29 апреля 2026 года Thales опубликовала выводы Bad Bot Report 2026 по активности за весь 2025 год. В материалах компании на ботов приходится около 53% веб-трафика, а на вредоносных ботов 40%. Когда я посмотрел эти цифры в июне, главным вопросом для меня стало не количество роботов, а то, как различать полезные обращения и злоупотребления.
Доля трафика не равна доле людей в интернете
Эти проценты описывают трафик в исследовании Thales, а не перепись пользователей. Один человек открывает несколько страниц, а программа может сделать тысячи запросов. Из 53% нельзя вывести, что живых людей стало меньше, чем ИИ-агентов, или что половину будущих покупателей уже представляют ассистенты.
Обычные поисковые роботы, мониторинг, скрейперы и агентные системы тоже не являются одной группой. Автоматический запрос может быть полезным, нежелательным или прямо вредоносным в зависимости от действия и правил сервиса. Само наличие автоматизации ещё не объясняет намерение клиента.
И 40% в материалах Thales относится к общей доле трафика, а не к 40% от всех ботов. Это другой знаменатель. Отдельный показатель отчёта, 27% атак ботов на API, тоже нельзя превращать в долю всего интернет-трафика.
Для администратора важнее поведение, чем строка User-Agent
Похожий на браузер запрос может пытаться подобрать доступ, массово создавать учётные записи или обходить ограничения бизнес-процесса. Имя клиента в User-Agent не подтверждает его личность. Я бы смотрел на действия, частоту, ошибки, расход ресурсов и последствия, а не только на красивое название бота.
У публичного блога и личного кабинета разные допустимые действия. Читать статью без входа нормально; получать чужие документы или отправлять тысячи заявок не нормально. Поэтому подготовка сайта к агентам не должна означать снятие авторизации, ограничений частоты и проверок прав.
Про обращения к WordPress и аккуратное ограничение запросов я уже писал в разборе логов и защиты входа. Там тоже важно не считать любой ответ 200 успешной авторизацией и не блокировать всех пользователей по одному грубому признаку.
Понятные данные нужны и людям, и программам
Для сайта услуг полезно прямо описать состав работы, ограничения, сроки и способ связи. Если цена зависит от задачи, лучше объяснить от чего, чем обещать фиктивный единый тариф. Эти сведения должны совпадать на странице, в структурированных данных и в ответе API, если он есть.
Семантическая разметка, подписанные поля и стабильные элементы помогают машинному взаимодействию. Но из этого не следует, что дизайн больше никому не нужен. Агенты тоже могут работать через браузер и изображения, а человек продолжает пользоваться сайтом сам. Понятность и доступность важнее противопоставления «красиво для людей» и «данные для машин».
Карта сайта, RSS и краткий llms.txt помогают обнаружить материалы. При этом они не гарантируют появления сайта в ответах конкретного ассистента. О своём опыте с такими точками входа я рассказывал в заметке об Agent Readiness.
Новые интерфейсы не отменяют обычную защиту
Если сайт предлагает API или агентные инструменты, у них должны сохраняться реальные полномочия и ограничения. Возможность описать действие ещё не означает разрешение выполнить его за любого пользователя. Особенно это важно для платежей, отправки сообщений, изменения данных и получения закрытой информации.
Для начала я бы проверил журналы, нагрузку на формы и API, актуальность публичных страниц и удобство навигации. Строка в robots.txt сообщает предпочтения добросовестным клиентам, но не заменяет техническое ограничение доступа. А открывать новые служебные возможности только ради модного отчёта я бы не стал.
Для меня данные Thales являются поводом внимательнее управлять автоматизированными обращениями, а не перестраивать весь сайт под воображаемую армию покупателей-агентов. Хорошая цель проще: полезным клиентам дать точные сведения и предсказуемый доступ, а злоупотребления ограничивать по реальному поведению.
