- ▸ Le trafic de bots grimpe de 11 %, mais sa part IA recule de 9 %
- ▸ Quinze catégories d'agents, une seule étiquette « Security Scanner »
- ▸ Un scanner déguisé en assistant IA franchit les filtres
- ▸ Le bruit de fond monte, et la détection s'y noie
Le volume de visites automatisées mesuré sur plus de 5 000 sites a progressé de 11 % en trois mois. Derrière cette poussée se cache une pratique discrète : des scanners de vulnérabilités qui empruntent l’étiquette d’agents IA légitimes pour sonder les sites sans éveiller les filtres. Ce dossier cartographie la mécanique, les chiffres disponibles et les angles morts de la détection.
Ce qu’il faut retenir 1. Le trafic de bots a augmenté de 11 % sur les 90 derniers jours, mesuré sur plus de 5 000 sites par l’index Agentic Web de Known Agents. 2. La part de ce trafic identifiée comme « IA » recule de 9 % sur la même période — un signe de diversification ou d’obfuscation des requêtes. 3. L’outil distingue quinze catégories d’agents, dont une seule, « Security Scanner », désigne explicitement l’analyse de vulnérabilités. 4. Un scanner peut se présenter sous l’étiquette d’un « AI Assistant » ou d’un « AI Coding Agent » — la couche déclarative de l’identité est triviale à falsifier. 5. Le score de conformité s’étale de 0 % (aucune réduction mesurable du trafic bloqué) à 100 % (aucune requête interdite observée), révélant l’écart réel entre règles affichées et respect constaté.
Le trafic de bots grimpe de 11 %, mais sa part IA recule de 9 %
Une contradiction apparente structure les chiffres du moment. Le trafic automatisé progresse, et pourtant la fraction qu’on attribue formellement à l’intelligence artificielle diminue. Les deux mouvements coexistent sur le même échantillon, mesuré par l’index Agentic Web de Known Agents sur plus de 5 000 sites web, à l’aide de deux instruments : Agent Analytics, qui inspecte les requêtes machine, et AI Chat Referral Tracking, qui suit les visites référées par les assistants conversationnels.
Le premier chiffre est net : les visites issues de bots, comparées aux visites humaines, ont augmenté de 11 % sur les quatre-vingt-dix jours précédents. Le second l’est tout autant : la part de ce trafic de bots qualifiée d’IA a, elle, reculé de 9 % sur la même fenêtre.
Le chiffre à retenir : +11 % de trafic bot, −9 % de part « IA ». Plus de machines, mais moins d’entre elles portent une étiquette d’agent IA clairement identifiée.
Comment lire cet écart ? Deux hypothèses tiennent la route. La première : le trafic non-IA — scrapers classiques, robots d’indexation, sondes de disponibilité — croît plus vite que le trafic conversationnel, ce qui mécaniquement dilue la part IA. La seconde, plus inquiétante : une fraction du trafic réellement automatisé cesse de s’annoncer comme telle. Un agent qui ne veut pas être classé « IA » modifie sa signature, et sort du décompte.
Les deux lectures ne s’excluent pas. Elles pointent le même angle mort : la catégorisation repose sur ce que l’agent déclare de lui-même. Un en-tête HTTP, une chaîne User-Agent, quelques métadonnées. Rien qui résiste à un opérateur décidé à se faire passer pour autre chose.
Cet écart de 9 points n’est donc pas un simple bruit statistique. Il mesure, en creux, la part de trafic qui échappe à la nomenclature — et c’est précisément dans cette zone grise que se logent les scans hostiles. Le reste de ce dossier s’attache à en démonter la mécanique.
Quinze catégories d’agents, une seule étiquette « Security Scanner »
Le trafic automatisé n’a rien de monolithique. L’index Agentic Web le découpe en quinze familles, dont les intentions déclarées vont de l’assistance conversationnelle à la collecte de données, en passant par l’archivage et l’analyse de sécurité. Cette granularité est utile — elle rappelle qu’un « bot » n’est pas l’autre. Elle est aussi trompeuse, parce qu’elle donne l’illusion que chaque requête tombe proprement dans sa case.
