Virksomhederne Cloudflare, Google, Mozilla, Microsoft og Shopify har lanceret et fælles projekt for at udvikle og standardisere protokollen Private Access Control Tokens (PACT), der gør det muligt at adskille ægte brugere og legitimt fungerende bots fra spamtrafik og ukontrolleret AI-botaktivitet, samtidig med at brugerens fortrolighed opretholdes. Den nye protokol forventes at muliggøre filtrering af bot-trafik på websteder ved hjælp af anonyme tokens uden krav om CAPTCHA, obligatorisk autentificering eller sporing via cookies.
Ideen er, at tjenester, som har grund til at antage, at brugeren er en ægte person, for eksempel efter vellykket autentificering eller anti-bot kontrol, vil udstede anonyme tokens til brugeren. Browseren kan derefter præsentere disse tokens til andre websteder som bevis på, at anmodningen ikke er automatisk. Denne tilgang muliggør brug af allerede gennemført kontrol på et websted for at tilslutte til andre websteder uden yderligere kontroller. Protokollen designes således, at websteder ikke kan bruge tokens til at identificere brugeren eller genskabe besøgsstatistik.
Anledningen til initiativet var den stigende andel af automatiseret trafik fra AI-agenter, crawlers og scrapers, der udgiver sig for at være anmodninger fra almindelige brugere, ignorerer reglerne i robots.txt og skaber en enorm parasitbelastning på servere. Tidligere tilbød Cloudflare at bruge mekanismen Web Bot Auth til autentificering af bots, baseret på at knytte en kryptografisk signatur til HTTP-anmodninger fra bots for at træffe beslutninger om adgang ud fra verificerbare data, i stedet for IP-adresser eller let forfalskede indhold i feltet User-Agent.
Blandt de potentielle risici ved implementeringen af PACT-protokollen nævnes, at mekanismen, der er skabt til frivillig bekræftelse af brugeren, kan udvikle sig til et obligatorisk adgangsfilter til websteder og blive en barriere, hvor programmer, browsere og brugere skal bevise, at de fortjener adgang.
Den samme problematik blev tidligere adresseret af EFF (Electronic Frontier Foundation) i deres kritik af API'en Web Environment Integrity og fjernattestation. Sådanne mekanismer giver webstedsejere mulighed for at blokere uønskede browsere, operativsystemer og automatiseringsværktøjer, hvilket præsenteres som en kamp mod svindel og skadelig aktivitet. EFF anerkender, at problemer med bots er reelle, men mener, at det er uacceptabelt at løse dem ved at indføre nye begrænsninger, som krænker brugerens ret til at styre sin egen computer.
Kilde: opennet.ru
