Quasi la metà del traffico eCommerce è generato da AI Bot: il rapporto Akamai 2026

Vettori d'Attacco: Le API Sono la Superficie Primaria, i DDoS Layer 7 Impennano del 104%

Il rapporto conferma che le API sono diventate il vettore d'attacco dominante. L'87% di tutte le organizzazioni ha subito un incidente di sicurezza legato alle API nel 2025 . Il settore commerce ha affrontato più di 200 miliardi di attacchi ad applicazioni e API tra il 2024 e il 2025 . Gli attacchi web alle API sono cresciuti del 9% tra il quarto trimestre del 2024 e il quarto trimestre del 2025, superando in volume gli attacchi alle applicazioni web tradizionali .

Gli attacchi DDoS di livello 7 (Layer 7) stanno esplodendo. Akamai riporta che questi attacchi sono aumentati del 104% in due anni (2023–2025), con un incremento del 61% su base annua solo dal 2024 al 2025 . Il settore commerce ha subito quasi tre trilioni di attacchi DDoS Layer 7 tra il 2024 e il 2025 . Il retail è stato il più colpito: l'84% di tutti gli attacchi DDoS Layer 7 al commercio ha preso di mira il settore retail .

Impennata Regionale: L'APAC Guida, Nord America ed EMEA Crescono Moderatamente

Le tendenze regionali mostrano divergenze significative :

• APAC — Crescita esplosiva: il conteggio dei bot è aumentato del 63%, più di qualsiasi altra regione . Il mercato dei viaggi frammentato dell'APAC e i programmi fedeltà lo hanno reso un bersaglio primario .
• LATAM — L'attività dei bot è aumentata del 48% .
• EMEA — Aumento moderato del 16% nell'attività dei bot automatizzati .
• Nord America — Aumento modesto del 7%, anche se il Nord America ha guidato l'attività grezza degli AI bot con 33 miliardi di conteggi .

Commercio Agentico: Nuovi Rischi che Sfumano il Confine tra Amico e Nemico

L'ascesa del commercio agentico — dove gli agenti di IA fanno acquisti, effettuano transazioni e interagiscono in modo autonomo per conto degli utenti — ha ridefinito radicalmente il panorama delle minacce. Gli aggressori stanno sfruttando attivamente il gap di fiducia tra interazioni umane e machine-driven .

Gli attori delle minacce armano gli AI bot per automatizzare attacchi avanzati che sfruttano i flussi di sessione, i meccanismi di autenticazione e la logica di business delle API, e per costruire e gestire identità false su larga scala . Il malware ha rappresentato il 56,5% dell'attività di minaccia sugli endpoint da novembre 2025 ad aprile 2026, indicando che i flussi di lavoro agentici espandono la superficie d'attacco degli endpoint .

Il rapporto avverte che gli agenti di shopping IA benigni e i bot dannosi ora appaiono quasi identici, rendendo insufficiente il solo rilevamento tradizionale dei bot .

Il Framework di Sicurezza Agentica di Akamai: Un Livello di Fiducia Unificato con Visa ed Experian

In risposta, Akamai ha annunciato il suo Agentic Security Framework unificato il 15 giugno 2026, per le sue soluzioni Bot & Agent Control . Il framework collega identità, osservabilità, fiducia e sicurezza perimetrale in un unico livello decisionale in tempo reale all'edge . Comprende sei pilastri strettamente integrati :

• Identità verificata e attribuzione umana
• Autenticazione incentrata sull'utente
• Analisi adattiva della fiducia
• Applicazione basata sull'edge
• Monetizzazione dei contenuti e scambio di valore
• Visibilità operativa e analisi del traffico

I partner dell'ecosistema includono Visa, Experian, Skyfire, Ping Identity, Auth0 e Tollbit . In particolare, Visa contribuisce con il suo Trusted Agent Protocol (TAP) per verificare crittograficamente gli agenti di shopping IA e prevenire frodi su Akamai Cloud . Il framework è progettato per rispondere alle domande fondamentali su identità, intento e fiducia sollevate quando gli agenti IA agiscono per conto degli utenti .

Cosa Dovrebbero Fare Ora i CISO: Raccomandazioni Strategiche

Sulla base dei risultati del rapporto, Akamai raccomanda le seguenti priorità per i leader della sicurezza :

• Adottare framework di sicurezza agent-aware: implementare un processo decisionale in tempo reale per identità, osservabilità e fiducia, invece di fare affidamento sul rilevamento legacy dei bot.
• Proteggere le API come superficie d'attacco primaria: trattare la sicurezza delle API come un imperativo di continuità aziendale, non solo come una preoccupazione tecnica. Condurre un monitoraggio continuo delle API e un'analisi comportamentale.
• Prepararsi per i DDoS Layer 7 nei periodi di punta del commercio: poiché il retail assorbe l'84% degli attacchi DDoS Layer 7 al commercio, è necessario potenziare le difese DDoS prima delle date di shopping ad alto traffico.
• Investire in difese regionalizzate: dare priorità all'APAC a causa del suo aumento del 63% dei bot, ma non trascurare EMEA e Nord America.
• Adottare standard di autenticazione emergenti: protocolli come il Trusted Agent Protocol (TAP) di Visa, Web Bot Authentication e Know Your Agent (KYA) portano la verifica crittografica alle interazioni bot/agente.
• Integrare i controlli anti-bot e antifrode: poiché gli AI bot ora offuscano il confine tra scraping legittimo e frode malevola, i team di sicurezza e antifrode devono unificare le loro strategie.