Forfalskede AI-crawlere

Webstedsejere tæller »GPTBot«, »ClaudeBot« eller »ChatGPT-User« i deres adgangslogge som bevis for, at AI-systemer læser eller citerer dem. User-Agent er fri tekst. Vi kontrollerede hver forespørgsel, der udgav sig for at være en af 23 AI- eller søgecrawlere, på tre små produktionswebsteder (16.548 forespørgsler; én log på 68 dage, to på 7–9 dage, plus en 30-dages visning fra Cloudflares edge) mod hver operatørs egen offentliggjorte verifikationsmetode – JSON-filer med IP-intervaller og forward-confirmed reverse DNS. 39,3 % af påstandene var forfalskede (44,3 % af dem, der kunne testes), 49,5 % verificerede, 11,2 % ikke verificerbare eller ubestemte. Brugerinitierede fetchere, de navne, der oftest læses som et signal om »AI-citering«, var de værste: 67,8 % forfalskede, og Claude-User, Perplexity-User, MistralAI-User og DuckAssistBot var 0–4,2 % ægte. Google-Extended, et token, som Google siger aldrig sendes som User-Agent, optrådte 371 gange. Al forfalskning kom fra højst 54 adresser, 81 % i cloud- og hostingnetværk (én cloududbyders kundeadresserum alene: 66 %); 97 % af de forfalskede forespørgsler kom fra kilder, der også ledte efter adgangsoplysninger (.env, config.json, service-account.json), og 92 % fra kilder, der skiftede mellem flere operatørers identiteter. På hovedwebstedet var den forfalskede mængde ved CDN-edgen 3,1 gange det, som origin-serveren loggede; standardindstillingerne i gratisplanen blokerede 0,7 % af den. Vi udgiver ai-bot-verify, en verifikator uden afhængigheder til enhver adgangslog, som kun udskriver aggregater og nægter at skrive IP-adresser.