大数跨境
首页
>
AI Web Agent识别的一些方法
>

AI Web Agent识别的一些方法

AI Web Agent识别的一些方法 AI与安全
2026-11-13
1
导读：--新技术带来的新问题--2026年11月11日，美国联合航空（United Airlines）宣布，将限制未经授权的第三方AI Agent访问其网站、App及订票渠道。
2026年11月11日，美国联合航空（United Airlines）宣布，将限制未经授权的第三方AI Agent访问其网站、App及订票渠道。
--新技术带来的新问题，这个领域需要探索。
过去，Web安全主要区分真人（Human）和传统机器人（Bot）。如今，能够理解任务、控制浏览器、代表用户持续执行操作的Web Agent，正在成为第三类访问主体。它们带来效率，也改变了网站的访问控制与交易风险模型。本文梳理几篇代表性论文的识别原理，以及Akamai、DataDome、HUMAN和Cloudflare等厂商的技术路线，最后讨论Agent行为识别如何扩展到Web之外。
图1  网站访问主体演变：Human、Traditional Bot与Web Agent

一、为什么需要识别Web Agent？
以航空订票为例，传统爬虫多用于查询和采集信息，而Web Agent可能直接登录旅客账号、选择航班、填报信息、使用里程甚至完成支付。这类访问可能完全使用正常浏览器和合法会话，但程序的决策方式与真人不同。即使Agent是由用户主动启动，也并不意味着每一步交易都获得了充分授权。
这就产生了一些新的风险：其一，操作误差可能造成错误订票、重复支付等真实业务损失；其二，恶意网页可能通过提示注入改变Agent的后续行为；其三，具备用户凭据的Agent可能跨越搜索、账户修改和交易执行之间的权限边界。另一方面，Agent本身并非恶意流量，简单封禁也会损害正常用户体验。
因此，“识别是否为Agent”只是起点。更完整的问题是：它使用什么客户端、代表谁、正在执行什么任务、是否获得授权，以及当前操作是否需要再次确认。
二、论文，如何识别Web Agent？
1. FP-Agent：以浏览器指纹和行为指纹识别不同访问主体
《FP-Agent: Fingerprinting AI Browsing Agents》（2026年5月）在受控蜜罐网站安排机票预订、在线购物和论坛交互三类任务，收集真人与七种浏览器Agent的浏览器环境及操作行为，最终训练多分类模型。研究表明，多种Agent可能共享相似浏览器指纹，但键盘、鼠标和滚动模式通常更有区别度。
图2  FP-Agent的采集与多分类流程

例如，部分Agent通过粘贴或程序化赋值填写表单，而真人输入包含连续按键、抬键及不规则停顿；部分Agent点击时直接定位目标元素，不留下完整鼠标轨迹。论文在特定测试中识别了七种受测Agent，而对比的Cloudflare配置只识别其中一种。这是受控场景结果，不可推断为通用生产检出率。
图3  不同输入方式为何可能成为识别特征（示意，不是原始实验测量曲线）
论文地址：https://arxiv.org/abs/2605.01247
2. 三分类与特征工程：为什么Human/Bot二分类不够？
《What Does It Take to Detect an AI Agent?》（2026年7月）直接把问题转为Human / Bot / Agent三分类。研究强调 mouse_event_rate（鼠标事件频率）和 teleport_click_ratio（缺乏完整轨迹的直接点击比例）等特征。相关受控实验曾报告非常高的召回率与精确率，但其有效性依赖特定自动化框架和数据集，不能理解为任意Agent都能被准确检出。
论文地址：https://arxiv.org/abs/2607.26935
3. 多层指纹：不仅判断是否为Agent，还尝试判断来源
《Whose Agent Are You?》将TLS/HTTP网络特征、浏览器运行环境和页面交互序列合并分析，用于区分多种Agent框架。其价值在于跨层归因：即使多个Agent使用类似浏览器环境，网络和时序仍可能不同。但此类归因属于统计性判断，不能替代可验证的客户端身份。
论文地址：https://arxiv.org/abs/2606.20910
4. 传统反Bot措施的边界
2026年6月的另一篇论文《On the Internet, Nobody Knows You're an LLM Bot》专门研究了这一问题。
研究人员搭建实验网站，测试六种LLM Web Agent面对robots.txt、CAPTCHA、工作量证明和Cloudflare等反Bot措施时的表现。
结果发现，部分Agent能够绕过受测的传统反Bot机制。
但与此同时，研究人员利用网络、HTTP和浏览器多层指纹，仍然能够在实验中区分这些Agent与真人。
一个有意思的发现是，某些Agent使用的反检测技术反而增加了可识别特征。
这说明传统反Bot措施并非完全失效，但简单依赖验证码、User-Agent或者单一浏览器指纹，已经不足以应对新一代Web Agent。
Data collection infrastructure overview, where traffic generated by web agents, browser automation frameworks, and HTTP-based scrapers passes through a reverse proxy that records Network Packets and Nginx Access Logs before forwarding requests to multiple subdomains protected by different anti-bot mechanisms. Browser Fingerprints are collected from each subdomain website.
论文地址：https://arxiv.org/abs/2606.30119
三、商业产品怎样将研究方法落地？
1. Akamai：将鼠标事件转化为可学习的行为表示
Akamai在2026年8月发表了两篇针对Agent行为识别的技术研究。
研究发现，使用自动化模式的Agent与真人相比，鼠标交互通常更加稀疏，缺少连续轨迹，并且可能在执行步骤之间产生较长的停顿。Akamai利用约350万条未标注鼠标事件序列训练Masked Autoencoder Transformer，再使用较小的MLP分类器识别Agent行为。
其研究原型取得了0.981的ROC-AUC。在具有足够鼠标事件、能够进入模型评估的会话中，Agent召回率达到97.9%。
但如果统计全部Agent会话，整体召回率只有52.6%。原因是大量Agent请求没有产生足够的鼠标事件，无法使用该模型进行有效判断。
这说明，行为检测能够提供很有价值的识别信号，但仅靠行为数据并不充分。
Akamai也将该研究定位为概念验证，强调需要与其他指纹和风险信号配合，而不是直接将模型判断结果作为封禁依据。
图4  Akamai两阶段行为识别技术路线

