‏چطور ایجنت‌های هوش مصنوعی رو روی سایتت شناسایی کنی؟

ایجنت‌های هوش مصنوعی دیگه فقط کرالرهای ساده‌ای نیستن که محتوا بخونن و برن. امروز این ایجنت‌ها فرم پر می‌کنن، خرید انجام می‌دن، قیمت‌ها رو مقایسه می‌کنن، و حتی برای اهداف کاملاً مخرب — مثل تست کارت‌های اعتباری دزدیده‌شده یا سوءاستفاده از تخفیف‌های ثبت‌نام — طراحی می‌شن. مشکل اینجاست که ابزارهای سنتی مثل Cloudflare یا حتی Google Analytics برای مقابله با این نسل از بات‌ها ساخته نشدن.

سه روش اصلی برای شناسایی این ترافیک وجود داره. اول، بررسی سرور لاگ‌ها: خیلی از کرالرهای AI هویت خودشون رو توی رشته‌ی User-Agent اعلام می‌کنن؛ مثلاً GPTBot از OpenAI یا ClaudeBot از Anthropic. این روش رایگانه و نقطه‌ی شروع خوبیه، ولی فقط بات‌هایی رو می‌گیره که صادقانه خودشون رو معرفی می‌کنن. دوم، ابزارهای تخصصی تشخیص ایجنت مثل cside که با نصب یه اسکریپت جاوااسکریپت روی سایت، چهار لایه‌ی سیگنال رو همزمان رصد می‌کنن. سوم، پلتفرم‌های سنتی بات‌شناسی مثل Cloudflare Bot Fight Mode که برای بات‌های اسکریپتی معمولی مفیدن، اما در برابر ایجنت‌های پیشرفته‌تر کم می‌آرن — تیم cside در ۸۱ تست از ۱۰۰، از دو پلتفرم بزرگ عبور کرد.

ابزارهای تخصصی روی چهار لایه‌ی سیگنال تمرکز دارن. لایه‌ی هویت User-Agent و امضای کرالرهای شناخته‌شده رو بررسی می‌کنه. لایه‌ی شبکه منبع درخواست رو آنالیز می‌کنه: IP‌های datacenter (مثل AWS یا GCP)، fingerprint TLS — که اگه مرورگر ادعا کنه Chrome هست ولی fingerprint‌اش شبیه یه اسکریپت Python باشه مشکوکه — و تناقض جغرافیایی بین آی‌پی و تنظیمات زبان/timezone مرورگر.

لایه‌ی مرورگر/دستگاه دنبال رد پای فریمورک‌های اتوماسیون می‌گرده. ابزارهایی مثل Playwright و Puppeteer از طریق پروتکل Chrome DevTools (CDP) مرورگر رو کنترل می‌کنن و آثاری مثل پیشوند cdc_ در آبجکت‌های window باقی می‌ذارن. ناسازگاری در API‌های مرورگر مثل WebGL، Canvas، یا Audio Context هم نشانه‌ی دستکاری‌ان. لایه‌ی رفتاری هم سرعت تایپ، الگوی پر کردن فرم، حرکت ماوس، و دقیقاً جایی که کلیک می‌شه رو بررسی می‌کنه — مثلاً یه ابزار مشخص همیشه دقیقاً مرکز دکمه رو کلیک می‌کرد، که همین الگوی خیلی دقیق خودش یه سیگنال شناسایی بود.

یه نکته‌ی مهم: Google Analytics و PostHog اصلاً برای شناسایی ایجنت طراحی نشدن. کرالرهایی مثل GPTBot اصلاً جاوااسکریپت اجرا نمی‌کنن پس توی analytics دیده نمی‌شن. ایجنت‌های مبتنی بر مرورگر هم عملاً مثل کاربر واقعی به نظر می‌رسن. با این حال با تنظیم پارامترهای سفارشی می‌شه بعضی سیگنال‌های مشکوک رو دید: اسپایک ناگهانی از یه کشور geo-block شده، ترافیک زیاد از یه resolution صفحه‌نمایش خاص، یا جهش عجیب از یه شهر یا کشور غیرمرتبط.

در نهایت، جواب درست بلاک کردن کور نیست. خیلی از ایجنت‌ها از طرف مشتریان واقعی‌ای ارسال می‌شن که می‌خوان قیمت مقایسه کنن یا خرید انجام بدن. رویکرد جدید «طبقه‌بندی هدف» هست: به جای اینکه بپرسی «آیا این بات هست؟» باید بپرسی «این بات دنبال چیه؟» و بر اساس ریسک‌اسکور تصمیم بگیری که اجازه بدی، به چالش بکشی، یا بلاک کنی.

نکات کلیدی:

• کرالرهای AI معروف مثل GPTBot و ClaudeBot خودشون رو توی User-Agent معرفی می‌کنن؛ چک کردن سرور لاگ اولین قدمه
• ابزارهای تخصصی چهار لایه‌ی هویت، شبکه، مرورگر، و رفتار رو همزمان رصد می‌کنن
• ۸۱٪ از تست‌های ایجنت‌محور از سیستم‌های بات‌شناسی سنتی عبور کردن
• Google Analytics ایجنت‌های مرورگری رو به‌عنوان کاربر واقعی ثبت می‌کنه
• CAPTCHA دیگه سد مطمئنی نیست؛ مدل‌های بینایی AI سریع‌تر از انسان‌ها حلش می‌کنن
• هدف باید «طبقه‌بندی هدف ایجنت» باشه، نه بلاک کردن همه‌چیز