Internet est désormais davantage peuplé de machines que d’humains.
Les bots représentaient 53 % du trafic web observé en 2025, contre 47 % pour les humains, selon le Bad Bot Report 2026 de Thales, entreprise mondiale spécialisée dans la cybersécurité et la sécurité numérique. Les bots malveillants représentaient à eux seuls 40 % du trafic total, contre 37 % en 2024.
Les chiffres liés à l’IA rendent cette tendance plus préoccupante. Les attaques de bots pilotées par l’IA ont été multipliées par 12,5 en un an, tandis que le trafic automatisé ressemble de plus en plus au comportement normal d’un navigateur. Selon Thales, l’IA « efface la frontière entre activité légitime et activité malveillante », obligeant les entreprises à évaluer ce que fait le trafic, et pas seulement ce qu’il prétend être.
Des milliers de milliards de requêtes de bots bloquées
Le rapport a comptabilisé 17,2 billions de requêtes de bots bloquées en 2025. À cette échelle, l’automatisation fait partie du travail quotidien nécessaire au fonctionnement des services en ligne.
Une grande partie de ce trafic emprunte des parcours courants : écrans de connexion, pages de paiement, outils de réservation, formulaires d’assistance et appels d’API. Les entreprises peuvent finir par traiter l’activité des bots comme celle de clients, puis prendre des décisions fondées sur une vision déformée de la demande, de la fraude ou des performances des systèmes.
Un problème de bots peut se traduire par un site ralenti, une facture cloud plus élevée, une file de traitement de la fraude encombrée ou un problème d’expérience client avant même de ressembler à un incident de sécurité.
Le trafic généré par l’IA devient plus difficile à classifier
Les agents d’IA obligent les équipes de sécurité à réexaminer l’une des questions fondamentales de la sécurité web. Quel trafic faut-il laisser passer ?
Une entreprise peut vouloir rendre ses pages publiques visibles pour les assistants d’IA et les outils de recherche, mais ce même accès automatisé devient plus risqué lorsqu’il concerne des données tarifaires, des pages de compte, des systèmes de réservation ou des API.
Bloquer trop de trafic peut couper l’accès à des flux utiles. Accorder trop de confiance peut laisser l’automatisation abusive opérer librement. Les premiers signes de chevauchement apparaissent dans les données : plus de 10 % des sessions de récupérateurs IA détectées et près de 9 % des sessions de robots d’exploration IA ont déclenché des règles de détection des bots malveillants.
Les chiffres visibles peuvent également être incomplets. Les modèles d’IA modifiés ou hébergés en propre peuvent éviter de se présenter comme des agents d’IA, tandis que les attaquants peuvent régler ces systèmes pour effectuer du scraping, des sondages ou de la fraude. Cela signifie que le trafic IA mesurable ne représente peut-être qu’une partie de l’exposition réelle.
Chrome est devenu le camouflage préféré
Google Chrome était le navigateur le plus souvent revendiqué par les bots malveillants en 2025. Quarante et un pour cent du trafic de ces bots se déclarait comme provenant de Chrome, contre 39 % en 2024, tandis qu’Android Browser conservait la deuxième place avec 17 %.
Chrome est également le navigateur que les entreprises s’attendent à voir dominer le trafic normal. Il offre ainsi aux attaquants une enveloppe familière pour l’activité automatisée qui transite par les pages de connexion, les parcours de paiement, les espaces de compte ou les API.
Les anciennes défenses ont moins d’éléments sur lesquels s’appuyer dans cet environnement. Les chaînes user-agent et les vérifications basiques du navigateur peuvent identifier le navigateur présenté par une requête. Elles ne peuvent pas prouver qui se trouve derrière celle-ci ni déterminer si l’activité est liée à un utilisateur réel.
L’identité du trafic ne suffit pas
La prochaine étape de la défense contre les bots repose sur l’analyse du comportement au sein de parcours réels. Une requête peut passer une vérification basique du navigateur tout en sollicitant un système de connexion des milliers de fois, en aspirant des données tarifaires, en réservant des stocks, en déclenchant des codes SMS ou en interrogeant une API bien au-delà d’un usage normal.
Tim Chang, de Thales, a présenté le problème sous l’angle du comportement : « Le défi n’est plus d’identifier les bots. Il consiste à comprendre ce que fait le bot, l’agent ou l’automatisation, à déterminer si cela correspond aux objectifs de l’entreprise et à analyser ses interactions avec les systèmes critiques. »
À mesure que l’automatisation pilotée par l’IA se développe, une part croissante du trafic numérique se situera dans une zone grise entre accès légitime et abus. Les entreprises incapables de faire cette distinction risquent de traiter l’activité des bots comme une demande réelle, un engagement réel ou de vrais utilisateurs, jusqu’à ce que le coût se manifeste sur le plan de la sécurité, des performances, de la fraude, de l’analytique ou de la confiance.
À lire également : Les entreprises technologiques suppriment 33 000 emplois en avril alors que le secteur continue de réorienter ses capitaux vers les initiatives liées à l’IA.