El futuro de la seguridad web depende del navegador

El tiempo de ejecución del navegador es el punto intermedio en cada sesión entre tu sitio web <> clientes, bots, agentes de IA y defraudadores. Sin embargo, permanece fuera del perímetro de la seguridad web tradicional, dejando una brecha para los atacantes y provocando sanciones multimillonarias para las organizaciones.

El riesgo de esta brecha de visibilidad ha cambiado radicalmente con la popularización de los agentes de IA. Los agentes de consumo pueden manipularse mediante inyecciones de código en software de terceros comprometido. Los agentes maliciosos son baratos de construir, evaden la detección de bots heredada y amplifican cada vector de fraude impulsado por bots.

vista previa del informe cside futuro de la seguridad web 2026

En este informe:

Probamos herramientas heredadas de detección de bots. Fallaron en el 81% de nuestros intentos.

Las conversaciones en foros sobre tráfico de bots aumentaron un 275% en nuestro análisis.

Los bots de IA de "acción de usuario" aumentaron 15x en 2025. El tráfico de agentes de IA ya no son solo "rastreadores para búsqueda y entrenamiento de modelos LLM".

Respuestas de nuestra encuesta a desarrolladores web y profesionales de seguridad web sobre cómo se están preparando para el fraude impulsado por agentes de IA.

En un mundo de navegadores sigilosos alojados localmente, se necesita una combinación de señales de la capa del navegador (huella digital, análisis de comportamiento y más) para entender la intención, no solo la identidad.

Obtén el informe

Completa el formulario para acceder al informe completo.

Para quién es este informe

Equipos de seguridad que usan CSP pero quieren un método automatizado mejor para supervisar la actividad de scripts de terceros en su sitio web.

Equipos de fraude que se defienden del abuso de bots (scraping, card testing, abuso de promociones, registros falsos) que se verá amplificado por el fraude impulsado por agentes de IA.

Vista previa de este informe

Investigación de un aumento en reportes de tráfico de bots

En enero de 2026, notamos algo peculiar en nuestros propios análisis: un enorme pico de tráfico desde China. Raro. Nuestra configuración de Cloudflare tiene China completamente bloqueado por geolocalización. Tras endurecer la configuración, el tráfico de China desapareció. Y luego... picos desde Noruega, Singapur y Hong Kong.

Realizamos una investigación cuantificable para entender si esto era una tendencia más amplia:

3.1 Las discusiones sobre tráfico de bots aumentaron drásticamente

⇧ 275%

Aumento en las discusiones de foros sobre tráfico de bots en sitios web pese a los filtros existentes.

Fallaron las medidas preventivas básicas:

• Bloqueo por país: aparecen nuevos países (proxies rotativos)
• Bloqueo por user-agent: aparecen nuevos user-agents con acciones similares.
• Reglas WAF básicas: normalmente no detuvieron este aumento de bots.

Los sitios pequeños sufrieron de inmediato:

• Las facturas de servidor se volvieron inviables por el volumen de solicitudes de red
• Analítica "envenenada" por bots, arruinando métricas de anuncios o embudos web

Consejos de defensa que sí funcionaron:

• Configurar reglas WAF más robustas (puede requerir planes superiores)
• Bloquear por idioma (como zh-CN)
• Bloquear ASNs específicos (como Tencent, Alibaba)

Comparación de enero-marzo 2025 con enero-marzo 2026.
En foros r/webdev, r/cloudflare y r/googleanalytics.
Análisis original de cside. Datos extraídos con APIs públicas y revisión manual.

Cómo se preparan los desarrolladores web para el tráfico de agentes de IA

Preguntamos a profesionales de seguridad: "¿Se están preparando para los agentes de IA como una nueva amenaza o los gestionan con controles de tráfico de bots existentes?"

encuesta de la industria de cside preparación para fraude con agentes de IA — Gráfico: encuesta de la industria de cside sobre preparación para fraude con agentes de IA

Gráfico respuestas de encuesta de cside sobre defensas contra fraude con agentes de IA

Los vectores de fraude con bots existentes se verán amplificados por agentes de IA

El Merchant Risk Council (cuyos miembros incluyen empresas como Airbnb y Blizzard) informó que en 2025 los tipos de fraude de pago más comunes fueron:

Fraude de primera parte (afectó al 83% de los miembros)
Card testing (71%)
Abuso de reembolsos (60%)

Los agentes de IA amplificarán de forma significativa cada uno de estos vectores de fraude. En este informe, desglosamos cómo las señales de la capa del navegador pueden mitigar este aumento.