GreyNoiseによると、攻撃者はOpenAI、Anthropic、Google、Perplexityなど各社が運用するAIクローラーからのトラフィックを装い、自動スキャンを実行して露出した認証情報や設定ファイルをウェブサイト上で探索しているとのことです。
(出典: GreyNoise)
「ウェブサイトを訪問するすべてのプログラムは、リクエストの1行で自らの正体を名乗ります。Chromeは自分をChromeだと言い、GooglebotはGooglebotだと言います。AnthropicのクローラーはClaudeBotだと名乗ります。しかし、リクエスト自体にはそれが真実であることを証明するものは何もありません」と研究者らは説明しています。
「AI企業がクローラー名を公開しているのは、サイト運営者が自社のクローラーを許可できるようにするためであり、アドレスリストを公開しているのはそれを検証できるようにするためです。ユーザーエージェントはクライアント側が指定するヘッダーであるため、名前だけをチェックしアドレスをチェックしない制御は、それを偽装することで回避できてしまいます」と付け加えています。
2026年7月28日から2026年8月23日の間、4社のAI企業に属する6つのクローラー名が、単一のHTTPクライアントフィンガープリントから送信されていることが確認されました。このフィンガープリントは、過去90日間で1,500種類を超える異なるユーザーエージェント文字列を使用しており、その大半は通常のブラウザを装ったものでした。
この6つの名前は、いずれも同じ824個のIPアドレスから送信されており、それぞれほぼ同量のトラフィックとして到達していました。これらのトラフィックはいずれも、サイトがクローラーに対するルールを示すファイルである/robots.txtをリクエストしていませんでした。
GreyNoiseは同期間中のAnthropicのクローラーについても測定を行い、/robots.txtが最も多くリクエストされたパスであり、トラフィック全体の12パーセントを占めていることを確認しました。認証情報ファイルへのリクエストは見られませんでした。
研究者らはまた、Amazonの2つのクローラー名について偽装されたバージョンも発見しました。これらは前述の一致した6つの名前よりも大きな量で、Amazonが公式に文書化していないユーザーエージェント文字列で送信されていました。
GreyNoiseは824個すべてのアドレスを、Anthropic、OpenAI、Google、Perplexity、Amazonが公開しているIPアドレス範囲と照合しましたが、一致するものはありませんでした。一方、同期間中には、ClaudeBotの名前を名乗る数千件のセッションが、Anthropicの公開アドレス範囲内のアドレスから到達していました。
「ここで確認されたセッションのほぼすべてが、実際のクローラートラフィックが持つのと同じWeb Crawlerラベルを持っています。824個のアドレスは795個もの別々の/24ネットワークにまたがって分散しているため、ネットワークベースでのブロックを行うことも不可能です」と研究者らは指摘しています。
これらのスキャナーは、.envファイル、クラウドアクセスキー、秘密鍵、パスワードストアなどをリクエストしていました。標的とされたパスには、/.env、/.env.production、/.env.bak、/.aws/credentialsなどが含まれます。
GreyNoiseは、いずれかのリクエストによって実際にファイルが取得されたのか、あるいはいずれかの組織が被害を受けたのかについては確認できていないとしており、この活動の背後にいる人物についても特定していません。
GreyNoiseは、824個のアドレスすべてと、スキャナーが標的とした認証情報関連パス、さらに比較に使用したベンダー側のアドレスリストを公開しており、サイト運営者が自身のログに対して同様のチェックを実行できるようにしています。
翻訳元: https://www.helpnetsecurity.com/2026/08/31/ai-crawlers-scan-exposed-credentials/
