Commerce stał się głównym celem ataków botów AI, a skala zjawiska przestała być wyłącznie problemem największych platform sprzedażowych.[1][2] Dla firm rozwijających sprzedaż online, systemy B2B, portale zamówień i integracje API oznacza to konieczność spojrzenia na bezpieczeństwo nie tylko przez pryzmat klasycznych podatności, ale także automatyzacji i ruchu generowanego przez agentów.[1][3]

Dlaczego ten temat jest ważny

Akamai podało, że w 2025 roku organizacje z obszaru commerce zostały trafione przez ponad 17 bilionów botów, a pod koniec grudnia 2025 roku niemal 47,9% ruchu w tym sektorze stanowiły już boty AI.[1][2] Raport wskazuje też, że ataki na warstwę API wzrosły o 9% między czwartym kwartałem 2024 i czwartym kwartałem 2025, co pokazuje wyraźny zwrot atakujących w stronę logiki biznesowej, integracji i danych, a nie tylko klasycznej aplikacji webowej.[2][4]

Dla właścicieli sklepów, platform zamówień, extranetu dla partnerów i systemów self-service oznacza to prosty wniosek: powierzchnia ataku rośnie wraz z automatyzacją procesów.[3][4] Im więcej formularzy, endpointów, integracji i warstw pośrednich, tym łatwiej o nadużycia związane ze scrapingiem, enumeracją, przejęciem kont, testowaniem promocji albo przeciążeniem usług ruchem aplikacyjnym.[3][5]

Czym jest agentic commerce

Agentic commerce to model, w którym agenci AI wykonują część działań zakupowych w imieniu użytkownika, na przykład wyszukują produkty, porównują warunki, inicjują transakcje lub pobierają dane z systemów handlowych.[3][6] Ten sam trend, który poprawia wygodę klienta i zwiększa automatyzację, tworzy również nowe możliwości dla przestępców, ponieważ złośliwe boty mogą imitować zachowania legalnych agentów i działać na dużą skalę.[1][7]

Akamai uruchomiło w czerwcu 2026 roku Agentic Security Framework dla środowisk AI-driven interactions i commerce, rozwijany z partnerami takimi jak Visa, Experian, Skyfire oraz TollBit.[6][7][8] Sam fakt powstania takiego frameworka pokazuje, że rynek przestał traktować agentów AI jako ciekawostkę, a zaczął traktować ich jako nową klasę tożsamości, ruchu i ryzyka operacyjnego.[7][6]

Jakie ryzyka rosną najszybciej

Największy problem nie polega dziś wyłącznie na tym, że botów jest więcej, ale na tym, że coraz lepiej udają one prawidłowy ruch biznesowy.[3][9] W praktyce oznacza to większe ryzyko scrapingu cen, przejmowania stanów magazynowych, nadużyć promocyjnych, testowania API, fraudu transakcyjnego oraz kosztownego obciążania infrastruktury.[3][5][9]

Raport Akamai wskazuje również, że commerce było celem ataków Layer 7 DDoS prawie 3 biliony razy w 2025 roku, a sektor retail przyjął 84% takich ataków w obrębie commerce.[5][4] To ważne także dla firm produkcyjnych i dystrybucyjnych, ponieważ coraz więcej z nich udostępnia klientom i partnerom portale zamówień, cenniki, katalogi produktowe i systemy obsługi posprzedażowej działające przez web i API.[3][4]

Co powinny zrobić firmy

Akamai rekomenduje, aby najpierw zmapować cały łańcuch przychodowy i zinwentaryzować API, w tym także shadow APIs, które często pozostają poza standardowym nadzorem bezpieczeństwa.[1][3] Drugim krokiem powinno być odejście od prostego modelu allow-or-block na rzecz oceny automatyzacji według intencji, wartości biznesowej i poziomu ryzyka.[1][3]

Kolejna rekomendacja to ograniczanie blast radius przez realną mikrosegmentację, ponieważ według Akamai 92% organizacji stosuje podstawową segmentację sieci, ale tylko 35% wdrożyło prawdziwą mikrosegmentację.[1][10] Istotne jest również połączenie bezpieczeństwa z kontrolą fraudów, tak aby zespoły reagowały na anomalie behawioralne, przejęcia sesji i nadużycia kont w jednym modelu operacyjnym.[1][3]

Co to oznacza dla CHORS.NET

Dla CHORS.NET ten trend otwiera bardzo konkretny obszar usług: screening ekspozycji, przegląd podatności, analiza powierzchni ataku oraz ocena ryzyk związanych z ruchem botowym i integracjami API w środowiskach handlowych B2B i e-commerce.[1][4] Taki model jest szczególnie ważny dla firm, które nie postrzegają się jako „e-commerce”, ale mają portale klienta, formularze zamówień, systemy partnerów, marketplace feedy albo automatyczne połączenia między ERP, CRM i warstwą webową.[3][4]

Z perspektywy EEAT warto podkreślić doświadczenie operacyjne i techniczne autora oraz praktyczne podejście do identyfikowania ryzyk, zanim staną się incydentem biznesowym. inż. Marcin Białczyk, CHORS.NET, koncentruje się na zewnętrznej widoczności firmy w internecie, analizie podatności i rekomendacjach możliwych do wdrożenia przez zespoły operacyjne, IT i właścicieli biznesu.[4][1]

Wniosek praktyczny

Jeżeli firma rozwija sprzedaż online, kanały samoobsługowe, API lub rozwiązania oparte na agentach AI, bezpieczeństwo powinno obejmować nie tylko podatności aplikacyjne, ale również kontrolę automatyzacji i nadużyć biznesowych.[1][3] W realiach 2026 roku pytanie nie brzmi, czy boty AI dotkną commerce, lecz czy organizacja potrafi odróżnić ruch wartościowy od ruchu szkodliwego i odpowiednio zareagować.[1][9]