Майже половина всього трафіку в комерції — це AI-боти: звіт Akamai 2026

Майже половина трафіку в комерції — це AI-боти

Станом на грудень 2025 року 47,9% усього трафіку комерції в глобальній мережі Akamai складали AI-боти . Трьома найпоширенішими джерелами AI-ботів виявилися OpenAI, ByteDance та Anthropic . У 2025 році трафік AI-ботів зріс на 19% порівняно з попереднім роком, головним чином завдяки вертикалі рітейлу . Лише за два місяці (липень–серпень 2025 року) Akamai зафіксувала понад 25 мільярдів запитів від AI-ботів, спрямованих на сферу комерції .

Вектори атак: API — основна поверхня, а Layer 7 DDoS зростає на 104%

Звіт підтверджує, що API стали домінантним вектором атак. 87% усіх організацій у 2025 році зіткнулися з інцидентами безпеки, пов'язаними з API . Сфера комерції зазнала понад 200 мільярдів атак на додатки та API між 2024 та 2025 роками . Кількість веб-атак на API зросла на 9% між Q4 2024 та Q4 2025 року, перевищивши за обсягом традиційні атаки на веб-додатки .

Атаки Layer 7 DDoS вибухнули. Akamai повідомляє, що ці атаки зросли на 104% за два роки (2023–2025), причому річний приріст з 2024 по 2025 рік склав 61% . Сфера комерції зіткнулася майже з трьома трильйонами атак Layer 7 DDoS між 2024 та 2025 роками . Найбільше постраждав рітейл — 84% усіх Layer 7 DDoS-атак на комерцію були спрямовані на цю вертикаль .

Регіональний сплеск: APAC лідирує, Північна Америка та EMEA демонструють помірне зростання

Регіональні тенденції демонструють значну дивергенцію :

• APAC — Вибухове зростання: кількість ботів збільшилася на 63%, що більше, ніж у будь-якому іншому регіоні . Фрагментований ринок подорожей та програми лояльності в APAC зробили його першочерговою ціллю .
• LATAM — Активність ботів зросла на 48% .
• EMEA — Помірне зростання автоматизованої бот-активності на 16% .
• Північна Америка — Незначне зростання на 7%, хоча Північна Америка лідирувала за абсолютною кількістю AI-ботів — 33 мільярди .

Агентна комерція: нові ризики, які стирають межу між другом і ворогом

Розвиток агентної комерції (agentic commerce), де AI-агенти самостійно роблять покупки, проводять транзакції та взаємодіють від імені користувачів, докорінно змінив ландшафт загроз. Зловмисники активно експлуатують розрив довіри між людськими та машинними взаємодіями .

Зловмисники використовують AI-ботів для автоматизації складних атак, які експлуатують сесійні потоки, механізми автентифікації та бізнес-логіку API, а також для створення та управління фальшивими особами в масштабі . Шкідливе програмне забезпечення становило 56,5% активності загроз на кінцевих точках з листопада 2025 по квітень 2026 року, що вказує на те, що агентні робочі процеси розширюють поверхню атак на кінцевих точках .

Звіт попереджає, що легітимні AI-агенти для покупок і шкідливі боти тепер виглядають майже ідентично, що робить традиційне виявлення ботів недостатнім .

Рамка безпеки для агентів від Akamai: єдиний рівень довіри з Visa та Experian

У відповідь на це Akamai 15 червня 2026 року оголосила про запуск своєї єдиної рамки безпеки для агентів (Agentic Security Framework) для рішень Bot & Agent Control . Ця рамка об'єднує ідентифікацію, спостережуваність, довіру та периферійну безпеку в єдиний рівень прийняття рішень у реальному часі на периферії . Вона складається з шести тісно інтегрованих стовпів :

• Верифікована особа та атрибуція людини
• Орієнтована на користувача автентифікація
• Адаптивний аналіз довіри
• Примусове виконання на периферії
• Монетизація контенту та обмін цінністю
• Операційна видимість та аналіз трафіку

Екосистема партнерів включає Visa, Experian, Skyfire, Ping Identity, Auth0 та Tollbit . Примітно, що Visa надає свій Trusted Agent Protocol (TAP) для криптографічної верифікації AI-агентів покупок та запобігання шахрайству в хмарі Akamai . Рамка покликана дати відповіді на ключові питання щодо ідентичності, намірів та довіри, які виникають, коли AI-агенти діють від імені користувачів .

Що робити CISO: стратегічні рекомендації

На основі висновків звіту Akamai рекомендує керівникам з безпеки наступні пріоритети :

• Впроваджуйте рамки безпеки, що враховують агентів — Використовуйте прийняття рішень щодо ідентичності, спостережуваності та довіри в реальному часі, а не покладайтеся на застарілі методи виявлення ботів.
• Забезпечте безпеку API як основної поверхні атак — Ставтеся до безпеки API як до імперативу безперервності бізнесу, а не лише технічного питання. Проводьте безперервне виявлення API та моніторинг поведінки.
• Готуйтеся до Layer 7 DDoS у пікові періоди комерції — Оскільки рітейл приймає на себе 84% Layer 7 DDoS-атак на комерцію, масштабуйте захист від DDoS напередодні днів з високим трафіком покупок.
• Інвестуйте в регіоналізований захист — Приділяйте пріоритетну увагу APAC через 63% сплеск ботів, але не ігноруйте EMEA та Північну Америку.
• Впроваджуйте нові стандарти автентифікації — Такі протоколи, як Trusted Agent Protocol (TAP) від Visa, Web Bot Authentication та Know Your Agent (KYA), забезпечують криптографічну верифікацію для взаємодії ботів/агентів.
• Інтегруйте засоби контролю ботів та шахрайства — Оскільки AI-боти тепер стирають межу між легітимним скрапінгом та зловмисним шахрайством, команди безпеки та боротьби з шахрайством повинні об'єднати свої стратегії.