L’agent Muse de Meta a atteint 29 millions de requêtes en 12 jours et le trafic des agents IA a été multiplié par 5 en septembre.
Les agents IA passent de la simple consultation à l’action : 8,9 % des requêtes de Muse concernent déjà des parcours sensibles, comme les formulaires et les paiements, soulevant de nouveaux enjeux de sécurité.
Depuis le début de l’année 2026, DataDome, la multinationale française spécialisée dans la gestion des bots et des agents IA, partage chaque trimestre un rapport analysant l’évolution du trafic IA. Le rapport s’appuie sur les données réseau de DataDome recueillies de juillet à septembre 2026 (DataDome – Rapport T3 2026). Les chiffres relatifs à Meta Muse couvrent la période du 22 septembre au 3 octobre 2026.
Le trafic des agents IA s’est largement accéléré et la population d’agents IA s’élargit clairement au cours de ce trimestre. La tendance constatée est dans la lignée du Global Bot Report 2026 (publié en septembre) : les agents IA s’immiscent de plus en plus profondément dans le parcours client, et Muse en est le premier exemple grand public.
Pour les propriétaires de sites, la question n’est plus de savoir quel est le volume de trafic généré par l’IA, mais à quels agents peuvent-ils faire confiance et quelle est l’intention derrière leur requête ?
Principales conclusions
Le trafic des agents IA n’est plus une tendance émergente ; c’est une nouvelle couche du web qui ne cesse de se développer.
- Au cours du troisième trimestre 2026, le réseau de DataDome a traité près de 25 milliards de requêtes d’agents IA (contre 17,7 milliards au T2), soit une hausse de 41,5 % par rapport au deuxième trimestre.
La nature du trafic évolue rapidement.
- Le trafic des navigateurs « agentiques » a été multiplié par 4,7 en septembre, passant de 12,5 millions à 58,2 millions de requêtes.
- Même sans Muse, le volume a triplé pour atteindre 38,7 millions. Comet, le navigateur de Perplexity, a chuté de 65 % entre juillet et septembre.
La population d’agents et le volume se diversifient : Meta reste en tête en termes de volume, mais d’autres agents ont connu une croissance rapide.
- Meta conserve son avance avec 12,4 milliards de requêtes (49,7 % du trafic, contre 51 ,5 % au deuxième trimestre). Par ailleurs, les agents non-Meta ont connu une croissance plus rapide (+47 % contre +36,5 %).
- Meta-WebIndexer détient la première place en septembre avec 2,63 milliards contre 2,48 milliards pour Meta-ExternalAgent.
- Les robots d’exploration de Claude ont connu une forte hausse : ClaudeBot a progressé de +159 % en glissement trimestriel pour atteindre 2,3 milliards de requêtes, dépassant GPTBot (−12 %) et se classant en 4e position.
Muse se démocratise rapidement et touche aux flux sensibles : 8,9 % de son trafic concerne déjà des formulaires, des connexions, des paiements, de la création de comptes et des paniers.
- Muse de Meta, qui opère depuis le cloud et non depuis les appareils des utilisateurs, a généré 29,1 millions de requêtes au cours de ses 12 premiers jours de disponibilité totale.
- 99,3 % du trafic provenaient d’infrastructures cloud et CDN, ce qui correspond au fonctionnement d’un agent opérant au sein de sa propre machine virtuelle cloud.
Constats et recommandations de DataDome
- Meta génère un trafic massif sur les sites web, sans leur apporter beaucoup de visiteurs en retour : au troisième trimestre 2026, les agents IA de Meta ont effectué 12,4 milliards de requêtes sur les sites analysés par DataDome. Pourtant, Meta AI n’a généré que 51 000 visites vers ces mêmes sites. Autrement dit, les robots de Meta sollicitent fortement les infrastructures des entreprises, sans leur apporter, pour l’instant, un trafic significatif en retour.
- Le paysage des agents se redessine chaque trimestre : ClaudeBot a bondi de 159 %, ChatGPT-User a chuté de 37 % en un seul mois, Comet a reculé de 65 % et Muse est apparu de nulle part. Chaque nouveau nom de bot implique une nouvelle décision d’autorisation ou de blocage.
Pour ce dernier trimestre 2026, les entreprises doivent entamer un travail de fond pour mieux appréhender ce nouvel écosystème, en classant les agents par fonction, et pas seulement par fournisseur. Par exemple, OpenAI, Anthropic et Amazon exploitent désormais des bots distincts pour l’entraînement, l’indexation des recherches et les requêtes déclenchées par les utilisateurs.
Pour encadrer l’activité des agents, il convient de définir des règles claires et une politique sur leurs interfaces d’action. En matière de cybersécurité, il faut appliquer dès maintenant une analyse comportementale aux agents autonomes : les modèles d’interaction avec les formulaires, le déroulement des sessions et l’enchaînement des appels API sont détectables, mais pas avec des approches basées sur des signatures conçues pour les robots d’indexation. Vérifiez l’identité de l’agent au-delà de la chaîne « user-agent » : l’authentification Web Bot et la validation de l’adresse IP par rapport aux plages publiées constituent le minimum requis. Il ne faut pas se fier aux signaux des FAI ou des appareils pour détecter les agents hébergés dans le cloud.
« Meta Muse est le premier exemple grand public de l’évolution du trafic généré par des agents IA. Fonctionnant depuis sa propre machine virtuelle dans le cloud, la quasi-totalité des requêtes ressemble à du trafic provenant d’un centre de données plutôt que de l’appareil d’un utilisateur, avec une part du trafic qui cible les formulaires et le paiement. Désormais, les politiques de sécurité qui font confiance au trafic résidentiel ou issu de fournisseurs d’accès à Internet (FAI) ne permettent plus de détecter ce type d’agents. Les organisations doivent valider l’identité des agents, comprendre leurs intentions et décider rapidement quels agents autoriser et quelles actions leur permettre d’effectuer. »
Jérôme Segura, VP of Threat Research chez DataDome