攻击者伪装 ChatGPT/Claude 爬虫，轮换 32 个身份扫密钥
TechNadu · x · 2026-11-06
安全公司 Cequence 的 William Glazier 披露一种新兴攻击手法：网络犯罪分子伪装成 ChatGPT、Claude 等合法 AI 爬虫，扫描暴露的 .env 文件、API 密钥和云凭据。
- 一个扫描器轮换使用约 32 个 bot 身份和数百个云 IP 以规避检测
- 传统防护失效的原因：User-Agent 头极易伪造、IP 轮换绕过速率限制、标准 WAF 把 /.env 这类路径当良性请求
- 建议的缓解组合：IP 验证 + 加密签名 + 行为追踪（监测身份切换模式），辅以 web-root 卫生管理、蜜罐令牌（honetytokens）和清理被遗忘的二级域名
所属事件:攻击者伪装 ChatGPT/Claude 爬虫扫描泄露云凭证(2 条相关)→
「安全」频道最新
- 英国政府询问 1.4 万名儿童对 AI 的看法，然后无视了答案 — calliope_kekule · 2026-11-06
- Reddit 网友批 AI 险境辩论：「AI 造不出硬件」没接住论点 — MustBeSomethingThere · 2026-11-06
- OpenAI 在 Linux 内核中发现 948 个本地提权漏洞 — Bender · 2026-11-06
- AI 监管十年内从自愿原则走向有约束力法律，一文梳理全球规则版图 — CurieuxExplorer · 2026-11-06
- Palo Alto 研究发现网页暗藏指令可操纵 AI 智能体,已归纳 22 种手法 — Shufti-Global · 2026-11-06
- 实测搜出 155 个在线 API 密钥,估值 500-900 美元随时可白嫖 — dbasch · 2026-11-06