Près de la moitié du trafic e-commerce mondial est désormais généré par des bots IA : le rapport Akamai 2026 qui sonne l'alerte

Vecteurs d'attaque : les API sont devenues la surface d'attaque principale, les attaques DDoS de couche 7 explosent de 104%

Le rapport confirme que les API sont devenues le vecteur d'attaque dominant. 87% des organisations ont subi un incident de sécurité lié à une API en 2025 . Le secteur du commerce a subi plus de 200 milliards d'attaques sur ses applications et ses API entre 2024 et 2025 . Les attaques web sur les API ont augmenté de 9% entre le T4 2024 et le T4 2025, dépassant en volume les attaques web traditionnelles .

Les attaques DDoS de couche 7 explosent. Akamai rapporte que ces attaques ont bondi de 104% en deux ans (2023-2025), avec une augmentation de 61% entre 2024 et 2025 . Le secteur du commerce a subi près de trois billions d'attaques DDoS de couche 7 entre 2024 et 2025 . Le retail a été le plus durement touché — 84% de toutes les attaques DDoS de couche 7 sur le commerce ont ciblé le secteur du retail .

Explosion régionale : l'Asie-Pacifique en tête, l'Amérique du Nord et l'EMEA connaissent une croissance modérée

Les tendances régionales montrent des disparités significatives :

• Asie-Pacifique (APAC) — Croissance explosive : le nombre de bots a augmenté de 63%, plus que dans toute autre région . Le marché fragmenté du voyage et les programmes de fidélité en ont fait une cible de choix .
• Amérique latine (LATAM) — L'activité des bots a bondi de 48% .
• Europe, Moyen-Orient et Afrique (EMEA) — Augmentation modérée de 16% de l'activité automatisée des bots .
• Amérique du Nord — Augmentation modeste de 7%, bien que la région soit leader en volume brut d'activité de bots IA avec 33 milliards de requêtes .

Le commerce agentique : des risques inédits qui brouillent la frontière entre allié et ennemi

L'essor du commerce agentique — où des agents IA font leurs achats, effectuent des transactions et interagissent de manière autonome pour le compte d'utilisateurs — a fondamentalement redessiné le paysage des menaces. Les attaquants exploitent activement le fossé de confiance entre les interactions humaines et les interactions automatisées .

Les acteurs malveillants utilisent des bots IA pour automatiser des attaques avancées qui exploitent les flux de session, les mécanismes d'authentification et la logique métier des API, et pour créer et gérer des identités factices à grande échelle . Les logiciels malveillants ont représenté 56,5% de l'activité malveillante sur les terminaux de novembre 2025 à avril 2026, ce qui indique que les workflows agentiques élargissent la surface d'attaque des endpoints .

Le rapport avertit que les agents d'achat IA légitimes et les bots malveillants se ressemblent désormais à s'y méprendre, rendant la détection traditionnelle des bots insuffisante .

Le cadre de sécurité agentique d'Akamai : une couche de confiance unifiée avec Visa et Experian

En réponse, Akamai a annoncé son cadre de sécurité agentique unifié le 15 juin 2026, pour ses solutions Bot & Agent Control . Ce cadre connecte l'identité, l'observabilité, la confiance et la sécurité en périphérie (edge) en une seule couche décisionnelle en temps réel . Il repose sur six piliers étroitement intégrés :

• Identité vérifiée et attribution humaine
• Authentification centrée sur l'utilisateur
• Analyse de confiance adaptative
• Application de règles en périphérie
• Monétisation du contenu et échange de valeur
• Visibilité opérationnelle et analyse du trafic

Les partenaires de l'écosystème incluent Visa, Experian, Skyfire, Ping Identity, Auth0 et Tollbit . Notamment, Visa contribue via son Trusted Agent Protocol (TAP) pour vérifier cryptographiquement les agents d'achat IA et prévenir la fraude sur l'infrastructure cloud d'Akamai . Le cadre est conçu pour répondre aux questions fondamentales d'identité, d'intention et de confiance soulevées lorsque des agents IA agissent pour le compte d'utilisateurs .

Que doivent faire les RSSI maintenant ? Recommandations stratégiques

Sur la base des conclusions du rapport, Akamai recommande les priorités suivantes aux responsables de la sécurité :

• Adopter des cadres de sécurité conscients des agents — Mettre en œuvre une prise de décision en temps réel sur l'identité, l'observabilité et la confiance, plutôt que de se reposer sur la détection traditionnelle des bots.
• Sécuriser les API en tant que surface d'attaque principale — Considérer la sécurité des API comme un impératif de continuité d'activité, et non comme une simple préoccupation technique. Mener une découverte continue des API et une surveillance comportementale.
• Se préparer aux attaques DDoS de couche 7 pendant les périodes de pointe du commerce — Étant donné que le retail concentre 84% des attaques DDoS sur le commerce, il est crucial d'adapter les défenses DDoS avant les périodes de soldes et de forte affluence.
• Investir dans des défenses régionalisées — Accorder la priorité à l'Asie-Pacifique en raison de la flambée de 63% des bots, sans négliger l'EMEA et l'Amérique du Nord.
• Adopter les nouveaux standards d'authentification — Des protocoles comme le Trusted Agent Protocol (TAP) de Visa, l'authentification Web Bot et le principe Know Your Agent (KYA) apportent une vérification cryptographique aux interactions avec les bots et les agents.
• Intégrer les contrôles anti-bots et anti-fraude — Étant donné que les bots IA brouillent désormais la frontière entre le scraping légitime et la fraude malveillante, les équipes de sécurité et de lutte contre la fraude doivent unifier leurs stratégies.