As empresas Cloudflare, Google, Mozilla, Microsoft e Shopify apresentaram um projeto conjunto para desenvolver e padronizar o protocolo Private Access Control Tokens (PACT), que permite separar usuários reais e bots legitimos do tráfego indesejado e da atividade descontrolada de bots de IA, mantendo a privacidade do usuário. O novo protocolo promete filtrar o tráfego de bots em sites usando tokens anônimos, dispensando a necessidade de solicitações de captcha, autenticação obrigatória e rastreamento por Cookies.
A ideia é que serviços que têm motivos para acreditar que o usuário é uma pessoa real, por exemplo, após uma autenticação bem-sucedida ou verificação contra bots, emitam tokens anônimos para o usuário. Após isso, o navegador do usuário poderá apresentar esses tokens a outros sites como confirmação de que a solicitação não é automática. Essa abordagem permitirá utilizar verificações já realizadas em um site para se conectar a outros sem checagens adicionais. O protocolo é projetado de modo que os sites não possam usar os tokens para identificar o usuário ou recuperar seu histórico de navegação.
A iniciativa surgiu pelo aumento da participação do tráfego automatizado proveniente de agentes de IA, crawlers e scrapers que se disfarçam como solicitações de usuários comuns, ignorando as diretrizes do robots.txt e criando uma enorme carga parasitária em servidores. Anteriormente, a Cloudflare propôs usar um mecanismo de Web Bot Auth para autenticar bots, baseado na anexação de uma assinatura criptográfica a solicitações HTTP de bots para decidir o acesso com base em dados verificáveis, e não endereços IP ou conteúdo facilmente falsificável do campo User-Agent.
Entre os riscos potenciais associados à implementação do protocolo PACT, menciona-se que o mecanismo, criado para a confirmação voluntária do usuário, pode se transformar em um filtro de acesso obrigatório a sites, tornando-se uma barreira onde programas, navegadores e usuários terão que provar que merecem acesso.
A EFF (Electronic Frontier Foundation) já havia destacado um problema semelhante em sua crítica ao API Web Environment Integrity e à certificação remota. Esses mecanismos permitem que os proprietários de sites bloqueiem navegadores, sistemas operacionais e ferramentas de automação indesejadas, apresentando isso como uma luta contra fraudes e atividades maliciosas. A EFF reconhece que os problemas com bots são reais, mas considera inaceitável resolver isso por meio da imposição de novas restrições e da limitação do direito do usuário de controlar seu próprio computador.
Fonte: opennet.ru
