ลูกค้าจำนวนมากเริ่มให้ผู้ช่วย AI เข้าเว็บแทน ทั้งเทียบราคาสินค้า หาคำตอบจากหน้าช่วยเหลือ ไปจนถึงกดสั่งซื้อ ปัญหาคือเว็บเห็นแค่คำขอจากโปรแกรมอัตโนมัติ แยกไม่ออกว่าเป็นผู้ช่วยของลูกค้าจริงหรือบอตที่มาดูดข้อมูล ถ้าบล็อกหมดก็เสียลูกค้า ถ้าปล่อยหมดก็เสี่ยง Cloudflare จึงเพิ่มหมวด Personal Assistants ให้เจ้าของเว็บเห็นทราฟฟิกของเอเจนต์ส่วนตัวแยกจากบอตอื่น และตั้งกติกาได้ทีละตัว บทความนี้อธิบายว่าเห็นอะไร ตั้งค่าได้แค่ไหน และร้านค้าออนไลน์ควรเตรียมอะไร
เอเจนต์ส่วนตัวต่างจากบอตเก็บข้อมูลอย่างไร
Cloudflare นิยามเอเจนต์ส่วนตัว (personal agent) ว่าเป็นตัวกลางระหว่างคนกับอินเทอร์เน็ต รับคำสั่งจากผู้ใช้แล้วแปลงเป็นคำขอและการกระทำบนเว็บ เช่น เปิดหน้าสินค้าหลายร้านเพื่อเทียบราคา หรือกรอกฟอร์มสั่งซื้อแทน ต่างจากบอตเก็บข้อมูลไปฝึก AI หรือบอตทำดัชนีค้นหาที่ไล่อ่านทั้งเว็บเพื่อประโยชน์ของผู้ทำบอตเอง เอเจนต์ส่วนตัวทำงานแทนลูกค้าคนหนึ่งในเวลานั้น ความยากคือในมุมของเซิร์ฟเวอร์ ทั้งสองแบบดูเหมือนทราฟฟิกอัตโนมัติเหมือนกัน และเอเจนต์ตัวเดียวอาจทำงานแทนผู้ใช้หลายล้านคน
สิ่งที่เจ้าของเว็บเห็นได้แล้ว
ในหน้า Security Analytics ส่วน Bot analysis มีหมวดใหม่ชื่อ Personal Assistants อยู่คู่กับหมวดเดิมอย่าง Verified Bot, Likely Human และ Automated เลือกหมวดนี้แล้วจะเห็นทราฟฟิกของเอเจนต์ส่วนตัวตามช่วงเวลา ส่วน Top statistics มีกล่องแสดงรายชื่อเอเจนต์แต่ละตัวพร้อมจำนวนคำขอ เมื่อกรองเฉพาะเอเจนต์ตัวหนึ่ง กล่องอื่นจะเปลี่ยนตามให้เห็นว่าเอเจนต์ตัวนั้นเข้าหน้าไหน ได้รหัสตอบกลับอะไร และมาจากเครือข่ายใด ข้อมูลชุดนี้ตอบคำถามพื้นฐานที่หลายเว็บยังตอบไม่ได้ คือมีผู้ช่วย AI เข้าเว็บเราจริงหรือไม่ และเข้ามาทำอะไร
หน้า Security Analytics แสดงรายชื่อเอเจนต์ส่วนตัวพร้อมจำนวนคำขอของแต่ละตัว (ภาพจาก The Cloudflare Blog) ตั้งกติกาได้สามแบบ ทั้งแบบรวมและรายตัว
การตั้งค่าอยู่ที่ Security Settings ส่วน AI Crawler and Agent access policies ซึ่งเปลี่ยนชื่อมาจากส่วนนโยบายเอเจนต์เดิม เจ้าของเว็บตั้งนโยบายรวมของเอเจนต์ทั้งหมด แล้วตั้งข้อยกเว้นให้เอเจนต์ส่วนตัวที่รองรับได้ทีละตัว ทางเลือกมีสามแบบ คือ อนุญาต บล็อกเฉพาะหน้าที่มีโฆษณา และบล็อก ส่วนนโยบายของบอตค้นหาและบอตเก็บข้อมูลฝึก AI ยังแยกตั้งเหมือนเดิม เว็บใหม่ที่เพิ่งเปิดใช้จะถูกถามตั้งแต่ขั้นตั้งค่าว่าหารายได้จากโฆษณาหรือไม่ แล้วระบบแนะนำนโยบายให้ตามคำตอบ
ส่วนตั้งค่า AI Crawler and Agent access policies กำหนดนโยบายรวมของเอเจนต์ และนโยบายแยกให้เอเจนต์ส่วนตัวแต่ละตัว (ภาพจาก The Cloudflare Blog) ทางเลือกของนโยบายเอเจนต์ส่วนตัว ทางเลือก ผล เหมาะกับเว็บแบบไหน อนุญาต เอเจนต์เข้าได้ทุกหน้า ร้านค้าออนไลน์และเว็บบริการที่อยากให้ผู้ช่วย AI ของลูกค้าหาสินค้าและสั่งซื้อได้ บล็อกเฉพาะหน้าที่มีโฆษณา เข้าได้เฉพาะหน้าที่ไม่มีโฆษณา เว็บข่าวและเว็บเนื้อหาที่รายได้หลักมาจากคนเห็นโฆษณา บล็อก ไม่ให้เอเจนต์ตัวนั้นเข้า เว็บที่พบว่าเอเจนต์ถูกใช้ในทางที่สร้างภาระหรือความเสี่ยง
