Il tuo stack antifrode è stato costruito per avversari umani

Negli ultimi 30 anni, CAPTCHA ha svolto un unico compito: far fallire un test a una macchina che una persona supera senza pensarci. Quel compito è finito. I ricercatori, testando solutori automatizzati contro le sfide immagine di reCAPTCHA v2 di Google, hanno riportato un tasso di successo del 100%, in aumento rispetto al circa 68%‑71% dei lavori precedenti, e non hanno riscontrato differenze significative tra il numero di sfide che un bot doveva superare e quello che ne superava un umano.

Se consideriamo CAPTCHA come un sostituto per un’intera categoria di controlli basata sul medesimo presupposto – che alcuni compiti sono banali per un umano e difficili per una macchina, e quindi superare il compito dimostra di essere umani – è tempo di rivedere i parametri di controllo. Gli agenti IA hanno silenziosamente cancellato questo presupposto nell’ambito del riconoscimento delle immagini, della compilazione di moduli e della navigazione a più passaggi, e la maggior parte dei team di rischio non ha ancora ricostruito il proprio stack in risposta.

Calibrato contro il nemico sbagliato

Ogni regola in uno stack antifrode maturo era tarata contro un avversario specifico, sia esso un umano che impersona un altro umano o un bot farm che impersona molti umani contemporaneamente. I controlli di velocità individuano chi apre account più velocemente di quanto una persona possa plausibilmente fare. Le regole di riutilizzo dei dispositivi catturano chi ricicla hardware tra identità. Entrambe sono state costruite attorno ai limiti umani, al tempo fisico necessario per compilare un modulo e al costo pratico di acquistare nuovi dispositivi.

Gli stessi limiti non vincolano un agente IA come vincolano noi umani. Può completare un modulo nel tempo che un umano impiega a leggere il primo campo, e può essere provisionato, usato una volta e scartato a un costo quasi nullo. Il traffico automatizzato ora rappresenta più del 53% di tutto il traffico web, in aumento dal 51% dell’anno precedente, mentre l’attività umana è scesa al 47% e continua a diminuire. Oltre un quarto degli attacchi bot (27%) ora mira direttamente alle API, bypassando completamente l’interfaccia utente per operare alla velocità della macchina, e i servizi finanziari da soli hanno assorbito il 24% di tutti gli attacchi bot e il 46% degli incidenti di takeover di account nel 2025. Le regole costruite attorno al ritmo umano non avrebbero mai potuto catturare una classe di traffico che non ha alcun ritmo.

Dove le crepe si stanno mostrando

L’istinto iniziale dell’industria è stato quello di combattere l’IA con più IA, trattando un modello blackbox come una soluzione miracolosa per un avversario blackbox. Questo istinto peggiora il problema di per sé. Un modello antifrode che non può spiegare la propria decisione è quasi impossibile da difendere di fronte a un regolatore, a un cliente o a un auditor interno una volta che la decisione viene contestata, e un modello opaco addestrato a catturare una minaccia opaca aggrava l’opacità anziché risolverla. La difendibilità qui non è una questione filosofica; significa anche poter dimostrare la governance del modello: quale modello è attivo, cosa è cambiato rispetto alla versione precedente, su quali dati è stato addestrato, chi ha approvato il cambiamento e perché. Un sistema progettato per aggiornare automaticamente il modello IA non è mai stato concepito per produrre quel tipo di tracciabilità.

Un’altra difesa necessaria per distinguere il lecito dal malizioso è l’intelligenza stratificata: profondità del segnale su un numero sufficiente di dimensioni indipendenti affinché un’identità falsificata, un account dirottato o un mule finanziario esauriscano i luoghi dove nascondersi. Ogni dimensione aggiuntiva è un’opportunità separata per intercettare un’incongruenza, una componente di infrastruttura fraudolenta condivisa o un comportamento che non corrisponde alla persona registrata. Nessun singolo segnale deve sostenere l’intero peso della decisione. Più ampio è il contesto, più un indizio isolato e ambiguo diventa qualcosa di cui un team antifrode può effettivamente farsi carico. 

