Uno scanner ha imitato circa 32 identità di bot IA per cercare credenziali e file sensibili. Cequence riferisce che quasi tutte le richieste nel traffico da essa protetto sono state bloccate o sono fallite, secondo il rapporto pubblicato il 28 ottobre 2026. La società colloca l’attività almeno tra la fine di settembre e la fine di ottobre 2026.
Come lo scanner imitava i bot IA
Le identità contraffatte erano associate a crawler e assistenti di OpenAI, Anthropic, Meta, Perplexity e altri. La stessa macchina dichiarava identità di fornitori diversi nel giro di pochi secondi; alcune finte identità di Claude riutilizzavano i dati di contatto del crawler di Anthropic.
Un campo User-Agent è una stringa con cui un programma dichiara la propria identità quando invia una richiesta web. Da sola, quella dichiarazione non verifica chi ha effettuato la richiesta. Cequence ha osservato che lo scanner non si identificava né forniva un recapito proprio.
Prima di cercare file sensibili, lo scanner inviava percorsi casuali e senza senso per individuare i siti che rispondevano comunque a ogni richiesta. Poi provava circa 90 percorsi associati a segreti, tra cui file .env, credenziali cloud, chiavi SSH private e dati d’ambiente del server. Ogni indirizzo generava da 50 a 190 richieste in circa otto secondi, prima di passare oltre.
Che cosa è successo alle richieste
Nel traffico protetto da Cequence, quasi tutte le richieste dello scanner sono state bloccate o sono fallite. Il dato riguarda quell’ambiente osservato: il rapporto descrive tentativi di ricerca di credenziali e il loro esito nel traffico protetto da Cequence.
Che cosa misurano le cifre sul traffico
Le metriche citate da Cequence contano popolazioni diverse. In un giorno di ottobre, lo scanner ha raggiunto il 48% delle organizzazioni protette da Cequence che avevano ricevuto traffico da bot IA. In diverse organizzazioni, oltre l’80% delle richieste etichettate come traffico di bot IA proveniva dallo scanner: la cifra riguarda le richieste con quell’etichetta, non agenti verificati.
Nelle organizzazioni di servizi finanziari esaminate da Cequence, gli agenti IA che agivano per conto dei clienti rappresentavano meno di una richiesta su 4.000, anche nell’istituzione più esposta. È una misura relativa a quel campione, distinta dai dati sulle richieste etichettate come traffico di bot.
Come verificare l’identità di un bot
Cequence raccomanda di verificare gli agenti tramite richieste firmate, intervalli di indirizzi pubblicati o integrazioni dirette. È utile anche controllare che il comportamento corrisponda al ruolo dichiarato: una macchina che cambia identità tra fornitori diversi in pochi secondi offre un segnale concreto di incongruenza.
Il solo blocco degli indirizzi IP può avere efficacia limitata: Cequence ha osservato più di 300 indirizzi cloud usati in un giorno e quasi 400 in una settimana. La società raccomanda inoltre di tenere i segreti fuori dai file accessibili via web e di non esporre pubblicamente ambienti di test e siti amministrativi.
