Bots de IA dominam o comércio online: quase metade do tráfego é automatizado

Quase metade do tráfego no comércio é de bots de IA

Em dezembro de 2025, 47,9% de todo o tráfego de comércio na rede global da Akamai era composto por bots de IA . As três fontes mais observadas foram OpenAI, ByteDance e Anthropic . O tráfego de bots de IA cresceu 19% em 2025 na comparação anual, impulsionado principalmente pelo setor de varejo . Em apenas dois meses (julho e agosto de 2025), a Akamai detectou mais de 25 bilhões de requisições de bots de IA direcionadas ao comércio .

Vetores de ataque: APIs são o principal alvo, DDoS de camada 7 dispara 104%

O relatório confirma que as APIs (interfaces de programação de aplicações) se tornaram o principal vetor de ataque. 87% de todas as organizações sofreram um incidente de segurança relacionado a APIs em 2025 . O setor de comércio enfrentou mais de 200 bilhões de ataques a aplicações e APIs entre 2024 e 2025 . Os ataques a APIs web cresceram 9% entre o quarto trimestre de 2024 e o mesmo período de 2025, superando os ataques tradicionais a aplicações web em volume .

Já os ataques DDoS na camada de aplicação (Layer 7) estão explodindo. A Akamai registrou um aumento de 104% nesses ataques em dois anos (2023–2025), com um crescimento de 61% apenas de 2024 para 2025 . O comércio enfrentou quase três trilhões de ataques DDoS de camada 7 entre 2024 e 2025 . O varejo foi o mais atingido: 84% de todos os ataques DDoS de camada 7 no comércio tiveram o varejo como alvo .

Onda regional: APAC lidera; América do Norte e EMEA têm crescimento moderado

As tendências regionais mostram divergências significativas :

• APAC (Ásia-Pacífico) — Crescimento explosivo: a atividade de bots aumentou 63%, mais que qualquer outra região, impulsionada pelo mercado de viagens fragmentado e programas de fidelidade .
• América Latina (LATAM) — A atividade de bots disparou 48% .
• EMEA (Europa, Oriente Médio e África) — Aumento moderado de 16% na atividade automatizada de bots .
• América do Norte — Aumento modesto de 7%, embora lidere em volume bruto de atividade de bots de IA, com 33 bilhões de requisições .

Comércio agêntico: novos riscos que borram a linha entre amigo e inimigo

A ascensão do comércio agêntico (ou agentic commerce) – onde agentes de IA fazem compras, realizam transações e interagem autonomamente em nome dos usuários – reformulou profundamente o cenário de ameaças. Os atacantes estão explorando ativamente a lacuna de confiança entre interações humanas e automatizadas .

Esses agentes maliciosos usam bots de IA para automatizar ataques avançados que exploram fluxos de sessão, mecanismos de autenticação e a lógica de negócios das APIs, além de criar e gerenciar identidades falsas em escala . O malware foi responsável por 56,5% da atividade de ameaças em endpoints entre novembro de 2025 e abril de 2026, indicando que os fluxos de trabalho agênticos expandem a superfície de ataque .

O relatório alerta que agentes de compras legítimos e bots maliciosos agora são quase idênticos, tornando a detecção tradicional de bots insuficiente .

Framework de Segurança Agêntica da Akamai: uma camada de confiança unificada com Visa e Experian

Em resposta, a Akamai anunciou em 15 de junho de 2026 seu Framework de Segurança Agêntica unificado para suas soluções de Bot & Agent Control . O framework conecta identidade, observabilidade, confiança e segurança de borda (edge) em uma única camada de decisão em tempo real . Ele é composto por seis pilares integrados :

• Identidade verificada e atribuição humana
• Autenticação centrada no usuário
• Análise adaptativa de confiança
• Aplicação de políticas na borda (edge enforcement)
• Monetização de conteúdo e troca de valor
• Visibilidade operacional e análise de tráfego

Parceiros do ecossistema incluem Visa, Experian, Skyfire, Ping Identity, Auth0 e Tollbit . A Visa contribui com seu Trusted Agent Protocol (TAP), que verifica criptograficamente agentes de compras de IA e previne fraudes na nuvem da Akamai . O framework foi projetado para responder às questões fundamentais de identidade, intenção e confiança levantadas quando agentes de IA agem em nome de usuários .

O que CISOs devem fazer agora: recomendações estratégicas

Com base nos achados do relatório, a Akamai recomenda que líderes de segurança priorizem as seguintes ações :

• Adotar frameworks de segurança preparados para agentes — Implementar decisões em tempo real sobre identidade, observabilidade e confiança, em vez de depender apenas da detecção tradicional de bots.
• Proteger as APIs como superfície de ataque principal — Tratar a segurança de APIs como uma necessidade de continuidade de negócios, não apenas como uma preocupação técnica. Realizar descoberta contínua de APIs e monitoramento comportamental.
• Preparar-se para DDoS de camada 7 em períodos de pico do comércio — Como o varejo absorve 84% dos ataques DDoS de camada 7 no comércio, é essencial escalar as defesas antes de datas de alto tráfego de compras.
• Investir em defesas regionalizadas — Priorizar a APAC devido ao aumento de 63% na atividade de bots, mas sem negligenciar EMEA e América do Norte, onde os patamares de ataque continuam elevados.
• Adotar padrões emergentes de autenticação — Protocolos como o Trusted Agent Protocol (TAP) da Visa, Web Bot Authentication e Know Your Agent (KYA) trazem verificação criptográfica para interações entre bots e agentes.
• Integrar controles de bots e fraudes — Como os bots de IA agora borram a linha entre scraping legítimo e fraude maliciosa, as equipes de segurança e de combate a fraudes precisam unificar suas estratégias.