Bots superano gli umani: il 53% del traffico web nel 2025 è automatizzato

L'era degli agenti automatici: i bot superano gli utenti umani nel traffico web

Per decenni, le aziende hanno operato con un'assunzione semplice: la maggior parte del traffico internet proveniva da persone. Questa ipotesi non è più valida. L'ultimo 2026 Bad Bot Report: Bad Bots in the Agentic Age di Imperva conferma un cambiamento strutturale impossibile da ignorare. Il traffico automatizzato continua a superare l'attività umana online, rappresentando più del 53% di tutto il traffico web nel 2025, rispetto al 51% dell'anno precedente. L'attività umana è scesa al 47% e continua a diminuire.

Questo non è un picco temporaneo causato da un ciclo di attacchi specifico o da una tendenza tecnologica. Riflette piuttosto una trasformazione fondamentale nel modo in cui funziona internet. Sempre più, le aziende non servono solo i clienti, ma anche le macchine.

Dati chiave dal 2026 Bad Bot Report

Il rapporto fornisce evidenze concrete di questa nuova realtà digitale:

• I bot generano ora il 53% del traffico web, superando ufficialmente gli utenti umani, con un aumento dal 51% nel 2024
• Il 27% degli attacchi bot prende di mira le API, permettendo agli attaccanti di aggirare completamente le interfacce utente per operare alla velocità delle macchine
• Il settore dei servizi finanziari è il più colpito, con il 24% di tutti gli attacchi bot e il 46% degli incidenti di account takeover
• Gli agenti AI rappresentano una nuova categoria di utente internet, non si limitano più a scansionare i siti web ma recuperano dati, eseguono flussi di lavoro e agiscono per conto degli utenti

L'ascesa degli agenti AI e la nuova normalità del traffico automatizzato

L'automazione esiste su internet da sempre, sotto forma di crawler di motori di ricerca, script e processi in background. Quello che è cambiato è la scala, la sofisticazione e lo scopo di questa automazione. L'intelligenza artificiale sta accelerando questo spostamento.

In pratica, questo significa che ciò che sembra un'interazione con il cliente potrebbe non essere un cliente, ma un sistema AI che interroga i dati di prezzo, completa una transazione o testa il comportamento delle applicazioni. Per le aziende, questo sfuma una linea fondamentale: la distinzione tra traffico legittimo e malevolo sta diventando sempre più difficile da definire, poiché entrambi ora operano attraverso gli stessi sistemi, utilizzano le stesse interfacce e seguono la stessa logica.

Il rischio dell'automazione incontrollata

Il vero pericolo non è la presenza di bot, ma il fatto che gran parte di questa automazione è incontrollata. Nelle fasi precedenti di internet, l'attività dei bot era episodica e spesso più facile da identificare. Oggi, l'automazione è persistente, operando in modo continuo su servizi digitali, spesso indistinguibile dall'uso legittimo. Questo crea una nuova categoria di rischio che molte organizzazioni non sono ancora attrezzate per affrontare.

L'automazione incontrollata può distorcere le metriche aziendali, aumentare i costi infrastrutturali, degradare le prestazioni e esporre flussi di lavoro sensibili. Ad esempio, i bot possono interrogare continuamente i sistemi di prezzo o disponibilità, creando segnali di domanda artificiali. Possono interagire con i sistemi promozionali su larga scala, sfruttando la logica aziendale in modi che i controlli di sicurezza tradizionali non sono progettati per rilevare. Anche l'automazione benigna, se lasciata incontrollata, può esercitare un carico sostenuto sui sistemi progettati per il comportamento umano.

Il risultato è che le aziende stanno sempre più condividendo la loro infrastruttura digitale con agenti automatizzati che non comprendono né controllano completamente.

