Косплей ИИ-ботов

Всего за один день более шести миллионов запросов маскировались под ИИ-ботов и занимались поиском файлов .env, метаданных Git, учетных данных и других конфиденциальных файлов. Большинство из них исходили от одной кампании у конкретного облачного провайдера, перебирающей примерно дюжину личностей ИИ-ботов по списку из 96 слов. Здесь мы подробно разберем наши выводы и поделимся правилом, которое позволяет вычислять этих самозванцев.

Почти каждый веб-клиент идентифицирует себя с помощью заголовка User-Agent. Именно так браузеры, поисковые роботы и ИИ-боты представляют себя серверу. Чтобы помочь операторам выявлять легитимный ИИ-трафик, ИИ-вендоры публикуют свои официальные строки User-Agent и способы их проверки, обычно это диапазоны IP-адресов. Но User-Agent — это то, что заявляет клиент. Если доверять ему без проверки источника, у вас появится «слепая зона». Злоумышленники эксплуатируют этот пробел в доверии, выдавая себя за известных ИИ-ботов, чтобы обойти базовые средства контроля доступа и выполнять вредоносные действия.

Недавнее исследование от GreyNoise привлекло внимание к злоумышленникам, которые делают именно это: они демонстрируют, что вредоносные боты выдают себя за OpenAI, Anthropic, Google и Perplexity в поиске приватных файлов, таких как закрытые ключи, учетные данные и API-токены. Чтобы выяснить, как такое поведение проявляется в нашей собственной сети, мы проанализировали полный день трафика Fastly Next-Gen WAF для клиентов, использующих функцию управления ботами (Bot Management). Мы хотели ответить на вопрос: сколько поддельного ИИ-трафика ищет конфиденциальные файлы на сайтах наших клиентов за один день?

Большинство ИИ-ботов легитимны. Остерегайтесь самозванцев

Сначала небольшая ремарка в защиту ботов. Большая часть трафика ИИ-ботов в нашей сети — именно то, за что себя выдает. Fastly не верит заголовку User-Agent на слово: мы проверяем, действительно ли подключающийся адрес принадлежит указанному вендору, и в случае успеха добавляем к запросу сигнал VERIFIED-BOT. Настоящие боты проходят эту проверку и продолжают свою работу. Они здесь не главная новость.

Проблема кроется в трафике, который принимает лидентитет проверяемого ИИ-бота, но не проходит ведомственную проверку, что разоблачает в нем самозванца. За 24 часа мы зафиксировали около 6,3 миллиона запросов почти с 10 200 уникальных IP-адресов, которые ложно выдавали себя за ИИ-краулеров и ИИ-загрузчиков, сканируя сеть в поисках конфиденциальной информации.

Под чьими масками они действуют

Запросы распределялись относительно равномерно, без явного предпочтения какого-то конкретного ИИ-бота. Десятка наиболее часто подделываемых личностей привлекла примерно по 500 000 запросов за день, распределившись между ботами OpenAI, Anthropic, Perplexity, DuckDuckGo и Common Crawl.

Большая часть этого трафика пришлась на одну кампанию. Из примерно 10 200 выявленных IP-адресов около 1 600 отвечали за 94% запросов самозванцев за тот день, причем почти весь этот трафик исходил из инфраструктуры, размещенной у одного провайдера публичного облака. Большинство этих адресов поочередно использовали ровно дюжину идентичностей ИИ-ботов, распределяя свои запросы примерно поровну. Они использовали один общий список из 96 имен файлов, а вся группа задействовала около 60 различных строк User-Agent. Вместе они охватили более 100 000 сайтов. Остальные ~8600 адресов представляют собой «длинный хвост», включающий небольшие кампании, но в основном это адреса с одной личностью, отправляющие по нескольку запросов каждый.

Чего добиваются самозванцы

В основном файлы окружения. Список слов кампании был нацелен на 96 имен файлов, на которые приходилась почти вся масса запросов. С учетом «длинного хвоста» общее число запросов за день достигло примерно 3 000 уникальных приватных файлов и более чем 46 000 вариантов путей, если посчитать каждый префикс, локаль и форму обхода каталога для одного и того же имени файла. При группировке по семействам концентрация на .env очевидна:

На уровне отдельных путей картина та же: список слов, каждая перестановка, рассылаемая по сайтам. Самый загруженный одиночный путь, /.env, за день сканировался почти 1 800 уникальными адресами. Обратите внимание на варианты с обходом каталогов и средой разработки (/../../../../.env, /@fs/.env, причем последний нацелен на маршрут файлов сервера разработки Vite):

Как их остановить

Фильтрация по точным строкам User-Agent неэффективна. Тем не менее, поскольку подделка требует заявления конкретной личности краулера (например, GPTBot, ClaudeBot или Perplexity-User), это заявленное утверждение остается неизменным. Когда запрос выдает себя за известного ИИ-бота без верификации и при этом пытается получить доступ к конфиденциальным файлам вроде .env, он не выполняет никаких легитимных функций и может быть заблокирован.

Для сайтов, использующих Fastly Next-Gen WAF с включенной функцией управления ботами (Bot Management), это можно решить с помощью всего одного правила запроса:

Поскольку логика опирается на заявленную личность и результат проверки, это правило остается эффективным, даже если злоумышленник меняет IP-адреса, модифицирует строки User-Agent или изменяет другие атрибуты запроса — до тех пор, пока запрос заявляет имя ИИ-бота.

Доверяйте верификации, а не самозванцам

Выдать себя за ИИ-бота тривиально, а понимание того, чем отличается легитимный трафик, поможет остановить злоумышленников до того, как они достигнут своих целей. Самозванцы ищут незащищенные приватные файлы в надежде, что неправильно настроенный сервер выдаст ключи API, пароли от баз данных или токены доступа. Они заимствуют имена известных ИИ-ботов, потому что некоторые сайты относятся к ним более снисходительно, добавляя их в белый список или применяя более мягкие лимиты запросов, а знакомая строка User-Agent может проскользнуть мимо защиты, которая пометила бы неизвестный сканер. Проверка реального происхождения трафика, а не того, за что он себя выдает, лишает их этого преимущества.

Стоит внимательнее изучить ваши логи, чтобы узнать, что еще ищут эти самозванцы. Если вы используете Fastly Next-Gen WAF с функцией Bot Management, вы можете использовать эти сигналы для получения более глубокого понимания и более жесткого контроля над вашей средой.

Спасибо GreyNoise за то, что привлекли внимание к такому поведению и побудили нас написать о наших наблюдениях в собственной сети.

Показатели основаны на логах запросов Fastly Next-Gen WAF для клиентов, использующих функцию Bot Management, за один день: 23 сентября 2026 года UTC.