2. DataDome：Agent识别从“检测”走向“可信度分层”
DataDome的AI Agent Identification将Web Bot Auth、加密令牌、可信来源IP、反向DNS等归为较高可信度的识别信号；网络归因和客户端指纹属于中等强度；仅依靠服务端指纹的识别可信度更低。平台还维护Agent目录，并在控制台中呈现识别强度及Agent信任评分。其思路是把“观察到像某Agent”与“验证它确实属于某客户端”分开。
它还维护已知Agent目录，将Agent划分为AI Crawler、AI Assistant、Autonomous Agent和Agentic Browser等类型。
这种方案的重要特点是：将“识别到某种Agent特征”与“确认Agent身份”区分开来。
图6  DataDome Agent识别强度分层

3. HUMAN Security：关注Agent进入交易流程后的安全风险
HUMAN的Agentic Visibility等产品将Agent流量归类、来源分析与业务操作联系起来。对于电商和订票网站，最重要的不是单纯判断某次访问由Agent发起，而是理解该会话是否进入结算、订单变更或账户操作等敏感环节。公开资料显示其具备面向Agent流量的可见性和策略控制方向，但具体算法和统一误报率尚缺乏可直接复现的独立数据。
产品文档：https://www.humansecurity.com/platform/solutions/agentic-visibility/
4. Cloudflare：使用数字签名证明已知Agent身份
Web Bot Auth使用HTTP消息签名和可发现的公钥目录，让愿意声明身份的自动化客户端证明请求来源。Cloudflare当前文档描述了Ed25519私钥签名、HTTPS公钥目录注册、Signature/Signature-Input等请求头及服务端验证流程。相较行为识别，这更适合“已知且合作的Agent”。但签名只证明持有对应私钥的客户端发送了请求，并不能证明用户授权了某笔交易。
图7  Web Bot Auth身份验证与业务授权之间的边界

技术路线
主要优势
不能解决的问题
行为检测
可发现不主动声明身份的自动化访问
不能提供确定身份，存在误报
网络/浏览器指纹
有助于工具归因和跨层补充
相似环境或代理会混淆判断
密码学Agent认证
对合作客户端提供强身份信号
不能证明用户委托或业务权限
业务行为分析
识别高风险操作与异常流程
需要接入业务上下文和授权系统

四、为什么Agent识别不能只依赖单个特征？
第一，Agent的执行环境并不统一：云端浏览器、浏览器插件、Playwright和本地真实浏览器产生的信号不同。第二，人的交互可能与Agent混合在同一会话中，例如用户亲自登录、Agent搜索、用户最终支付。第三，无障碍工具、键盘用户和操作熟练的真人，可能出现非常稀疏的鼠标轨迹。第四，即使识别出Agent，也不能据此推断其是否得到用户授权。
这意味着生产方案应采用分层决策：低风险访问主要观察；疑似未知Agent结合更多指纹和业务上下文评分；对已认证Agent依据委托授权进行精细化控制；对于支付、删除与权限修改等操作，无论真人或Agent，都由独立的业务规则及二次确认把关。
五、未来：从Web Agent识别扩展到Agent Behavior Analytics
Web Agent只是能够自主行动的数字主体的一种形态。编码Agent可以修改文件、提交代码和执行命令；运维Agent可以调用Shell、云API和自动化部署工具；业务Agent可以访问CRM、ERP、财务与支付系统。面对这些场景，安全系统也需要理解操作主体是否为Agent、任务是否合理、行为是否偏离授权范围。
图8  Agent行为识别向更多执行环境扩展的设想

未来可形成Agent Behavior Analytics能力：将Agent身份、用户委托、任务上下文、工具调用链和业务结果进行关联，通过行为基线与异常检测发现偏离预期的行动。它应当作为Agent身份管理、动态授权与运行时防护的补充，而不能代替确定性的权限检查。
六、总结
互联网访问主体已经从Human/Bot二分类发展为Human、Traditional Bot和AI Agent并存。论文证明，浏览器指纹、操作时序及多层网络特征可以帮助识别Agent；厂商则进一步将这些信号与可信身份认证、业务风险决策结合起来。
未来最值得关注的方向，不只是提高“真人还是Agent”的识别准确率，而是将Agent识别纳入企业安全控制闭环：确认访问主体、理解任务和操作、约束实际权限，并对异常行为进行持续监测。身份管理回答“谁能做什么”，行为识别帮助回答“实际上正在做什么”。


【声明】内容源于网络
0
0
AI与安全
理清逻辑，找到规律，看清趋势。作者前华为云高级安全专家。
内容 158
粉丝 0
AI与安全 理清逻辑，找到规律，看清趋势。作者前华为云高级安全专家。
总阅读4.7k
粉丝0
内容158