Resumen: el bypass sigiloso de Cloudflare y PerimeterX con OpenClaw y Scrapling
- El WAF de edge no basta: Todo el mundo quiere declarar que los agentes de IA están bloqueados en el edge, pero OpenClaw combinado con el StealthyFetcher de Scrapling levanta instancias de Chrome headless que resuelven Turnstile, ocultan las fugas de WebRTC y aleatorizan el ruido del canvas para que cada sesión parezca un humano nuevo. Tu WAF de edge no es la respuesta.
- En cifras: Cloudflare informó de que los bots de IA de «acción del usuario» (rellenar formularios, publicaciones, ediciones de perfil) crecieron más de 15x a lo largo de 2025, el Merchant Risk Council informó de que el 83% de los comercios sufrió abuso de primera parte, toma de cuentas (ATO) o abuso de reembolsos el año pasado, y el fingerprinting de cside lee más de 250 señales pasivas por sesión.
- En resumen: Si tu punto de control es la reputación de IP y los CAPTCHA, ya has perdido las sesiones que importan. Instrumenta lo que se ejecuta dentro del navegador, o sigue enviando informes de chargeback impecables mientras los scrapers agénticos recorren tu checkout a su propio ritmo.
¿Poco tiempo? Consulta la detección de agentes de IA de cside. Cubre todo lo de abajo en un solo despliegue.
El agente de IA de código abierto OpenClaw está en todas partes. Gestiona calendarios, vacía bandejas de entrada y automatiza tareas diarias. Pero los atacantes también lo usan para extraer contenido protegido, probar tarjetas de crédito robadas y crear cuentas falsas a escala.
Para hacerlo, combinan OpenClaw con herramientas especializadas de navegador headless como Scrapling. Estas herramientas están diseñadas específicamente para evadir sistemas anti-bot tradicionales como Cloudflare y PerimeterX. Falsifican huellas TLS, aleatorizan el renderizado del canvas y rotan user agents para que los scripts automatizados parezcan exactamente compradores humanos.
Si tu stack de seguridad depende de la reputación de IP o de desafíos básicos de JavaScript, estos agentes ya están pasando desapercibidos. Defenderse de esta nueva ola de fraude agéntico exige mirar más a fondo dentro del navegador.
La mecánica de una evasión agéntica
Cuando un agente de IA visita un sitio web, los sistemas tradicionales de detección de bots buscan señales evidentes de automatización. Comprueban si la dirección IP pertenece a un centro de datos conocido, si la cadena del user agent coincide con un navegador real y si la sesión puede resolver un desafío CAPTCHA en segundo plano.
Herramientas como Scrapling automatizan la evasión de estas comprobaciones. Cuando un usuario de OpenClaw indica a su agente que extraiga datos de un sitio protegido, el agente levanta una instancia de Chrome headless usando un modo "StealthyFetcher".
Este modo resuelve automáticamente los desafíos de Cloudflare Turnstile. Bloquea las fugas de WebRTC que podrían revelar la dirección IP real del agente. Incluso añade ruido aleatorio a las operaciones de renderizado del canvas, de modo que la huella gráfica del navegador cambia en cada solicitud. Para el sistema de detección de bots heredado, el agente automatizado parece un usuario humano único y legítimo en un dispositivo estándar.
Por qué fallan las suites antifraude heredadas
El sector de la detección de bots se construyó para detener scripts mecánicos que ejecutan tareas con una temporización perfecta y velocidades de scroll uniformes. Los agentes de IA no se comportan como scripts mecánicos.
Según Cloudflare, los bots de IA de "acción del usuario", agentes que completan formularios, publican contenido o editan información de perfil, aumentaron más de 15x a lo largo de 2025. Estos agentes usan razonamiento para navegar por flujos de trabajo complejos. Espacian sus solicitudes, rotan entre proxies residenciales e imitan patrones de interacción humana.
Cuando estos agentes se convierten en armas para el fraude, el impacto financiero es grave. El Merchant Risk Council informa de que el 83% de los comercios sufrió abuso de primera parte, fraude por toma de cuentas o abuso de reembolsos el año pasado. El fraude de pagos cuesta ahora a los comercios de e-commerce más de $48 billion al año.
Detectar agentes furtivos con fingerprinting del navegador
No puedes detener a un agente de IA pidiéndole que haga clic en imágenes de semáforos. Lo detienes analizando el entorno en el que se ejecuta.
cside Fingerprinting recopila más de 250 señales de red, dispositivo y comportamiento de forma pasiva durante las cargas normales de página. En lugar de depender de un único punto de fallo, como una huella TLS o una dirección IP, cside construye una identidad persistente del visitante que se mantiene a través de sesiones, modos de incógnito y VPN.
Cuando un agente OpenClaw intenta esconderse detrás de un proxy residencial o aleatorizar su salida de canvas, cside detecta las anomalías subyacentes. La plataforma identifica las señales características de máquinas virtuales, navegadores headless y frameworks automatizados que indican actividad fraudulenta.
Esta visibilidad profunda de la capa del navegador permite a los equipos de seguridad detectar sesiones sospechosas antes de que lleguen a la página de checkout o al formulario de creación de cuenta.
Proteger la era del comercio agéntico
Los agentes de IA están cambiando de forma fundamental cómo interactúan los usuarios con la web. Aunque algunos agentes son maliciosos, otros son herramientas legítimas para consumidores que actúan en nombre de compradores reales.
El objetivo es entender la intención detrás de la sesión, no bloquear todo el tráfico automatizado. Al monitorizar señales de la capa del navegador, puedes detectar agentes de IA con precisión. Puedes bloquear a los scrapers y a los probadores de tarjetas, mientras guías de forma segura a los agentes de consumidores de confianza a través de tu flujo de checkout.
Lo que ocurre en el navegador marca la diferencia entre un ataque bloqueado y un chargeback costoso.
Agenda una demo para ver cómo cside Fingerprinting puede proteger tus páginas de inicio de sesión y pago frente al fraude agéntico.