Voici la carte des quinze catégories recensées, avec leur fonction déclarée et notre lecture du risque d’usurpation associé.
| Catégorie d’agent | Fonction déclarée | Risque d’usurpation (notre lecture) |
|---|---|---|
| AI Agent | Agent IA généraliste exécutant des tâches | Élevé |
| AI Assistant | Assistant conversationnel répondant aux requêtes | Élevé |
| AI Coding Agent | Agent d’assistance au développement logiciel | Élevé |
| AI Data Provider | Fournisseur de données pour modèles | Moyen |
| AI Data Scraper | Collecte de données d’entraînement | Moyen |
| AI Search Crawler | Indexation pour recherche assistée par IA | Moyen |
| Archiver | Archivage de contenus web | Faible |
| Automated Agent | Agent automatisé non spécifié | Élevé |
| Developer Helper | Outil d’aide aux développeurs | Moyen |
| Fetcher | Récupération ponctuelle de ressources | Moyen |
| Intelligence Gatherer | Collecte de renseignement | Élevé |
| Scraper | Extraction de contenu générique | Moyen |
| Search Engine Crawler | Robot d’indexation moteur classique | Faible |
| Security Scanner | Analyse de vulnérabilités et faiblesses | Par nature offensif |
| SEO Crawler | Audit de référencement | Faible |
Une seule ligne annonce ouvertement la couleur : « Security Scanner », défini par l’index comme un agent qui « analyse les sites à la recherche de vulnérabilités de sécurité, de menaces et de faiblesses de configuration ». Un scanner honnête — celui qu’une entreprise mandate pour auditer sa propre surface d’attaque — s’y déclare. Un scanner hostile n’a aucune raison de le faire.
La faiblesse structurelle saute aux yeux. La catégorie « Automated Agent », fourre-tout de l’agent automatisé non spécifié, et la catégorie « Intelligence Gatherer », dédiée à la collecte de renseignement, offrent des refuges commodes. Mieux encore pour un attaquant : les trois premières lignes — « AI Agent », « AI Assistant », « AI Coding Agent » — bénéficient d’un capital de confiance que les administrateurs hésitent à bloquer, de peur de couper l’accès à un assistant que leurs propres utilisateurs sollicitent.
C’est là que le nom d’un agent connu devient une monnaie. Un robot qui se présente sous une chaîne d’identification associée à un assistant grand public — de la famille de celles qu’utilisent les ClaudeBot, GPTBot et autres crawlers d’éditeurs de modèles — hérite instantanément de cette bienveillance par défaut. La catégorie l’accueille, le filtre le laisse passer. L’étiquette a fait le travail que le code hostile ne pouvait pas faire seul.
Un scanner déguisé en assistant IA franchit les filtres
Reprenons la mécanique de l’usurpation, brique par brique. Quand une machine visite un site, elle s’annonce. Cette annonce tient dans une poignée de champs déclaratifs : la chaîne User-Agent, parfois une adresse IP source, éventuellement des en-têtes complémentaires. Aucun de ces éléments n’est une preuve d’identité. Ce sont des affirmations que le serveur, dans l’écrasante majorité des cas, accepte sans vérifier.
Un scanner de vulnérabilités exploite exactement cette confiance. Plutôt que d’annoncer « je scanne vos ports et vos formulaires », il se présente comme un assistant IA venu lire une page pour le compte d’un utilisateur. Le contenu de ses requêtes, lui, ne change pas : il teste des chemins d’accès, sonde des paramètres, cherche des versions de composants obsolètes. Seule l’étiquette a menti.
Pourquoi cette imposture fonctionne-t-elle si bien aujourd’hui ? Parce que la légitimité récente des agents IA a créé un réflexe d’ouverture. Un éditeur de contenu veut être lu par les assistants conversationnels — c’est un canal d’audience. Bloquer trop large, c’est risquer de disparaître des réponses générées par ces outils. L’attaquant sait que l’administrateur arbitre en permanence entre sécurité et visibilité, et il se glisse précisément dans cet arbitrage.
L’index Agentic Web fournit ici l’indicateur le plus révélateur du dossier : un score de conformité qui mesure l’écart entre les règles qu’un site affiche et le trafic qu’il laisse réellement passer. Le barème est explicite. Selon Known Agents, « les scores vont de 0 %, signifiant aucune réduction mesurable, à 100 %, signifiant qu’aucune requête qualifiante n’a été observée là où l’agent était interdit ».
Le score de conformité, décodé. 100 % : les règles sont respectées, aucun agent interdit n’a franchi la porte. 0 % : les règles n’ont produit aucune réduction mesurable du trafic — l’agent passe comme si rien n’avait été déclaré.
Ce chiffre est le cœur du problème. Un score de 0 % ne dit pas seulement qu’un site est mal protégé. Il dit que la couche déclarative — le fichier robots.txt, les directives d’exclusion, la politesse attendue des crawlers — n’a produit strictement aucun effet sur le trafic interdit. Or c’est exactement le comportement d’un agent qui ment sur son identité : il ne se sent lié par aucune règle, puisqu’il n’est pas censé être celui qu’il prétend être.
