Detecção de agentes de IA

Agentes de IA e navegadores autônomos criam sessões reais em navegadores reais. Checagens tradicionais de User-Agent não bastam. cside Device Intelligence expõe esses visitantes pelo campo bot retornado pela Events API.

O que o cside detecta

A Events API de Device Intelligence retorna um campo bot para cada chamada de identificação. Ele combina sinais de automação, checagens de ambiente e fingerprints comportamentais para identificar:

• Agentes de navegador com IA - agentes autônomos controlando um navegador real
• Navegadores headless - Puppeteer, Playwright, Selenium e outros frameworks de automação
• Runtimes instrumentados - navegadores controlados por WebDriver, CDP ou protocolos similares
• Bots e scrapers clássicos - crawlers, scrapers e tráfego automatizado que mascara o User-Agent

A detecção roda server-side depois que o script client-side envia um fingerprint, então não pode ser evitada apenas alterando headers do navegador.

Ler o sinal de bot

Cada resposta da Events API contém um campo bot. Para decisões básicas, derive botOrNot de bot.result:

{
  "bot": {
    "result": "not_detected",
    "score": 0,
    "signal": []
  },
  "user_agent": "Mozilla/5.0 (Windows NT 10.0; Win64; x64) ..."
}

Campo	Significado
bot.result	Status de detecção. Use "detected" ou "not_detected".
bot.score	Pontuação numérica de bot para esta resposta.
bot.signal	Array de sinais que contribuíram para a decisão de bot.

O cside detecta cerca de 95% dos bots básicos com esse sinal. Para detecção e enforcement mais precisos, use smart detections e combine vários sinais de fingerprint antes de bloquear.

const botOrNot = identification.bot.result !== "not_detected";

Combine bot com outros sinais para maior confiança:

• tampering: true - atributos do navegador foram modificados
• developer_tools: true - developer tools estão abertos
• virtual_machine: true - sessão rodando em VM ou sandbox

Exemplo de integração

No seu JavaScript do lado do cliente, solicite o token de sessão de fingerprint. O campo de resposta continua se chamando token:

const result = await sendClientTelemetry({
  accountId: "1234567890",
});

if (result.errors) {
  console.error(result.errors);
  throw new Error("A solicitação de telemetria falhou.");
}

const { token: sessionToken } = result;

No seu backend, troque o token de sessão com https://api.cside.com/token/v1/client e então avalie o campo bot:

const response = await fetch("https://api.cside.com/token/v1/client", {
  method: "POST",
  headers: { "Content-Type": "text/plain" },
  body: sessionToken,
});

const identification = await response.json();
const botOrNot = identification.bot.result !== "not_detected";

if (botOrNot) {
  return respondWithChallenge();
}

Casos de uso comuns

• Proteja formulários e fluxos de checkout - descarte o tráfego de agentes antes que ele chegue ao pagamento ou à criação de conta
• Restrinja o scraping por IA de conteúdo pago - aplique limites de requisição ou níveis de acesso diferentes quando agentes de IA forem detectados
• Meça a parcela de tráfego vinda de agentes - registre bot.result, bot.score e bot.signal junto com a string user_agent para reportar quanto do seu tráfego é automatizado
• Evidências de chargeback e fraude - combine o sinal bot com o visitor_id para montar uma trilha de auditoria das sessões automatizadas

Próximos passos

• Leia a referência da Events API
• Revise Recuperar datapoints
• Fale com vendas para ativar Device Intelligence