คุมได้ถึงระดับบัญชีลูกค้า
สำหรับเว็บที่มีระบบสมาชิก Cloudflare เพิ่มข้อมูลเอเจนต์เข้าไปใน Account Abuse Protection ซึ่งยังเป็นรุ่นทดลองใช้ก่อนเปิดทั่วไป ทุกการล็อกอินและสมัครสมาชิกจะแสดงว่ามาจากเอเจนต์ส่วนตัวหรือไม่ และเป็นตัวไหน ทีมดูแลการทุจริตกรองบัญชีตามจำนวนเอเจนต์ที่ใช้ได้ และเมื่อพบบัญชีที่ใช้เอเจนต์ในทางผิด ก็ตั้งกฎ WAF จากรหัสผู้ใช้ที่ถูกแฮชไว้ เพื่อบล็อกเฉพาะบัญชีนั้น โดยไม่ต้องบล็อกเอเจนต์ตัวนั้นทั้งระบบ ซึ่งจะกระทบลูกค้าคนอื่นที่ใช้เอเจนต์เดียวกันอย่างถูกต้อง
ทำไมการระบุตัวตนของเอเจนต์ยังเป็นโจทย์ใหญ่
ในบทความต่อเนื่องที่เผยแพร่วันถัดมา Cloudflare อธิบายว่าเมื่อมีเอเจนต์คั่นกลาง เว็บต้องตอบสามคำถามที่เคยตอบจากตัวผู้ใช้โดยตรง คือ คนที่สั่งงานเป็นใคร เชื่อถือได้แค่ไหน และใครรับผิดชอบเมื่อเกิดปัญหา แนวทางที่เสนอคือเปิดเผยตัวตนเป็นระดับตามความจำเป็น ตั้งแต่ไม่เปิดเผยเลย ระดับเซสชัน ระดับบัญชี จนถึงระบุตัวคนชัดเจน โดยใช้มาตรฐานอย่าง Web Bot Auth สำหรับลงลายเซ็นยืนยันว่าเป็นเอเจนต์ตัวจริง Privacy Pass สำหรับยืนยันความน่าเชื่อถือโดยไม่ต้องเปิดเผยตัวตน และ OAuth สำหรับเชื่อมกับบัญชีผู้ใช้ Cloudflare ชี้ว่า robots.txt ไม่พอสำหรับบอกว่าเอเจนต์ทำอะไรได้บ้าง และตั้งกลุ่มความร่วมมือ Trusted Agent Delegation เพื่อผลักเรื่องนี้เข้าสู่การทำมาตรฐานที่ IETF
ร้านค้าออนไลน์ไทยควรเตรียมอะไร
ดูข้อมูลก่อนตัดสินใจ ตรวจว่ามีเอเจนต์ส่วนตัวเข้าเว็บแล้วหรือยัง และเข้าหน้าไหน ก่อนตั้งนโยบายบล็อกแยกกติกาตามชนิดหน้า หน้าสินค้าและหน้าช่วยเหลือควรเปิดให้ผู้ช่วยของลูกค้าอ่านได้ ส่วนหน้าชำระเงินและหน้าบัญชีต้องมีการยืนยันตัวตนที่รัดกุมทำข้อมูลสินค้าให้อ่านง่ายสำหรับเครื่อง ราคา สต็อก ตัวเลือก และเงื่อนไขการส่งที่ชัดเจน ช่วยให้เอเจนต์แนะนำร้านได้ถูกต้องระวังการบล็อกแบบเหมารวม กฎที่บล็อกทราฟฟิกอัตโนมัติทั้งหมดอาจตัดลูกค้าที่ใช้ผู้ช่วย AI ซื้อของโดยไม่รู้ตัวทบทวนเรื่องข้อมูลส่วนบุคคล เมื่อเอเจนต์กรอกข้อมูลลูกค้าแทน ระบบยังต้องขอความยินยอมและเก็บข้อมูลตาม PDPA เหมือนเดิมทีมงาน Smart Cyber Tech ช่วยตรวจและวางมาตรการความปลอดภัยของเว็บไซต์ ตั้งแต่ทบทวนกฎ WAF และบอต แยกกติกาตามชนิดหน้า ไปจนถึงป้องกันบัญชีลูกค้าโดยไม่ปิดทางผู้ช่วย AI ของลูกค้าจริง ปรึกษาได้ที่ แบบฟอร์มติดต่อ
สรุปสาระสำคัญ เอเจนต์ส่วนตัวต่างจากบอตเก็บข้อมูลอย่างไร สิ่งที่เจ้าของเว็บเห็นได้แล้ว ตั้งกติกาได้สามแบบ ทั้งแบบรวมและรายตัว แหล่งอ้างอิง เรียบเรียงจาก Cloudflare Blog — See the agents, set the terms: new visibility and control for personal agents —
อ่านบทความต้นฉบับ ภาพปกและแผนภาพ: Cloudflare Blog · ลิขสิทธิ์ภาพเป็นของเจ้าของต้นฉบับ ใช้ประกอบการรายงานพร้อมอ้างอิงแหล่งที่มา
มีคำถามเพิ่มเติมเกี่ยวกับบทความนี้? เขียนหาเราได้ที่
info@smart-cyber-tech.com บริการที่เกี่ยวข้องจากทีมงาน Smart Cyber Tech แบ่งปันบทความนี้:
คัดลอกลิงก์ ปรึกษาทีมของเรา
