Addio CAPTCHA? Come PACT può distinguere umani e bot nell’era degli agenti AI

I puzzle con semafori e barche hanno le ore contate. L’aumento del traffico automatizzato e degli agenti AI sta spingendo il web verso un nuovo modello di autenticazione: meno frizioni, più privacy e verifiche più intelligenti.

Perché i CAPTCHA stanno crollando

Per anni i CAPTCHA hanno distinto umani e bot. Oggi però sono diventati un ostacolo più per le persone che per le macchine. Gli agenti AI navigano, cliccano e risolvono test visivi meglio e più velocemente di noi. Il risultato? Un’esperienza utente frustrante e un controllo inefficace.

Automazione evoluta: agenti AI e script headless superano test visivi e comportamentali pensati per limitazioni che non hanno più.
UX a rischio: selezionare immagini e decifrare stringhe allunga i tempi di accesso e fa perdere conversioni.
Accessibilità: barriere inutili per utenti reali con esigenze specifiche, senza reali benefici di sicurezza.

Che cos’è PACT e come vuole cambiare l’autenticazione

Secondo l’annuncio di Cloudflare, tra i soggetti coinvolti ci sono anche grandi nomi dei browser e dell’ecosistema web. L’obiettivo è sviluppare un protocollo “privacy-first” capace di attestare che dietro a una richiesta c’è una persona, senza rivelarne l’identità. Niente più puzzle invasivi: al loro posto, token anonimi gestiti a livello di browser.

Token anonimi, non profili personali

La logica è semplice: il browser riceve un Private Access Control Token (un “gettone” digitale) che certifica la probabilità che l’utente sia umano. Quando visiti un sito, il tuo browser presenta questo token. Il sito non sa chi sei, ma può ridurre o evitare i controlli intrusivi. Il controllo diventa probabilistico e rispettoso della privacy, anziché basato su tracciamenti aggressivi o test visivi.

Importante: l’obiettivo non è “bloccare i bot” in assoluto (impossibile e spesso indesiderabile), ma dare ai siti un segnale affidabile per distinguere traffico umano da traffico automatizzato e tarare di conseguenza sicurezza, limiti e priorità.

Cosa cambia per utenti e siti

Per gli utenti: meno interruzioni, meno frustrazione, maggiore tutela dei dati personali.
Per i siti: un meccanismo standard per ridurre abusi (spam, credential stuffing, scalping) e diminuire i falsi positivi sui visitatori legittimi.

La domanda scomoda: e gli agenti AI?

Qui arriva il punto critico. Se un tuo agente AI opera direttamente nel tuo browser, il token potrebbe “avallare” azioni non umane perché l’attestazione resta legata al dispositivo. È lo scenario più difficile.

Agente nell’ambiente utente: se usa il tuo browser, il sito potrebbe vederlo come umano. Serviranno politiche e limiti lato applicazione (ritmi, pattern d’uso, verifica d’identità per azioni sensibili).
Agente esterno o headless: senza token, il traffico sarà più facilmente classificabile come automatizzato e potrà ricevere sfide progressive o minori privilegi.
Inversione del Test di Turing: paradossalmente siamo noi a dover “provare” di essere umani per ottenere un’esperienza migliore, mentre i bot resteranno parte legittima dell’infrastruttura web (per indicizzazione, integrazioni, automazioni).

Impatto su advertising e misurazione

Se l’attestazione “umano” diventa un segnale standard, può cambiare il modo in cui si vende e si misura la pubblicità. Possibili scenari:

Acquisto media filtrato: pacchetti di impression “verificate umane”, con CPM diversi rispetto al traffico misto.
Attribution più pulita: meno rumore da bot nelle metriche di performance e conversione.
Rischi di lock-in: chi blocca troppo gli agenti può penalizzare casi d’uso legittimi (es. aggregatori, comparatori, SEO tecnico). Servirà equilibrio tra apertura e controllo.

Cosa fare adesso: checklist per brand, editori e creator

Monitorare lo standard: segui gli aggiornamenti di Cloudflare e dei browser partner per capire tempi, API e requisiti.
Audit del traffico: confronta tassi di rimbalzo, completion e pattern orari per distinguere in modo pragmatico umano vs automatizzato.
Ridisegnare l’onboarding: prepara flussi “captcha-less” con sfide progressive solo per richieste sospette (rate limiting, verifica e-mail/telefono per azioni ad alto rischio).
Aggiorna la privacy: chiarisci l’uso di token di attestazione nella privacy policy e nei banner di consenso, in ottica trasparenza.
Test controllati: quando disponibile, prova il nuovo protocollo su subset di traffico e misura impatto su conversione, sicurezza e supporto.

Conclusione

I CAPTCHA tradizionali sono al capolinea. Un protocollo condiviso e “privacy-first” come PACT può ridare velocità e fiducia alla navigazione, ma la sfida con gli agenti AI è appena iniziata. La differenza la faranno governance, design e metriche.

Iscriviti alla newsletter e ricevi ogni mattina la puntata con le fonti.

👉 Per scoprire tutti i dettagli e l’opinione personale di Mario Moroni, ascolta la puntata completa su Spotify.