ataques a aplicaciones y APIs entre 2024 y 2025 . Los ataques a APIs web crecieron un 9% entre el cuarto trimestre de 2024 y el cuarto trimestre de 2025, superando en volumen a los ataques tradicionales a aplicaciones web .

Los ataques DDoS de capa 7 están explotando. Akamai reporta que estos ataques se dispararon un 104% en dos años (2023-2025), con un aumento interanual del 61% solo de 2024 a 2025 . El comercio enfrentó cerca de tres billones de ataques DDoS de capa 7 entre 2024 y 2025 . El sector minorista fue el más afectado: el 84% de todos los ataques DDoS de capa 7 contra el comercio se dirigieron al retail .

Aumento regional: APAC lidera, Norteamérica y EMEA crecen moderadamente

Las tendencias regionales muestran divergencias significativas :

• APAC — Crecimiento explosivo: el recuento de bots aumentó un 63%, más que en cualquier otra región . El fragmentado mercado de viajes y los programas de fidelización de APAC lo convirtieron en un objetivo principal .
• LATAM — La actividad de bots se disparó un 48% .
• EMEA — Aumento moderado del 16% en la actividad automatizada de bots .
• Norteamérica — Aumento modesto del 7%, aunque Norteamérica lideró en actividad bruta de bots de IA con 33 mil millones de recuentos .

Comercio agéntico: nuevos riesgos que difuminan la línea entre amigo y enemigo

El auge del comercio agéntico —donde los agentes de IA compran, realizan transacciones e interactúan de forma autónoma en nombre de los usuarios— ha reconfigurado fundamentalmente el panorama de amenazas. Los atacantes están explotando activamente la brecha de confianza entre las interacciones humanas y las impulsadas por máquinas .

Los actores maliciosos utilizan bots de IA para automatizar ataques avanzados que explotan flujos de sesión, mecanismos de autenticación y la lógica de negocio de las APIs, además de crear y gestionar identidades falsas a gran escala . El malware representó el 56,5% de la actividad de amenazas en los endpoints entre noviembre de 2025 y abril de 2026, lo que indica que los flujos de trabajo agénticos expanden la superficie de ataque de los endpoints .

El informe advierte que los agentes de compra de IA benignos y los bots maliciosos ahora se ven casi idénticos, lo que hace que la detección tradicional de bots por sí sola sea insuficiente .

El marco de seguridad agéntico de Akamai: una capa de confianza unificada con Visa y Experian

En respuesta, Akamai anunció su marco unificado de seguridad agéntico (Agentic Security Framework) el 15 de junio de 2026 para sus soluciones Bot & Agent Control . El marco conecta identidad, observabilidad, confianza y seguridad perimetral en una única capa de toma de decisiones en tiempo real en el borde de la red . Se compone de seis pilares estrechamente integrados :

• Identidad verificada y atribución humana
• Autenticación centrada en el usuario
• Análisis de confianza adaptativo
• Cumplimiento en el borde
• Monetización de contenido e intercambio de valor
• Visibilidad operativa y análisis de tráfico

Los socios del ecosistema incluyen a Visa, Experian, Skyfire, Ping Identity, Auth0 y Tollbit . En particular, Visa aporta su Protocolo de Agente de Confianza (TAP) para verificar criptográficamente a los agentes de compra de IA y prevenir el fraude en Akamai Cloud . El marco está diseñado para responder a las preguntas fundamentales de identidad, intención y confianza que surgen cuando los agentes de IA actúan en nombre de los usuarios .

Lo que los CISOs deben hacer ahora: recomendaciones estratégicas

Basándose en los hallazgos del informe, Akamai recomienda las siguientes prioridades para los líderes de seguridad :

• Adoptar marcos de seguridad conscientes de los agentes — Implementar la toma de decisiones en tiempo real sobre identidad, observabilidad y confianza, en lugar de depender de la detección de bots heredada.
• Asegurar las APIs como la superficie de ataque principal — Tratar la seguridad de las APIs como un imperativo de continuidad del negocio, no solo como una preocupación técnica. Realizar un descubrimiento continuo de APIs y monitoreo de comportamiento.
• Prepararse para DDoS de capa 7 en períodos pico de comercio — Dado que el retail absorbe el 84% de los ataques DDoS de capa 7 contra el comercio, escalar las defensas DDoS antes de las fechas de alto tráfico de compras.
• Invertir en defensas regionalizadas — Priorizar APAC debido a su aumento de bots del 63%, pero sin descuidar EMEA y Norteamérica.
• Adoptar estándares de autenticación emergentes — Protocolos como el Protocolo de Agente de Confianza (TAP) de Visa, la Autenticación Web de Bots y Know Your Agent (KYA) aportan verificación criptográfica a las interacciones de bots/agentes.
• Integrar los controles de bots y fraude — Dado que los bots de IA ahora difuminan la línea entre el scraping legítimo y el fraude malicioso, los equipos de seguridad y fraude deben unificar sus estrategias.