Злонамерени субекти се представят за уеб ботове на OpenAI, Anthropic, DeepSeek и други водещи организации, за да сканират уебсайтове за открити данни за достъп и чувствителни конфигурационни файлове. Те насочват атаките си към неправилно конфигурирани сървъри, които могат да разкрият облачни ключове, API токени, пароли и частни ключове.

Компанията GreyNoise е регистрирала по-широк клъстер, използващ 13 фалшиви идентичности на AI ботове от осем компании. Сканиращите устройства са изисквали достъп до файлове като .env, /.aws/credentials, локации на частни ключове и хранилища за пароли. Файлът .env обикновено съдържа тайни на приложението, включително пароли за бази данни, ключове за достъп до облака и API токени.

Кампанията се основава на проста, но ефективна техника за измама: подправяне на заглавната част HTTP User-Agent. Уеб ботовете се идентифицират чрез тази заглавна част (например Googlebot, ClaudeBot или GPTBot). Въпреки това тя се предоставя от клиента и не доказва, че заявката наистина идва от посочената в нея организация.

Това представлява риск за организации, които предоставят достъп, заобикалят механизми за контрол или подтискат предупрежденията за сигурност единствено въз основа на имената на ботовете. Даден атакуващ може да копира символ по символ официалния низ на даден бот, което прави откриването, базирано само на User-Agent, неефективно.

Хакери се представят за OpenAI, Anthropic и DeepSeek

GreyNoise идентифицира шест подправени имена на AI ботове, свързани с Anthropic, OpenAI, Google и Perplexity. В периода между 28 юли и 23 август 2026 г. тези имена са се появили с един и същ HTTP client fingerprint и са дошли от 824 отделни IP адреса.

Същият отпечатък е използвал над 1500 User-Agent низа през предходните 90 дни, като повечето от тях са твърдели, че са обикновени уеб браузъри. Почти цялата активност, свързана с шестте имена на ботове, е регистрирана през август, като най-високият дневен обем е отчетен на 23 август.

Изследователите са установили също, че активността е била разпределена в 795 отделни /24 мрежови диапазона. Това разпределение прави обикновеното мрежово блокиране непрактично, тъй като защитниците не могат надеждно да спрат кампанията чрез блокиране на един хостинг доставчик или малък набор от IP диапазони.

От GreyNoise съобщават, че нито един от 824-те изходящи адреса не съвпада с публикуваните IP диапазони на легитимните ботове. Компанията е съпоставила адресите с официално публикуваните списъци на Anthropic, OpenAI, Google, Perplexity и Amazon, но не е открила съвпадения.

Ключов индикатор е бил моделът на заявките от скенерите. Легитимните търсачки и AI ботове обикновено проверяват /robots.txt, който указва на автоматизираните клиенти до кое съдържание уебсайтът разрешава достъп.

Шестте фалшиви идентичности на ботове нито веднъж не са поискали /robots.txt по време на наблюдаваната активност. Вместо това те са се опитали да достъпят открити файлове с тайни и облачни данни за достъп. Изискваните пътища включват: /.env, /app/.env, /api/.env, sustained /backend/.env, /.env.production, /.env.bak и /.aws/credentials.

GreyNoise е съпоставила подозрителната активност с легитимния трафик на ClaudeBot на Anthropic за същия период. Истинският бот е изисквал /robots.txt по-често от всеки друг път (съставляващ 12 процента от трафика му) и не е изисквал файлове с идентификационни данни.

Разликата е съществена, тъй като легитимният AI бот е проектиран да извлича публично уеб съдържание с цел индексиране, търсене или цитиране. Той няма причина да изисква конфигурационни файлове на средата, хранилища за облачни данни или частни ключове.

Организациите никога не трябва да използват User-Agent низа като доказателство за самоличността на даден бот. Всеки сервиз, който предоставя достъп или премахва ограничения за ботове, трябва да валидира изходящия IP адрес спрямо официално публикуваните IP диапазони на съответния доставчик.

Екипите по сигурност трябва също така да разследват и да генерират предупреждения при заявки към чувствителни пътища като /.env, /.aws/credentials и /.git/config. Тези файлове никога не трябва да бъдат достъпни през публичен уеб сървър.

Уеб администраторите трябва да се уверят, че директориите .env и .git, файловете с облачни данни за достъп и частните ключове са разположени извън публичната директория на уеб сървъра (web root). Ако даден облачен ключ е бил достъпен през публичен URL адрес, той трябва незабавно да бъде подменен (ротиран), тъй като такова разкриване следва да се третира като вероятен пробив.

Кампанията не доказва, че атакуващите са получили успешно файлове от конкретна жертва. Тя обаче подчертава колко лесно злонамерените субекти могат да злоупотребят с доверието в познати AI марки, за да скрият сканиранията за извличане на данни за достъп в обичайния уеб трафик.