Crawler IA falsificati

I proprietari dei siti contano «GPTBot», «ClaudeBot» o «ChatGPT-User» nei propri log di accesso come prova che i sistemi di IA li leggono o li citano. Lo User-Agent è testo libero. Abbiamo verificato ogni richiesta che dichiarava di essere uno di 23 crawler di IA o di motori di ricerca su tre piccoli siti web in produzione (16.548 richieste; un log di 68 giorni, due di 7–9 giorni, più una vista di 30 giorni dall'edge di Cloudflare) con il metodo di verifica pubblicato da ciascun operatore: file JSON di intervalli IP e DNS inverso con conferma diretta. Il 39,3% delle identità dichiarate erano falsificate (il 44,3% di quelle che è stato possibile verificare), il 49,5% sono risultate verificate e l'11,2% non verificabili o indeterminate. Gli agenti avviati dall'utente, i nomi più spesso interpretati come segnale di «citazione da parte dell'IA», sono risultati i peggiori: 67,8% di falsificazioni, e per Claude-User, Perplexity-User, MistralAI-User e DuckAssistBot la quota autentica era dello 0–4,2%. Google-Extended, un token che secondo Google non viene mai inviato come User-Agent, è comparso 371 volte. Tutte le falsificazioni provenivano da al massimo 54 indirizzi, l'81% in reti cloud o di hosting (il solo spazio clienti di un fornitore cloud: 66%); il 97% delle richieste falsificate proveniva da fonti che cercavano anche credenziali (.env, config.json, service-account.json) e il 92% da fonti che alternavano le identità di più operatori. Sul sito principale, all'edge della CDN, il volume falsificato era 3,1 volte quello registrato dall'origine; le impostazioni predefinite del piano gratuito ne hanno bloccato lo 0,7%. Rilasciamo ai-bot-verify, un verificatore senza dipendenze per qualsiasi log di accesso, che produce solo aggregati e si rifiuta di scrivere indirizzi IP.