Cichy gość, którego nie zapraszałeś
20 marca 2026 roku Google dodało do swojej oficjalnej listy web fetcherów nową pozycję: Google-Agent. Bez konferencji prasowej, bez szerokiego ogłoszenia – zwykły wpis w dokumentacji dla deweloperów. A jednak ta zmiana może mieć większe znaczenie dla właścicieli stron internetowych i sklepów internetowych niż niejeden algorytmiczny update.
Google-Agent nie jest kolejnym crawlerem indeksującym treści na potrzeby wyszukiwarki. Nie jest też botem zbierającym dane do trenowania modeli AI. To coś nowego: agent AI działający bezpośrednio w imieniu człowieka, w ramach projektu Google o nazwie Project Mariner. Kiedy użytkownik poprosi Mariner o znalezienie najtańszego produktu lub wypełnienie formularza kontaktowego, Google-Agent odwiedza strony dokładnie tak, jak zrobiłby to człowiek – tyle że działa automatycznie i na masową skalę.
Koniec grzecznego kontraktu, czyli co robots.txt naprawdę gwarantował
Przez ponad dwie dekady plik robots.txt pełnił rolę niepisanej umowy między webmasterem a botami. Wpisywałeś Disallow: /cennik/ i miałeś względną pewność, że żaden szanujący się crawler tam nie zajrzy. To była zasada wzajemnego szacunku – nie prawo, nie techniczne zabezpieczenie, ale konwencja, której przestrzegały niemal wszystkie duże serwisy.
Google-Agent tę konwencję zrywa. Oficjalne uzasadnienie Google brzmi następująco: ponieważ agent działa na bezpośrednie zlecenie człowieka, jego żądania są traktowane jak żądania inicjowane przez użytkownika – analogicznie do sytuacji, gdy człowiek wpisuje adres URL w przeglądarce. Logika jest czytelna, ale dla właścicieli stron konsekwencje są poważne.
Co ciekawe, bezpośrednia konkurencja zachowuje się inaczej. ChatGPT-User (OpenAI) i Claude-User (Anthropic) – analogiczne agenty od innych gigantów AI – respektują dyrektywy robots.txt. Google jako pierwsza duża firma podjęła decyzję o jednostronnym zerwaniu tej konwencji, powołując się na „człekopodobny" charakter żądań swojego agenta.
Co Google-Agent może robić na Twojej stronie?
Google-Agent jest klasyfikowany jako „user-triggered fetcher" – co oznacza, że nie skanuje internetu autonomicznie i nie pojawia się bez powodu. Działa wyłącznie wtedy, gdy konkretny użytkownik wyda mu polecenie. Ale właśnie to czyni go potencjalnie bardziej inwazyjnym niż zwykły crawler.
W praktyce Google-Agent potrafi:
- przeglądać strony produktowe i zbierać dane cenowe,
- porównywać oferty między sklepami internetowymi,
- wypełniać formularze – kontaktowe, zamówień, wycen,
- zbierać informacje o stanach magazynowych,
- nawigować po witrynie jak człowiek, klikając linki i przyciski.
Dla właściciela sklepu na WooCommerce, PrestaShop czy Shoper oznacza to, że konkurencja może – całkowicie legalnie z perspektywy Google – zlecić agentowi zebranie wszystkich Twoich cen w kilka minut. A Ty nie masz możliwości zablokowania tego przez robots.txt.
Jak skutecznie chronić swoją stronę przed Google-Agent?
Skoro robots.txt nie działa, trzeba sięgnąć po metody, które faktycznie chronią zasoby – te same, których używasz wobec nieproszonych ludzkich odwiedzających.
Uwierzytelnianie serwerowe to pierwsza linia prawdziwej obrony. Strefy witryny zawierające wrażliwe dane – cenniki hurtowe, dane klientów, panele administracyjne – powinny być chronione loginem i hasłem lub tokenem dostępu na poziomie serwera, nie przez plik tekstowy, jakim jest robots.txt.
