Google Cloud ha lanzado Fraud Defense, una plataforma de seguridad dirigida a la emergente web agéntica, donde los sistemas autónomos de IA pueden razonar, planificar y completar transacciones en nombre de los usuarios. El anuncio, publicado el 22 de abril de 2026, presenta este cambio como una transformación en la manera en que los sitios web deben evaluar la actividad digital: la cuestión ya no es simplemente si el tráfico procede de una persona o de un bot, sino qué intenta hacer un sistema automatizado y si se puede confiar en su identidad y comportamiento.
Fraud Defense se presenta como la siguiente evolución de reCAPTCHA. Google Cloud afirma que la plataforma está diseñada para verificar la legitimidad de bots, personas y agentes de IA, ofreciendo a las empresas una forma de medir y controlar la actividad automatizada en sus sitios web y recorridos de comercio digital. La compañía señala que utiliza las mismas señales globales que protegen los servicios de Google, combinadas con controles destinados a las interacciones agénticas.
De la detección de bots a la identidad de los agentes
La primera capacidad importante es la medición de la actividad agéntica. Google Cloud afirma que su nuevo panel ayuda a las organizaciones a comprender cuánto tráfico agéntico llega a sus sitios y qué está haciendo. El sistema pretende identificar, clasificar y analizar la actividad automatizada mediante métodos de detección tradicionales junto con estándares del sector como Web Bot Auth y SPIFEE.
Este enfoque refleja un entorno en línea más complejo. Un sistema convencional de gestión de bots puede centrarse en si una solicitud parece automatizada, pero un asistente de compras basado en IA puede estar autorizado para buscar productos, comparar opciones o iniciar una compra. Un agente malicioso podría imitar un flujo de trabajo legítimo mientras intenta tomar el control de una cuenta, abusar de promociones o manipular el proceso de pago. Separar estos casos requiere más contexto que una simple decisión entre persona y máquina.
Google Cloud afirma que Fraud Defense también puede conectar las identidades de agentes y personas para mejorar su comprensión del riesgo y la confianza. El anuncio no describe todas las señales ni todos los proveedores de identidad implicados, por lo que las organizaciones deberían tratar esta capacidad como una nueva capa de control que deben evaluar frente a sus propios requisitos de autenticación, privacidad y supervisión del fraude.
Políticas en todo el recorrido del cliente
El segundo componente central es un motor de políticas agénticas. Según Google Cloud, las empresas pueden permitir o bloquear agentes y usuarios en distintas etapas de una interacción mediante condiciones que incluyen puntuaciones de riesgo, tipos de automatización e identidad del agente. Los controles están diseñados para aplicarse a lo largo de todo el recorrido, en lugar de limitarse a un único inicio de sesión o punto final de API.
Esto es importante porque las campañas de fraude suelen avanzar a través de varios pasos conectados. El registro, el inicio de sesión, la recuperación de cuentas, el descubrimiento de productos, el pago y la finalización de la compra pueden parecer legítimos cuando se inspeccionan de forma aislada. Un motor de políticas que correlacione las decisiones entre esas etapas podría ofrecer a los equipos de seguridad una forma de aplicar distintos niveles de escrutinio a medida que cambia el riesgo, preservando al mismo tiempo un acceso con menos fricción para la automatización de confianza.
Para los equipos defensivos, la implicación práctica es que el tráfico de agentes debería convertirse en una parte explícita de la política de seguridad. Los equipos tendrán que definir qué actores automatizados pueden navegar, cuáles pueden crear cuentas, cuáles pueden acceder a los datos de clientes y cuáles deben detenerse antes de una transacción. Estas decisiones deberían estar respaldadas por registros, responsables definidos y un proceso claro para revisar los falsos positivos.
Un punto de control humano para las solicitudes sospechosas
Fraud Defense también introduce lo que Google Cloud denomina un desafío resistente a la IA. Cuando la plataforma identifica un comportamiento potencialmente fraudulento de un agente, el proveedor de una aplicación puede solicitar que una persona vuelva a intervenir mediante un desafío basado en un código QR. El objetivo declarado es encarecer y dificultar el fraude automatizado sin imponer la misma interrupción a todos los visitantes.
El diseño es significativo porque trata la presencia humana como un control de seguridad dirigido, en lugar de como una prueba universal. Esto puede reducir la fricción innecesaria, pero también plantea preguntas operativas para los propietarios de sitios. El desafío debe ser accesible, comprensible y compatible con los procedimientos de recuperación de cuentas y respuesta al fraude de la organización. No debería considerarse un sustituto de una autenticación sólida, la supervisión de transacciones ni los límites para acciones de alto riesgo.
Qué cambia para los clientes actuales de reCAPTCHA
Google Cloud afirma que reCAPTCHA seguirá siendo el pilar central de defensa contra bots de la plataforma Fraud Defense más amplia. Los clientes actuales de reCAPTCHA pasan automáticamente a ser considerados clientes de Fraud Defense, sin necesidad de migración, sin ninguna acción requerida y sin cambios en los precios. La compañía también afirma que las claves de sitio y las integraciones existentes permanecerán sin cambios.
Esta continuidad puede facilitar la evaluación del anuncio para los clientes actuales, pero no elimina la necesidad de gobernanza. Las organizaciones deberían establecer quién puede crear o modificar las políticas de agentes, cómo se auditan las decisiones de riesgo y cómo se distinguen los asistentes de IA legítimos de la automatización no autorizada. También deberían confirmar las capacidades concretas disponibles para su implementación mediante la documentación actual del producto de Google, en lugar de asumir que todas las funciones anunciadas tienen el mismo alcance en todos los entornos.
El anuncio de Google Cloud presenta Fraud Defense como una infraestructura para una web en la que tanto las personas como los sistemas de IA son participantes legítimos. Por tanto, el desafío de seguridad está pasando de bloquear la automatización por defecto a establecer una confianza verificable, limitar las acciones de riesgo y conservar un punto de decisión humano cuando las señales indiquen un posible abuso. Para las empresas que se preparan para el comercio mediado por agentes, este planteamiento es más duradero que tratar cada solicitud automatizada como segura o maliciosa.