OpenAI、Anthropic、DeepSeek、Google、Perplexity、Amazonといった組織のAIウェブクローラーになりすました脅威アクターが、インターネットに公開されたサーバーをスキャンし、漏えいした機密情報を探していることが、2026年8月28日に公開されたGreyNoiseの調査レポートで明らかになりました。
この攻撃活動では、偽装したクローラーのユーザーエージェント文字列を使用する自動スキャナーが、.env設定ファイル、AWS認証情報ストア、秘密鍵、Git設定ファイルなど機密性の高いファイルを要求しています。今回のキャンペーンは、クローラー名だけを頼りにアクセス制御を行っている組織が、悪意ある偵察活動を意図せず素通りさせてしまう危険性を浮き彫りにしています。
GreyNoiseは、8社にまたがる13種類のAIクローラーの身元を偽装したクラスターを特定しました。特に注目すべきは、Anthropic、OpenAI、Google、Perplexityに関連付けられた6種類の偽装AIクローラー名が、いずれも同程度のトラフィック量を示していた点です。これらは795の異なる/24ネットワークにまたがる824個のIPアドレスから発信され、単一のHTTPクライアントフィンガープリントを共有していました。
偽クローラーキャンペーンの実態
ユーザーエージェント文字列はクライアント側が自己申告する情報にすぎず、リクエストがヘッダーに記載された組織から実際に発信されたことを証明するものではありません。このため攻撃者は、Anthropicの「ClaudeBot」文字列のような正規のクローラー識別子を一文字一句違わず複製できてしまいます。
2026年7月28日から8月23日にかけて、この偽装クローラー群は90日間で1,500種類以上のユーザーエージェント文字列を使い分けながら、同一のHTTPクライアントフィンガープリントを使い続けていました。これらの文字列の大半は一般的なウェブブラウザを名乗るものでしたが、悪意あるインフラはAIクローラーの身元も採用していました。
特に注目すべき例が「Google-Extended」です。これは、パブリッシャーがrobots.txtファイルに追加することでGoogleによるAI学習データの利用を制御できるトークンです。Googleは「Google-Extended」専用の個別なHTTPリクエスト用ユーザーエージェント文字列は存在しないとしており、GreyNoiseはGoogle-Extendedを名乗る263,849件のセッションを観測しました。つまり、これらのリクエストはすべて偽装されたものだったことになります。
ダウンロードリファレンスアプリ
このスキャナークラスターは、Amazonのクローラー名についてはさらに高い頻度で偽装していました。しかしGreyNoiseの調査では、観測されたAmazonのユーザーエージェント文字列は、Amazonが公式に文書化しているものとは一致していませんでした。
正規の検索エンジンやAIクローラーは通常、一般公開されているページコンテンツを取得する際、クロールルールを確認するためrobots.txtファイルをチェックします。しかし、偽装が確認された6種類のAIクローラーの身元では、観測されたトラフィックの中でrobots.txtファイルへのリクエストは一件も見られませんでした。
その代わり、これらのクローラーは高価値の機密情報を含むことが多いファイルを探索していました。この共有フィンガープリントに関連するトラフィック全体で、GreyNoiseは環境変数ファイル、クラウドアクセスキー、秘密鍵、パスワードストアに対する数百万件のリクエストを記録しています。
この挙動は、Anthropicの正規クローラーの動きとは対照的です。同じ観測期間中、GreyNoiseの調査によれば、/robots.txtはClaudeBotが最も多くリクエストしたパスであり、全トラフィックの12%を占めていました。正規のクローラーが認証情報ファイルをリクエストすることはありませんでした。
GreyNoiseはまた、観測されたすべての送信元アドレスを、OpenAI、Anthropic、Google、Perplexity、Amazonの各クローラーが公開しているIPレンジと照合しました。その結果、なりすましクラスターが使用していた824個のIPアドレスのうち、正規クローラーの公開レンジと一致するものは一つもありませんでした。
同社は、テレメトリによって悪意あるリクエストの送信は確認できたものの、対象ファイルへのアクセスが実際に成功したことや、特定の被害組織が侵害されたことを示すものではないと強調しています。
IoC(侵害指標)
| 指標の種類 | 指標 / 値 | セキュリティ上の関連性 |
|---|---|---|
| キャンペーン期間 | 2026年7月28日〜8月23日 | 主な偽装活動は主に8月に発生 |
| 送信元インフラ | 795の/24ネットワークにまたがる824個のIPアドレス |
広範囲に分散したインフラのため、ネットワーク単位のブロックが困難 |
| 偽装クローラーのJA4Hフィンガープリント | ge11nn05enus_f3bb7a... |
調査・相関分析に使用可能。GreyNoiseはこれのみを根拠にブロックしないよう推奨 |
| 正規ClaudeBotのJA4H | ge11nn080000_757a95... |
Anthropicが公開する送信元レンジと組み合わせてのみ使用すること |
| 正規Anthropicレンジの例 | 216.73.216.0/22 |
Anthropicの公開リストと照合し、現在の所有状況を確認すること |
| 機密パス | /.env |
APIトークン、データベースパスワード、クラウドキーが漏えいする可能性 |
| 機密パス | /app/.env |
アプリケーション環境設定を狙った標的 |
| 機密パス | /api/.env |
APIサービスの機密情報を狙った標的 |
| 機密パス | /backend/.env |
バックエンド認証情報の探索対象 |
| 機密パス | /.env.local |
ローカル環境デプロイの機密情報を狙った標的 |
| 機密パス | /.env.production |
本番環境の機密情報を狙った標的 |
| 機密パス | /.env.bak |
バックアップ設定ファイルを狙った標的 |
| 機密パス | /.aws/credentials |
AWSアクセスキー・シークレットキーを狙った標的 |
| 機密パス | /.git/config |
リポジトリのメタデータおよび漏えいの恐れがあるリモートURL |
| 関連する脆弱性 | CVE-2025-30208 | Viteの任意ファイル開示に関する脆弱性のスキャン活動が本キャンペーンに関連付けられている |
注: IPアドレスおよびドメインは、誤った名前解決やハイパーリンク化を防ぐため、意図的にディフェンジング処理(例: [.])を施しています。再度有効な形式に戻す作業は、MISP、VirusTotal、自社のSIEMなど、管理された脅威インテリジェンスプラットフォーム内でのみ行ってください。
セキュリティチームは、明示的に許可されたスキャナーからのものでない限り、/.env、/.aws/credentials、/.git/config、秘密鍵ファイル、パスワードストアへのリクエストはすべて不審なものとして扱うべきです。また、時間の経過とともに期待されるrobots.txtの挙動を示さない、クローラーを名乗るリクエストについても監視する必要があります。
比較セキュリティシステム
ウェブ管理者は、.env、.git、クラウド認証情報ファイルをウェブから閲覧可能なディレクトリから削除すべきです。一般公開されているウェブパスを通じて漏えいした可能性のあるクラウドキーは、直ちにローテーション(再発行)する必要があります。
最後に、アクセス制御ルールでは、接続元のIPアドレスを各ベンダーが公開している特定のクローラーレンジと照合して検証する必要があります。ClaudeBot、GPTBot、PerplexityBotといった自己申告のユーザーエージェントだけでは、信頼できる身元確認の手段にはなりません。これらを根拠にセキュリティ制御を迂回させるようなことは、決してあってはなりません。
調査の遅れによるインシデントを未然に防ぎましょう。1万5千のSOCが活用する脅威インテリジェンスで、貴社のTier 1対応を強化します: TI LookupをSOCに統合する
翻訳元: https://gbhackers.com/fake-openai-anthropic-and-deepseek/