Prenons la portée du raisonnement. Les directives d’exclusion reposent sur un contrat moral : je te demande poliment de ne pas entrer, et j’attends que tu obéisses. Un assistant IA sérieux respecte ce contrat, parce que son opérateur tient à sa réputation. Un scanner hostile déguisé en assistant n’a aucune réputation à défendre sous ce nom d’emprunt. Il empoche la confiance sans en payer le prix. Le score de 0 % mesure précisément ce vol de confiance, converti en accès.
Il faut nommer la conséquence sans détour. Tant que la vérification d’identité des agents reste optionnelle — tant qu’un serveur croit sur parole ce qu’une requête affirme d’elle-même — l’étiquette « agent IA légitime » restera un déguisement de choix pour toute campagne de reconnaissance offensive. Le problème n’est pas technique au sens du chiffrement ou du pare-feu. Il est architectural : le web s’est construit sur la déclaration, pas sur la preuve.
Notre lecture : la question n’est plus de savoir si des scanners se cachent derrière des noms d’agents de confiance, mais d’estimer quelle part du fameux recul de 9 % correspond à cette bascule vers des identités moins scrutées. Les données disponibles à ce jour ne permettent pas de trancher ce ratio — et cette impossibilité est, en soi, un résultat.
Le bruit de fond monte, et la détection s’y noie
Passons de la mécanique à ses effets sur le terrain. Une augmentation de 11 % du trafic automatisé n’est pas qu’une ligne de plus dans un tableau de bord. Elle déplace le seuil à partir duquel une anomalie devient visible. Plus le fond sonore est élevé, plus il faut crier fort pour être entendu — et un scanner discret, lui, chuchote.
Les équipes qui surveillent une infrastructure raisonnent en écarts par rapport à une ligne de base. Une hausse soudaine de requêtes sur un chemin sensible, une rafale de tentatives sur un formulaire d’authentification : voilà les signaux qu’un système de détection cherche. Quand le volume légitime de bots gonfle de 11 % en trois mois, la ligne de base elle-même se met à bouger. L’anomalie d’hier devient la normalité d’aujourd’hui.
Cette dilution a un coût opérationnel concret. Chaque requête suspecte examinée manuellement mobilise du temps analyste. Multipliée par un trafic automatisé en croissance, la charge de tri explose bien avant que la menace réelle n’augmente. Les équipes de sécurité se retrouvent à arbitrer entre deux erreurs coûteuses : le faux positif, qui bloque un assistant légitime et dégrade l’audience, et le faux négatif, qui laisse passer un scanner déguisé.
L’échantillon de plus de 5 000 sites suivi par l’index donne la mesure du phénomène à l’échelle, mais chaque site le vit à la sienne. Un éditeur de presse, un site marchand, une API publique n’ont ni la même surface d’attaque ni les mêmes moyens. Pour une petite structure sans équipe de sécurité dédiée, la montée du bruit automatisé signifie qu’un scan hostile a de bonnes chances de se perdre dans la masse des visites machine réputées bénignes.
Le déséquilibre est structurel, et il penche du mauvais côté. L’attaquant n’a besoin de réussir qu’une fois : une seule vulnérabilité de configuration repérée suffit à ouvrir une brèche. Le défenseur, lui, doit filtrer correctement chaque requête, en continu, sans jamais couper l’accès légitime. Le trafic croissant d’agents IA aggrave cette asymétrie en offrant à l’attaquant un camouflage renouvelé et socialement acceptable.
Un chiffre remet la difficulté en perspective. Si la part de trafic bot identifiée comme IA recule de 9 %, une fraction du trafic automatisé migre vers des zones moins catégorisées — donc moins surveillées. Le défenseur perd en visibilité au moment précis où le volume total augmente. Moins de lumière sur davantage de mouvement : c’est la définition même d’un angle mort qui s’agrandit.
La conséquence terrain se résume en une phrase. La sécurité web ne se joue plus seulement sur la robustesse des applications, mais sur la capacité à qualifier, en temps réel, l’intention d’un trafic qui a appris à mentir sur sa nature.
Distinguer une requête légitime d’un scan devient un pari statistique
Reste la question la plus difficile, celle qui décide de tout le reste : comment séparer l’agent honnête de l’imposteur, quand les deux affichent la même étiquette ? Les outils d’analyse actuels apportent une réponse partielle, et il faut en cerner les limites avec précision.
