Le robot que vous ne verrez jamais : les agents de Grok naviguent sur votre site comme des humains connectés

Depuis deux semaines, cette série documente la grammaire du trafic des IA : des robots qui portent un nom, des fichiers qui posent des règles, des documentations qui disent qui respecte quoi. Toute cette grammaire suppose une chose si évidente qu'on ne la formule jamais : que le trafic des IA se PRÉSENTE comme tel. En lisant la documentation des « Bots » de xAI (l'éditeur de Grok), j'ai trouvé la page qui enterre ce présupposé.

Ce que xAI documente : pas un robot, un collègue avec un ordinateur

Lisez ce que ça décrit : pas un explorateur qui parcourt le web pour un index, mais un agent qui reçoit une mission (« compare ces fournisseurs », « remplis ce formulaire », « suis ce dossier ») et qui l'exécute dans un vrai navigateur, sur une vraie machine distante, avec les identifiants de son utilisateur s'il le faut. « Just like you do » : comme vous. Côté site visité, ce trafic ressemble à ce qu'il est fonctionnellement : un visiteur qui navigue, clique et se connecte.

Même les murs deviennent des péages

Notez la nuance : xAI ne revendique pas de contourner vos défenses, et c'est à mettre à son crédit. Mais regardez ce que la mécanique fait de vos défenses : un CAPTCHA n'arrête plus une machine, il SUSPEND un agent le temps qu'un humain clique, puis le travail automatisé reprend. Le mur est devenu un péage dont le tarif est trois secondes d'attention humaine. C'est un modèle de sécurité entièrement pensé contre des robots sans humain derrière, appliqué à des agents qui en ont toujours un.

Pourquoi c'est un changement de nature

Reprenez la panoplie que cette série a documentée, opérateur par opérateur, et regardez ce qu'il en reste ici. robots.txt ? Il gouverne des explorateurs déclarés ; un agent qui navigue en session utilisateur n'en relève pas, par construction, comme les récupérateurs à la demande de Google, OpenAI, Perplexity, Meta et Amazon l'écrivaient déjà, en plus petit. Le blocage par nom de robot ? Il n'y a pas de nom : au jour de ma consultation, la documentation de xAI ne décrit aucun robot d'exploration à bloquer. La vérification par adresses IP, que je recommandais contre l'usurpation ? Un « ordinateur cloud persistant » par utilisateur n'a pas de plage publiée.

Les autres éditeurs avaient ouvert une brèche dans la grammaire (le récupérateur utilisateur qui « peut ignorer » robots.txt). xAI construit tout son produit DANS la brèche : il n'y a plus de trafic d'IA à gouverner, il y a des sessions d'utilisateurs dont l'IA tient le clavier.

Ce que ça change pour vous

Pour vos statistiques : une part croissante des visites « humaines » de vos outils d'analyse peut être des agents en mission. Aucun réglage ne l'isole aujourd'hui. Souvenez-vous-en avant de sur-interpréter des comportements de visite étranges (pages parcourues vite, parcours très directs).

Pour vos contenus : un agent en mission cherche une information précise pour son utilisateur. Les pages qui répondent clairement (prix affichés, disponibilités, réponses directes) servent l'utilisateur final via son agent ; les pages qui retiennent l'information en otage d'un formulaire la perdent, l'agent ira la chercher ailleurs.

Pour votre politique robots : continuez de la tenir, elle gouverne tout ce que cette série a documenté. Mais sachez ce qu'elle ne couvre pas, et méfiez-vous de quiconque vous vend un « blocage total des IA » : cette page démontre qu'il n'existe pas.