脅威アクターがOpenAI、Anthropic、DeepSeek、Google、Amazンなど大手ブランドに関連するウェブクローラーになりすまし、露出した認証情報やクラウド鍵、非公開の設定ファイルを求めてウェブサイトを探っていることが分かりました。
GreyNoiseの研究者は、2026年7月下旬から8月下旬にかけてこの自動スキャン活動を観測しました。
このキャンペーンでは偽造したクローラーのユーザーエージェント文字列を使い、ウェブサーバの設定ミスによって露出しがちな機密パスへのリクエストを行っていました。対象には.envファイル、クラウド認証情報ストア、秘密鍵、パスワードデータベースなどが含まれます。
今回の活動は、ウェブサイトが自動化ボットをどのように識別しているかという点における重大な弱点を浮き彫りにしました。あらゆるHTTPクライアントは、Chrome、Googlebot、ClaudeBot、あるいは他の既知のクローラーを名乗るユーザーエージェントヘッダーを送信できてしまいます。
その文字列自体は、リクエストがヘッダーに記載された組織から発信されたものであることの証明にはなりません。AI企業各社はクローラー名を公開しており、多くの場合、正規インフラが使用するIPアドレス範囲も公開しています。
そのため、ユーザーエージェント文字列だけを信頼するウェブサイトは、攻撃者が無関係のIPアドレスから同一のヘッダーを提示した場合に騙されてしまう可能性があります。GreyNoiseは、8社にまたがる13種類のAIクローラーになりすましたクラスターを特定しました。
Anthropic、OpenAI、Google、Perplexityに関連する偽造名6種は、824件のIPアドレス群からほぼ同等のボリュームで出現しました。これらのアドレスは795個の別々の/24ネットワークに分散しており、広範なネットワーク単位でのブロックは現実的ではありませんでした。
顕著な例のひとつがGoogle-Extendedです。これはパブリッシャーがAI学習用のアクセスを制御するために使用できるrobots.txtディレクティブです。
Googleの公式文書によれば、Google-Extendedには独自のHTTPリクエスト用ユーザーエージェント文字列は存在しません。そのため、このユーザーエージェントで記録された263,849件のセッションはすべて偽造されたものでした。観測されたリクエストは、通常のクローラーの挙動とは似ても似つかないものでした。
なりすまされた6種類のAIクローラー名は、監視対象の通信の中で一度も/robots.txtをリクエストしていませんでした。正規のクローラーは通常、アクセスを許可されているサイトパスを把握するため、このファイルを取得しキャッシュします。
同じ期間中、Anthropicの正規クローラーはこれとは正反対の挙動を示しました。最も頻繁にリクエストされたパスは/robots.txtで、観測トラフィックの12%を占め、認証情報関連のファイルへのリクエストは一切ありませんでした。
これに対し偽装した活動は、本来決して公開されるべきではない機密リソースを標的にしていました。対象には/.env、/.aws/credentials、/.git/config、秘密鍵ファイル、パスワードストア、クラウドアクセスキーの保管場所などが含まれます。
この活動に関連するより広範なHTTPクライアントのフィンガープリント全体を見ると、GreyNoiseはこれら潜在的に価値の高いファイルに対する数百万件のリクエストを観測しました。
このフィンガープリントは90日間で1,500種類以上の異なるユーザーエージェント文字列を使用しており、その大半は標準的なウェブブラウザを模倣したものでした。これは、身元を次々と切り替えながら、認証情報を狙うスキャンを一見普通に見えるインターネットトラフィックに紛れ込ませる目的で構築されたインフラであることを示唆しています。
GreyNoiseの調査によれば、スキャンを行った824件のIPアドレスのうち、悪用されたクローラーの身元を持つAI企業各社が公開しているアドレス範囲に一致するものは一件もありませんでした。
これと対照的に、同じ期間中にAnthropicのClaudeBot識別子を使用する正規のセッションは、Anthropicが公開しているインフラから観測されていました。セキュリティチームは、ユーザーエージェントの値を身元確認の手段としてではなく、信頼できないクライアント提供のメタデータとして扱うべきです。
ウェブ・プラットフォーム管理者は、.env、.git、クラウド認証情報、APIトークン、秘密鍵が決してウェブからアクセス可能なディレクトリに置かれないよう徹底する必要があります。
機密ファイルが露出した可能性があると考える組織は、アクセスログ上で悪意あるスキャナーがファイルの取得に成功した証拠がない場合であっても、直ちに該当する認証情報をローテーションすべきです。
不審な活動をより迅速に調査し、ビジネスへの影響が拡大する前に脅威を封じ込めるための可視性とコンテキストを、セキュリティチームに与えましょう。ANY.RUNで調査を強化する
翻訳元: https://cyberpress.org/fake-openai-and-anthropic-crawlers-scan-websites/
