Если браузер настоящий, то детектировать автоматизацию можно только статистически, что сильно привязывает детектор к сайту, по которому шарится бот. Т.е. владелец сервиса должен собирать стилистику использования своего сервиса настоящими пользователями и выявлять различия с ними у ботов.
Еще штатные headless версии браузера имеют отличия
https://stackoverflow.com/questions/44397492/detec...
Плюс headless браузеры автоматически реагируют на действия которые в обычном браузере выдают окна подтверждений, типа запрос добавления уведомлений, получения прав на геолокацию и прочее.