Zabezpieczenie formularzy to drugi krok, szczególnie ważny dla sklepów internetowych. CAPTCHA nowej generacji (np. hCaptcha, Cloudflare Turnstile) lub technika honeypotów (ukryte pola formularza, które wypełnia tylko bot) skutecznie utrudniają automatyczne działania agentów AI.
Rate limiting oparty na zachowaniu – nie tylko na user-agencie – to kolejna warstwa ochrony. Agenty AI mogą zmieniać swój identyfikator, dlatego monitoring wzorców ruchu (np. gwałtowny wzrost odwiedzin kart produktów bez konwersji) bywa skuteczniejszy niż blokowanie po nazwie bota.
Web Bot Auth to nowy standard kryptograficznej weryfikacji tożsamości agentów, który Google planuje wdrożyć. Pozwoli on właścicielom stron precyzyjnie decydować, którym agentom i w jakim zakresie udostępniają swoje zasoby. Warto śledzić postępy tego standardu na stronach deweloperskich Google.
Polska perspektywa: RODO i nowe pytania o zgodność
Polscy właściciele stron i sklepów internetowych mają dodatkowy powód do refleksji: RODO. Rozporządzenie nakłada na administratorów danych obowiązek kontroli nad tym, kto i w jaki sposób przetwarza dane dostępne na stronie. Zasada minimalizacji danych oznacza, że dane nie powinny być udostępniane szerzej, niż jest to konieczne.
Jeśli agent AI zbiera dane osobowe (np. ze stron z opiniami klientów, formularzami) pomimo braku takiej zgody, rodzi to pytania o odpowiedzialność administratora. Warto zaktualizować politykę prywatności i regulamin strony o wyraźne zapisy dotyczące automatycznych agentów AI – zarówno tych zaproszonych, jak i tych, którym dostępu nie udzielono.
Praktyczna lista kontrolna dla właściciela strony
- Sprawdź logi serwera pod kątem user-agenta Google-Agent – agent mógł już odwiedzić Twoją witrynę.
- Nie traktuj robots.txt jako mechanizmu bezpieczeństwa – to wskazówka dla grzecznych botów, nie zamek.
- Wdróż uwierzytelnianie HTTP lub token-based access dla stref z wrażliwymi danymi.
- Zabezpiecz formularze przed automatycznym wypełnianiem (CAPTCHA, honeypoty).
- Monitoruj anomalie w ruchu: wiele odwiedzin kart produktów bez konwersji to sygnał ostrzegawczy.
- Zaktualizuj politykę prywatności o zapisy dotyczące agentów AI.
- Śledź oficjalną listę Google Web Fetchers na developers.google.com – Google może dodawać nowych agentów bez ogłoszenia.
- Zapoznaj się ze standardem Web Bot Auth i planuj jego wdrożenie.
Czy robots.txt umiera?
To pytanie, które branża SEO i webmasterzy powinni zadać sobie już dziś. Google-Agent to precedens: jeśli agent deklarujący działanie „w imieniu człowieka" nie musi respektować robots.txt, co stoi na przeszkodzie, by każdy bot AI przyjął tę samą logikę? Standard, który przez dwadzieścia lat działał na zasadzie dobrej woli, może szybko okazać się reliktem ery, gdy boty były prostymi crawlerami.
Odpowiedzią może być połączenie technicznych standardów (Web Bot Auth, HTTP 402) z regulacjami prawnymi dotyczącymi dostępu AI do danych w internecie. W Europie, gdzie RODO już wyznacza pewne ramy, ta dyskusja nabierze tempa szybciej niż gdzie indziej.
Jedno jest pewne: strony internetowe i sklepy internetowe, które już dziś myślą o bezpieczeństwie jako wielowarstwowym systemie, a nie o robots.txt jako jedynej barierze, będą w znacznie lepszej pozycji w nadchodzących latach. Jeśli chcesz sprawdzić, jak Twoja witryna radzi sobie z tymi wyzwaniami – napisz do nas. Strony szybkie jak wiatr i bezpieczne jak skała to nasz standard.