Google Cloud a lancé Fraud Defense, une plateforme de sécurité destinée au web agentique émergent, où des systèmes d’IA autonomes peuvent raisonner, planifier et effectuer des transactions au nom des utilisateurs. L’annonce, publiée le 22 avril 2026, présente cette évolution comme un changement dans la manière dont les sites web doivent évaluer l’activité numérique : la question n’est plus simplement de savoir si le trafic provient d’un humain ou d’un bot, mais ce qu’un système automatisé tente de faire et si son identité et son comportement sont dignes de confiance.
Fraud Defense est présenté comme la prochaine évolution de reCAPTCHA. Google Cloud affirme que la plateforme est conçue pour vérifier la légitimité des bots, des humains et des agents IA, afin de permettre aux entreprises de mesurer et de contrôler l’activité automatisée sur leurs sites web et leurs parcours de commerce numérique. L’entreprise indique utiliser les mêmes signaux mondiaux que ceux qui protègent les services Google, associés à des contrôles destinés aux interactions agentiques.
De la détection des bots à l’identité des agents
La première capacité majeure est la mesure de l’activité agentique. Google Cloud indique que son nouveau tableau de bord aide les organisations à comprendre quelle proportion de trafic agentique atteint leurs sites et ce que fait ce trafic. Le système vise à identifier, classifier et analyser l’activité automatisée en combinant des méthodes de détection traditionnelles avec des standards du secteur tels que Web Bot Auth et SPIFEE.
Cette approche reflète un environnement en ligne plus complexe. Un système classique de gestion des bots peut déterminer si une requête semble automatisée, mais un assistant d’achat IA peut être autorisé à rechercher des produits, comparer des options ou lancer un achat. Un agent malveillant pourrait imiter un parcours légitime tout en tentant de prendre le contrôle d’un compte, d’abuser de promotions ou de manipuler le paiement. Distinguer ces situations nécessite davantage de contexte qu’une simple décision entre humain et machine.
Google Cloud affirme également que Fraud Defense peut relier les identités des agents et des humains afin d’améliorer sa compréhension du risque et de la confiance. L’annonce ne décrit pas chaque signal ni chaque fournisseur d’identité concernés ; les organisations doivent donc considérer cette fonctionnalité comme une nouvelle couche de contrôle à évaluer au regard de leurs propres exigences en matière d’authentification, de confidentialité et de surveillance de la fraude.
Des politiques couvrant le parcours client
Le deuxième composant central est un moteur de politiques agentiques. Selon Google Cloud, les entreprises peuvent autoriser ou bloquer des agents et des utilisateurs à différentes étapes d’une interaction, à l’aide de conditions comprenant les scores de risque, les types d’automatisation et l’identité de l’agent. Ces contrôles sont conçus pour s’appliquer à l’ensemble du parcours, plutôt qu’à une seule connexion ou à un seul point de terminaison d’API.
Cela est important car les campagnes de fraude passent souvent par plusieurs étapes liées. L’inscription, la connexion, la récupération de compte, la recherche de produits, le paiement et la validation de commande peuvent chacune sembler légitimes lorsqu’elles sont examinées isolément. Un moteur de politiques qui met en corrélation les décisions prises à ces différentes étapes pourrait permettre aux équipes de sécurité d’appliquer des niveaux de contrôle différents à mesure que le risque évolue, tout en préservant un accès plus fluide pour les automatisations de confiance.
Pour les défenseurs, l’implication pratique est que le trafic des agents doit devenir une composante explicite de la politique de sécurité. Les équipes devront définir quels acteurs automatisés sont autorisés à naviguer, lesquels peuvent créer des comptes, lesquels peuvent accéder aux données clients et lesquels doivent s’arrêter avant une transaction. Ces décisions doivent être accompagnées de journaux, de responsabilités clairement attribuées et d’un processus précis d’examen des faux positifs.
Un point de contrôle humain pour les requêtes suspectes
Fraud Defense introduit également ce que Google Cloud appelle un défi résistant à l’IA. Lorsque la plateforme identifie un comportement potentiellement frauduleux provenant d’un agent, un fournisseur d’application peut demander qu’un humain reprenne la main au moyen d’un défi basé sur un code QR. L’objectif annoncé est de rendre la fraude automatisée plus coûteuse et plus difficile, sans imposer la même interruption à chaque visiteur.
Cette conception est importante car elle fait de la présence humaine un contrôle de sécurité ciblé plutôt qu’un test universel. Elle peut réduire les frictions inutiles, mais elle soulève aussi des questions opérationnelles pour les propriétaires de sites. Un défi doit être accessible, compréhensible et compatible avec les procédures de récupération de compte et de réponse à la fraude de l’organisation. Il ne doit pas être considéré comme un substitut à une authentification forte, à la surveillance des transactions ou aux limites imposées aux actions à haut risque.
Ce qui change pour les clients actuels de reCAPTCHA
Google Cloud indique que reCAPTCHA restera le pilier central de défense contre les bots au sein de la plateforme Fraud Defense. Les clients actuels de reCAPTCHA sont automatiquement considérés comme des clients Fraud Defense, sans migration requise, sans action nécessaire et sans changement de tarification. L’entreprise précise également que les clés de site et les intégrations existantes restent inchangées.
Cette continuité peut faciliter l’évaluation de l’annonce par les clients actuels, mais elle ne supprime pas le besoin de gouvernance. Les organisations doivent déterminer qui peut créer ou modifier les politiques applicables aux agents, comment les décisions de risque sont auditées et comment les assistants IA légitimes sont distingués des automatisations non autorisées. Elles doivent également confirmer les capacités précises disponibles dans leur déploiement à partir de la documentation produit actuelle de Google, plutôt que de supposer que chaque fonctionnalité annoncée possède la même portée dans tous les environnements.
L’annonce de Google Cloud présente Fraud Defense comme une infrastructure pour un web dans lequel les humains et les systèmes d’IA sont tous deux des participants légitimes. Le défi de sécurité consiste donc à passer du blocage par défaut de l’automatisation à l’établissement d’une confiance vérifiable, à la limitation des actions risquées et au maintien d’un point de décision humain lorsque les signaux indiquent un possible abus. Pour les entreprises qui se préparent au commerce piloté par des agents, ce cadre est plus durable que de considérer chaque requête automatisée comme sûre ou malveillante.