Ton serveur reçoit des visites de Googlebot, de GPTBot ou de ClaudeBot ? Méfie-toi : ce sont peut-être des pirates qui se font passer pour eux. Depuis une semaine, une campagne massive balaie le web en empruntant l'identité des robots IA, et elle vise précisément les fichiers de configuration de tes outils de codage.
Des robots qui ne sont pas ceux qu'ils prétendent être
Known Agents, qui mesure l'activité des bots sur plus de 5 000 sites, a donné l'alerte le 12 août. Ses relevés montrent une campagne d'ampleur qui se fait passer pour des robots IA afin de scanner les sites web à la recherche de failles. Le signal est net : une poussée inhabituelle, constatée sur des milliers de sites en l'espace d'une semaine.
Comment reconnaître les imposteurs ? Chaque robot légitime dispose d'un moyen de vérification : Google publie les plages d'adresses IP de Googlebot, et les acteurs du secteur commencent à signer leurs requêtes avec le nouveau standard Web Bot Auth. Quand une visite se prétend robot officiel mais échoue à ces contrôles, c'est un usurpateur.
Source : Known Agents, Agentic Web Index — https://knownagents.com/insights
Ce qu'ils cherchent sur ton serveur
Oublie les vieux exploits WordPress. Les chemins qui reviennent dans cette campagne sont ceux des outils IA récents : /.claude.json, /.claude/settings.json, /.config/anthropic/credentials/default.json, /.codex/config.toml, /.hermes/.env ou encore /.openclaw/.env.
Ce sont des fichiers de configuration et d'identifiants. Le but : récupérer tes clés API et tes jetons pour faire tourner des agents IA à tes frais, ou réutiliser tes accès. Un administrateur témoigne sur Hacker News avoir vu passer environ 70 000 requêtes par minute, venues d'adresses Google Cloud, avec une accélération nette depuis le début du mois d'août.
Googlebot n'est pas Googlebot
Le User-Agent n'est pas une identité. N'importe qui peut écrire « Googlebot » dans l'en-tête d'une requête. C'est exactement ce que font ces scanners, et le tableau de bord de Known Agents liste les identités les plus usurpées : Googlebot, ChatGPT-User, OAI-SearchBot, GPTBot et PerplexityBot.
Conséquence pratique : si tu filtres ton trafic sur la seule base du nom du robot, tu laisses passer les imposteurs. Les vrais bots se vérifient par leur adresse IP ou leur signature, pas par leur étiquette.
Source : Known Agents, Agentic Web Index — https://knownagents.com/insights
Comment te protéger (sans devenir parano)
Quelques réflexes simples suffisent. D'abord, regarde tes journaux : des pics de requêtes venues d'adresses de serveurs loués, avec des User-Agents de robots IA qui échouent à la vérification, c'est le signe classique. Un outil comme fail2ban permet de bannir automatiquement les adresses trop insistantes.
Ensuite, range tes identifiants. Un fichier .env, une clé API ou un jeton ne doivent jamais traîner dans un dossier servi par ton serveur web. Les outils IA qui tournent chez toi doivent garder leurs secrets hors de la racine du site, idéalement dans un répertoire inaccessible depuis l'extérieur.
Enfin, ne compte pas sur robots.txt pour arrêter les malveillants : le fichier n'est respecté que par les robots honnêtes. Si tu héberges des services exposés, un reverse proxy avec des règles de filtrage (nginx, Caddy, Cloudflare) reste le meilleur garde-fou.
La leçon tient en une phrase : le nom affiché par un robot ne prouve rien, et un visiteur trop poli peut très bien cacher un pied-de-biche. Vérifie tes journaux, range tes identifiants, et tu dormiras tranquille pendant que les scanners repassent chez le voisin.
Sources
1. Known Agents — The Agentic Web Index : rapport et alerte sur la campagne. https://knownagents.com/insights
2. Hacker News — discussion technique sur la campagne (12 août 2026). https://news.ycombinator.com/item?id=49272569
3. Google — Web Bot Auth : le standard de vérification des robots. https://developers.google.com/crawling/docs/crawlers-fetchers/web-bot-auth
4. Google — Vérifier les requêtes de Googlebot grâce aux plages IP publiées. https://developers.google.com/crawling/docs/crawlers-fetchers/verify-google-requests
5. Cloudflare Radar — trafic applicatif et attaques (données de contexte). https://radar.cloudflare.com/security/application-layer?dateRange=52w
—
Recherche, relecture et illustration assistées par IA. Le contenu reflète le travail éditorial de la rédaction.
No comments yet