API e sistemi di identità al centro del rischio moderno

Mentre l'automazione evolve, lo fanno anche le strategie degli attaccanti. Il modello tradizionale di attacco ai siti web a livello superficiale sta lasciando il posto a un approccio più diretto. I bot stanno sempre più interagendo con le stesse API che alimentano le funzioni aziendali principali, tra cui autenticazione, pagamenti, ricerca e sistemi di inventario. Nel 2025, il 27% degli attacchi bot ha preso di mira le API, permettendo agli attaccanti di aggirare completamente le interfacce utente e operare alla velocità delle macchine.

Queste interazioni spesso sembrano legittime, con richieste ben formate e autenticazione riuscita, ma la differenza sta nell'intento e nella scala. Questo è particolarmente evidente nei settori in cui le transazioni digitali sono strettamente legate al fatturato. Ad esempio, i servizi finanziari hanno rappresentato il 24% di tutti gli attacchi bot e il 46% degli incidenti di account takeover. L'obiettivo non è la disgregazione fine a se stessa, ma la monetizzazione diretta.

In questo ambiente, i sistemi di identità non sono più solo uno strato di sicurezza. Sono diventati un punto di esposizione primario.

Come gli agenti AI stanno silenziosamente ridefinendo i modelli di business

Lo spostamento verso l'interazione guidata da macchine non è solo una questione di sicurezza. Sta iniziando a ridefinire il modo in cui le aziende operano. Se una quota crescente del traffico è automatizzata, allora metriche tradizionali come l'engagement degli utenti, i tassi di conversione e i segnali di domanda diventano più difficili da interpretare. Un picco di traffico potrebbe non indicare interesse del cliente. Un calo delle prestazioni potrebbe non essere causato dal comportamento dell'utente.

Allo stesso tempo, i sistemi guidati da AI stanno creando nuove forme di domanda. Le aziende stanno iniziando a considerare come e se permettere agli agenti AI di accedere ai loro servizi e in quali condizioni. Questo solleva domande su accesso, prezzi e persino monetizzazione.

Alcune organizzazioni stanno esplorando modelli in cui l'accesso guidato da IA viene autenticato, misurato e potenzialmente governato come un canale distinto. Sebbene ancora nelle fasi iniziali, questo indica un futuro in cui le aziende dovranno gestire attivamente non solo chi accede ai loro sistemi, ma anche cosa.

Dall'individuazione dei bot al controllo dell'automazione

Per anni, le strategie di cybersecurity si sono concentrate sulla rilevazione e il blocco delle attività malevole. Questo approccio sta diventando sempre più insufficiente in un mondo in cui l'automazione è sia pervasiva che spesso legittima. La domanda più importante non è più se il traffico è automatizzato, ma se si allinea con l'intento aziendale.

Questo spostamento, dal blocco dei bot cattivi alla governance di tutta l'automazione in base all'intento, richiede un nuovo approccio. Le organizzazioni devono passare dal considerare i bot come anomalie a considerare l'automazione come parte fondamentale del loro ambiente operativo. Questo significa implementare controlli che possano distinguere tra automazione accettabile e dannosa, applicare governance a come i sistemi vengono accessibili e progettare difese che possano adattarsi ai cambiamenti di comportamento.

In effetti, la sfida sta diventando una questione di controllo piuttosto che di rilevamento.

Un internet guidato dalle macchine

Internet sta entrando in una nuova fase, definita meno dall'interazione umana e più dall'attività macchina-macchina. L'automazione non è più uno strato sopra l'infrastruttura digitale, ma è incorporata in essa, con implicazioni significative per le aziende. Fiducia, prestazioni e fatturato sono sempre più plasmati da come le organizzazioni gestiscono l'interazione automatizzata.

Le aziende che continuano a operare con l'assunzione che la maggior parte del traffico provenga da utenti umani potrebbero trovarsi a rischio. Quelle che riescono a adattarsi e sfruttare questa nuova realtà avranno un vantaggio competitivo significativo.

Il rapporto conclude che questa non è una tendenza temporanea, ma una trasformazione strutturale del panorama digitale. Le aziende che non si adattano a questa nuova realtà potrebbero trovarsi a rischio di essere lasciate indietro.