Lo stesso principio vale sia che la decisione sia presa da una persona sia da un modello. Un motore di rischio IA non è più intelligente dei dati che gli vengono forniti. Se si tolgono metà delle dimensioni, si ottiene un sistema che ragiona con totale fiducia su metà dell’immagine, e ciò è vero tanto per un modello di machine learning che valuta una transazione in millisecondi quanto per un analista che lavora un caso manualmente. Diventa più vero, non meno, man mano che una quota maggiore di quella decisione passa a sistemi agentici che prendono la decisione senza alcun operatore umano.

La profondità del contesto non è solo il modo per catturare un agente che commette frodi. È la precondizione per fidarsi della decisione di un agente su qualsiasi cosa.

Fornisci quel contesto a un modello il cui ragionamento rimane leggibile, anziché a un unico sistema blackbox che indovina l’intento da un solo segnale, e la decisione smette di essere solo accurata. Diventa difendibile. Questa distinzione conta di più contro gli agenti IA rispetto ai tradizionali gruppi fraudolenti umani, perché un agente lascia un tipo diverso di traccia. Non si dimena, non esita né commette i piccoli errori che le biometrie comportamentali sono state create per rilevare. Lascia invece un’impronta; nell’era delle credenziali che utilizza e della coerenza della cronologia di un dispositivo che si estende o meno oltre la transazione di fronte a te. Esegue silenziosamente uno strumento di accesso remoto in background mentre le credenziali di qualcun altro vengono spese. Niente di ciò richiede la lettura di un volto. Richiede solo la capacità di leggere i dettagli completi della sessione confrontandoli con un ampio set di segnali.

Il Segnale Umano Che Non Esiste Più

Da nessuna parte la ricalibrazione è più urgente dell’identificazione, dove i team antifrode hanno costruito un’intera disciplina per catturare i segnali umani, come un ritmo di battito delle palpebre innaturale, una sincronizzazione labiale non corrispondente o un artefatto testurizzato in una foto. Gli strumenti deepfake hanno colmato la maggior parte di queste lacune, e i criminali non hanno più bisogno di creare quegli strumenti da soli.

Valutazione Globale della Minaccia di Frode Finanziaria di Interpol, pubblicata a marzo, ha rilevato che le frodi finanziarie hanno prosciugato più di 442 miliardi di dollari dall’economia globale nel 2025, con le frodi potenziate dall’IA ora circa 4,5 volte più redditizie rispetto ai metodi tradizionali. Il rapporto identifica operazioni di “deepfake-as-a-service” nei mercati darknet che vendono kit di identità sintetiche, completi di avatar video generati dall’IA, cloni vocali e dati biometrici, che consentono a un aggressore di creare un clone digitale convincente a partire da soli 10 secondi di audio prelevati da un post sui social media.

Il segnale affidabile non è mai stato il documento d’identità. È la continuità: il passato digitale di una vera identità si accumula nel corso di anni di attività ordinaria dell’account e di pattern comportamentali, il tipo di storia che un’identità sintetica, o un agente che la rappresenta, non ha il tempo di costruire. Un sistema che cerca solo un documento d’identità falsificato continuerà a fallire. Un sistema che cerca una storia mancante ha un obiettivo più difficile da falsificare.

Riprogettare per un Avversario Differente

Niente di tutto ciò è un invito al panico, né è un’affermazione che le frodi umane siano scomparse. Non è così. È un’argomentazione secondo cui uno stack sintonizzato interamente sui limiti, il ritmo e i segnali umani presenta un punto cieco strutturale proprio dove operano gli agenti IA, e quel punto cieco non si chiuderà da solo. Qualsiasi di questi controlli, testato singolarmente, può ancora risultare pulito. È solo quando questi controlli vengono letti insieme, attraverso un numero sufficiente di dimensioni indipendenti, che il modello che un singolo controllo era destinato a mancare diventa visibile.

I sistemi IA agentici possono ora pianificare ed eseguire autonomamente una campagna di frode completa, dalla ricognizione alla richiesta di riscatto, per lo più senza alcun operatore umano nel ciclo. La soluzione non è una regola agganciata allo stack vecchio. È un nuovo presupposto. Il test non è più se qualcosa sembra un truffatore umano — è se c’è mai stato un vero umano dietro di esso.