F5 a annoncé de nouvelles capacités pour Distributed Cloud Bot Defense visant à mieux distinguer entre utilisateurs, automatisations autorisées et bots malveillants. La mise à jour intègre une identification persistante des dispositifs, une évaluation du risque en temps réel et des protections spécifiques contre les agents d’intelligence artificielle (IA) capables d’exécuter des actions autonomes sur le web, les applications et les APIs.

Les clés de la défense contre les bots de F5 en 30 secondes

• F5 ajoute une intelligence des dispositifs et une protection spécifique face aux agents d’IA.
• Le système corrèle des signaux de comportement, de dispositif et d’intégrité du client.
• L’identification persistante vise à détecter des schémas tels que le credential stuffing, l’abus de comptes multiples et la prise de contrôle de comptes.
• Les politiques peuvent permettre, limiter, exiger une vérification supplémentaire ou bloquer une interaction selon son niveau de risque.
• La protection contre les agents d’IA est désormais disponible ; l’intelligence des dispositifs sera initialement déployée avec une disponibilité limitée au quatrième trimestre 2026.

Ce changement répond à une évolution du trafic automatisé, qui complique les modèles traditionnels de protection. Les agents d’IA peuvent interagir avec une page web ou une API, effectuer plusieurs étapes de façon autonome et réaliser des opérations au nom d’une personne. Parmi les exemples évoqués par F5 figurent les achats via agents, les réservations de voyages et certaines opérations bancaires.

Ce comportement diffère de celui d’un simple robot ou d’un script conçu pour répéter une seule requête. Un agent peut suivre une séquence d’interactions et prendre des décisions durant le processus, alors qu’un système de protection basé uniquement sur chaque demande individuelle peinera à déterminer si cette automatisation appartient à un client légitime ou s’il s’agit d’une tentative de fraude.

De bloquer les bots à évaluer le risque de chaque interaction

F5 propose une nouvelle stratégie basée sur plusieurs signaux combinés. Distributed Cloud Bot Defense peut corréler des informations sur le comportement, le dispositif et l’intégrité du client à travers différentes interactions, plutôt que de limiter l’analyse à une requête isolée.

Un des éléments annoncés est l’identification persistante des dispositifs. La société affirme que cette capacité permettra de reconnaître et suivre un dispositif lors de différentes sessions et comptes. L’objectif est de découvrir des relations qui peuvent rester cachées lorsque chaque accès est analysé séparément.

Ce contexte peut aider à repérer des schémas liés à certains abus, comme l’accès automatisé à plusieurs comptes, le credential stuffing, c’est-à-dire la tentative d’utilisation de identifiants préalablement obtenus sur différents services, ou encore les tentatives de prise de contrôle de comptes.

La mise à jour prévoit également une pointe de risque du dispositif en temps réel. Selon F5, le système analysera des signaux liés à l’intégrité du client pour détecter des environnements potentiellement suspects, notamment des émulateurs, des dispositifs usurpés ou manipulés.

L’entreprise combine ces capacités avec des politiques basées sur le risque. Au lieu d’appliquer systématiquement la même réponse à tout trafic automatisé, les organisations pourront définir différentes actions en fonction du niveau de risque détecté : autoriser l’interaction, demander une vérification supplémentaire, limiter la fréquence des requêtes ou les bloquer.

Cette approche vise à réduire la dépendance aux mécanismes tels que les CAPTCHA lorsque ceux-ci ne sont pas nécessaires. Elle cherche aussi à éviter que les mesures contre les bots n’affectent des utilisateurs réels ou des automatisations que l’entreprise souhaite autoriser.

Les agents d’IA changent la donne en matière de sécurité

L’émergence d’agents capables d’agir de façon autonome introduit une nouvelle complexité pour les systèmes de protection. L’automatisation ne provient plus uniquement de bots conçus pour crawler, générer du trafic artificiel ou tenter d’accéder à des comptes. Un agent d’IA peut réaliser une tâche complète via de multiples appels à des services et APIs.

F5 intègre ainsi un cadre de politiques conscient des agents, qui classe le trafic entre les humains, des agents d’IA jugés fiables et des bots malveillants au sein d’une même plateforme de gestion dans sa F5 Application Delivery and Security Platform (ADSP).

La société affirme que ce modèle permet une gestion différenciée des interactions automatisées, plutôt que de considérer toute activité non humaine comme une menace. La distinction est essentielle pour les entreprises souhaitant offrir de nouveaux services basés sur des agents, tout en conservant des contrôles de sécurité stricts sur leurs applications et APIs.

Cette approche s’intègre également dans l’offre de protection des applications web et APIs de F5, connue sous le nom de WAAP, pour Web Application and API Protection. La stratégie combine ainsi la protection contre les bots avec d’autres contrôles déployés dans l’infrastructure gérant le trafic vers les applications et services.

Kunal Anand, directeur produit chez F5, explique que la société considère le modèle traditionnel où le trafic automatisé est considéré comme malveillant comme trop simpliste. Selon lui, l’analyse doit prendre en compte quel agent ou dispositif intervient, quelle action il cherche à réaliser et comment le risque évolue durant l’interaction.

La disponibilité des fonctionnalités annoncées n’est pas identique. La nouvelle protection contre les agents d’IA est disponible dès l’annonce, tandis que l’intelligence des dispositifs sera initialement déployée dans une version limitée pour les clients de F5 Distributed Cloud lors du quatrième trimestre 2026. F5 prévoit d’étendre par la suite cette capacité.

Cette différenciation montre que toutes les fonctions décrites n’ont pas encore une disponibilité commerciale complète. L’intelligence des dispositifs suit un calendrier prévu par la société, ses caractéristiques et son champ d’application étant à considérer dans ce contexte.

Pour les entreprises, l’intérêt de cette évolution réside dans la capacité à mieux distinguer entre automatisation légitime et abus, sans appliquer nécessairement les mêmes contrôles à tous. À mesure que les agents d’IA passeront de simples requêtes à l’exécution d’opérations via APIs, cette distinction devra aussi s’intégrer dans les politiques d’accès et de sécurité des applications.

Questions fréquentes

Que rajoute F5 Distributed Cloud Bot Defense ?

La mise à jour intègre l’identification persistante des dispositifs, l’évaluation du risque en temps réel, des politiques basées sur le risque et des capacités spécifiques pour gérer le trafic émanant d’agents d’IA.

Qu’est-ce que l’intelligence des dispositifs chez F5 ?

Il s’agit d’une capacité destinée à identifier et suivre les dispositifs entre différentes sessions et comptes, tout en analysant des signaux d’intégrité pour repérer des environnements potentiellement suspects.

Quand l’intelligence des dispositifs sera-t-elle disponible ?

F5 prévoit une disponibilité limitée pour ses clients de Distributed Cloud au cours du quatrième trimestre 2026, suivie d’une extension progressive.

Les protections contre les agents d’IA sont-elles déjà disponibles ?

Oui. F5 indique que ces nouvelles protections pour agents d’IA sont accessibles depuis l’annonce, tandis que les capacités d’intelligence des dispositifs seront déployées ultérieurement.