Foto di Andres Siimon.

Chrome, Edge e Firefox hanno avviato una collaborazione con Cloudflare per introdurre un nuovo protocollo progettato per distinguere il traffico legittimo da quello malevolo senza dover ricorrere a sistemi come Captcha, tracciamenti invasivi o login obbligatori. Il sistema, chiamato Private Access Control Tokens (PACT), nasce per rispondere a un cambiamento strutturale del web: secondo i dati più recenti, il traffico automatizzato ha superato quello umano, rendendo inefficaci molte delle difese tradizionali. L'obiettivo è creare un meccanismo standardizzato che permetta ai siti di verificare l'attendibilità di un visitatore - umano o agente IA autorizzato - senza compromettere la privacy.

PACT si basa su token anonimi rilasciati da siti che dispongono di una forte conoscenza dell'identità dell'utente, ad esempio dopo un'autenticazione robusta. Il browser conserva questi token e può presentarli ad altri siti come prova che dietro la sessione c'è una persona reale o un agente autorizzato. Il design impedisce che i token vengano utilizzati per tracciare gli utenti o ricostruire la loro cronologia di navigazione, differenziandosi dalle tecniche di fingerprinting che negli ultimi anni sono diventate comuni. La collaborazione nasce in un contesto in cui i bot rappresentano circa il 58% delle richieste HTTP globali, una soglia superata con oltre un anno di anticipo rispetto alle previsioni. Cloudflare attribuisce l'accelerazione alla diffusione degli agenti IA, capaci di navigare, compilare moduli e svolgere attività complesse per conto degli utenti. Il CTO di Cloudflare, Dane Knecht, ha dichiarato che «il modo in cui interagiamo con Internet sta affrontando un cambiamento fondamentale» e che gli strumenti attuali «sono troppo generici e grossolani» per gestire il nuovo tipo di traffico.

Il protocollo non mira a bloccare tutta l'automazione. Cloudflare stessa utilizza agenti IA per attività interne e sottolinea che molti bot operano con un'autorizzazione esplicita dell'utente. PACT vuole invece distinguere tra automazione legittima e attività abusive come scraping aggressivo, frodi o attacchi coordinati. I browser coinvolti considerano l'iniziativa essenziale per preservare l'apertura del web, riducendo al contempo la necessità di barriere come paywall, login forzati o puzzle visivi. Dal punto di vista tecnico, PACT estende il Privacy Pass standardizzato dall'IETF nel 2024, e utilizza firme cieche per garantire che i token non possano essere collegati all'utente che li ha ottenuti. Apple impiega già un sistema simile nei propri sistemi operativi, mentre Cloudflare utilizza Privacy Pass nei suoi prodotti di gestione dei bot. L'iniziativa sarà sottoposta a un processo di standardizzazione formale, con l'obiettivo di creare un meccanismo utilizzabile in maniera trasparente da browser e servizi web.

Il superamento dei Captcha rappresenta uno degli aspetti più rilevanti del progetto. Le difese basate su puzzle visivi o comportamentali sono diventate sempre meno efficaci contro bot avanzati e agenti IA, oltre a introdurre attrito per gli utenti umani. Bobby Holley, CTO di Firefox, ha affermato che «possiamo costruire una soluzione migliore che mantenga una forte privacy e offra un'esperienza molto meno fastidiosa per le persone reali che usano il web». La crescita del traffico automatizzato ha spinto molti siti a introdurre misure drastiche come login obbligatori o tracciamenti comportamentali, con impatti significativi sulla privacy. PACT mira a ridurre la dipendenza da queste soluzioni, offrendo un segnale affidabile sulla legittimità del traffico senza rivelare informazioni personali. Il protocollo è pensato per funzionare anche in scenari complessi, come gli agenti IA che effettuano operazioni per conto degli utenti, distinguendo tra automazione autorizzata e attività malevole.

Articoli suggeriti:

OpenAI spegne Atlas: il browser AI-first è durato meno di un anno

Agenti IA in tasca: OpenClaw lancia le app per Android e iOS

reCAPTCHA, la verifica adesso passa da un gesto della mano davanti alla videocam...

Carta d'identità, niente scadenza il 3 agosto

Il progetto solleva comunque alcune questioni aperte. Non è ancora chiaro che cosa costituisca una «forte conoscenza dell'identità dell'utente», condizione necessaria per emettere token, né come evitare che alcuni browser o configurazioni vengano penalizzati. Discussioni preliminari tra sviluppatori di Google e Mozilla indicano che l'obiettivo non è escludere specifici dispositivi o user agent, ma definire criteri tecnici che garantiscano affidabilità senza discriminazioni. L'iniziativa rappresenta uno dei primi tentativi coordinati tra grandi attori del web per affrontare l'impatto dell'IA agentica sull'ecosistema Internet. Con l'aumento del traffico automatizzato e la crescente difficoltà nel distinguere tra utenti reali e bot, PACT potrebbe diventare un elemento chiave per mantenere un equilibrio tra sicurezza, apertura e privacy. Il processo di standardizzazione e le prime implementazioni nei browser definiranno nei prossimi mesi l'efficacia del nuovo protocollo.

Sullo stesso tema:

Microsoft Edge elimina la master password

Traffico web, i bot sorpassano gli umani

Windows 11, sparisce il post che ridimensionava gli antivirus esterni

Via i CAPTCHA da Google, arrivano i codici QR