Le score de conformité de l’index Agentic Web éclaire l’écart entre règles affichées et trafic constaté, mais il décrit un comportement agrégé, pas une identité individuelle certifiée. Rappelons son barème : de 0 %, « aucune réduction mesurable », à 100 %, « aucune requête interdite observée » là où l’agent était interdit. C’est un thermomètre, pas un test ADN. Il dit si les règles produisent un effet, sans prouver qui se cache derrière chaque requête.
Trois approches complètent aujourd’hui la déclaration nue, et aucune n’est infaillible. La vérification par plage d’adresses IP, d’abord : un agent légitime publie souvent les adresses depuis lesquelles il opère, ce qui permet de recouper la chaîne d’identification et l’origine réelle. Un attaquant sérieux contourne le garde-fou en louant de l’infrastructure. La signature comportementale, ensuite : cadence des requêtes, chemins visités, respect des délais de politesse. Un scanner trahit souvent son intention par sa gourmandise. Mais un scan lent, patient, réparti dans le temps, imite à s’y méprendre un lecteur automatisé bénin.
La vérification cryptographique de l’identité de l’agent, enfin, est la seule qui attaque le problème à la racine — obliger l’agent à prouver, et non plus seulement affirmer, qui il est. Elle progresse chez les grands éditeurs de modèles, mais elle n’est ni universelle ni imposable à l’ensemble du web. Tant qu’une majorité de sites accepte la déclaration sur parole, l’imposteur conserve un boulevard.
D’où une conclusion sobre sur les outils du moment. Ils mesurent des tendances, hiérarchisent des risques, signalent des écarts — et ils rendent un vrai service en objectivant un phénomène jusqu’ici anecdotique. Ils ne délivrent pas, à ce stade et selon les données disponibles à ce jour, un verdict binaire « légitime ou hostile » sur chaque requête. La distinction reste un pari statistique, arbitré au cas par cas.
Notre lecture : le prochain terrain de bataille n’est pas la puissance des scanners, mais la généralisation d’une identité d’agent vérifiable. Le jour où prouver son identité coûtera moins cher que la falsifier, le déguisement perdra sa valeur. D’ici là, chaque administrateur continue d’arbitrer, seul, entre la porte ouverte à l’audience et la porte ouverte à la reconnaissance offensive.
Questions fréquentes
Tous les agents IA menacent-ils la sécurité d’un site ?
Non. Sur les quinze catégories recensées par l’index Agentic Web, la plupart désignent des usages légitimes : assistant conversationnel, robot d’indexation, audit de référencement, archivage. Le risque ne vient pas de la catégorie en tant que telle, mais de la possibilité, pour un scanner hostile, d’emprunter l’étiquette d’un agent de confiance pour franchir les filtres sans être inquiété.
Qu’est-ce que l’« Agentic Web Index » ?
C’est un indicateur publié par Known Agents qui suit le trafic généré par différents types d’agents IA sur un échantillon de plus de 5 000 sites. Il s’appuie sur deux outils, Agent Analytics et AI Chat Referral Tracking, et quantifie l’évolution du trafic automatisé — sa croissance, sa part IA, et le respect des règles d’accès via un score de conformité.
Que signifie concrètement un score de conformité de 0 % ?
Qu’aucune réduction mesurable du trafic interdit n’a été observée. Autrement dit, les règles affichées par le site — directives d’exclusion, restrictions déclarées — n’ont produit aucun effet sur les agents censés être bloqués. C’est le comportement attendu d’un robot qui ignore volontairement ces règles, notamment lorsqu’il opère sous une identité usurpée.
Notre lecture, en une phrase La hausse de 11 % du trafic bot et le recul de 9 % de sa part IA racontent la même histoire : le camouflage se sophistique plus vite que la détection, et l’identité déclarative — le socle sur lequel le web accorde sa confiance — n’oppose plus de résistance sérieuse à un scanner déterminé.
Le point de bascule ne sera pas un meilleur pare-feu. Il tiendra à une question plus simple et plus dure : accepterons-nous encore longtemps qu’une machine décide seule du nom qu’elle porte en frappant à notre porte ?
Sources – The Agentic Web Index: AI Bot Traffic Statistics — Known Agents (données publiées le 1ᵉʳ janvier 2026) : métriques d’écosystème sur plus de 5 000 sites, croissance du trafic bot (+11 %), recul de la part IA (−9 %), taxonomie des quinze catégories d’agents et barème du score de conformité (0 % à 100 %).
Voir aussi, sur LagazetteIA : Robots d’indexation IA : ce que change GPTBot pour les éditeurs, Fichier robots.txt : ce qu’il protège vraiment en 2026, Vérifier l’identité d’un agent IA : les méthodes disponibles.
