Rastrexadores de IA suplantados

Os propietarios de sitios web contan «GPTBot», «ClaudeBot» ou «ChatGPT-User» nos seus rexistros de acceso como proba de que os sistemas de IA os len ou os citan. O User-Agent é texto libre. Contrastamos cada petición que dicía ser un de 23 rastrexadores de IA ou de buscadores en tres sitios web pequenos en produción (16.548 peticións; un rexistro de 68 días, dous de 7–9 días e, ademais, unha vista de 30 días desde o bordo de Cloudflare) co método de verificación que publica cada operador: ficheiros JSON de rangos de IP e DNS inverso con confirmación directa. O 39,3 % das identidades declaradas eran suplantadas (o 44,3 % das que se puideron comprobar), o 49,5 % verificáronse e o 11,2 % eran inverificables ou indeterminadas. Os axentes iniciados polo usuario, os nomes que máis a miúdo se interpretan como sinal de «cita por IA», foron os peores: un 67,8 % de suplantación, e en Claude-User, Perplexity-User, MistralAI-User e DuckAssistBot a proporción auténtica foi do 0–4,2 %. Google-Extended, un token que segundo Google nunca se envía como User-Agent, apareceu 371 veces. Toda a suplantación procedía de 54 enderezos como máximo, o 81 % en redes de nube ou de aloxamento (só o espazo de clientes dun provedor de nube: o 66 %); o 97 % das peticións suplantadas procedía de fontes que tamén buscaban credenciais (.env, config.json, service-account.json) e o 92 %, de fontes que alternaban entre as identidades de varios operadores. No sitio principal, no bordo da CDN, o volume suplantado era 3,1 veces o que rexistrou a orixe; a configuración predeterminada do plan gratuíto bloqueou o 0,7 % dese volume. Publicamos ai-bot-verify, un verificador sen dependencias para calquera rexistro de acceso, que só produce agregados e se nega a escribir enderezos IP.