AIボットを名乗る偽アクセスが/.envを探している——robots.txtが防御にならない理由と5分の確認

AIのクローラー（自動でサイトを巡回するプログラム）になりすまして、サイトの弱点を探して回るアクセスが広範囲で観測されています。AIエージェントの動きを追跡するKnown Agentsは、調査「The Agentic Web Index」で「AIボットになりすまして、Webサイトの脆弱性を探す広範なキャンペーンを観測している」と報告しています（一次情報）。結論を先に言うと、これは中小企業にとって、名乗りは証拠にならない、そしていま探されているのは、AIで作りはじめた会社が新しく置いたファイルだ、という話です。

何が起きたか

Known Agentsは5,000以上のWebサイトを対象に、アクセスを日次で集計しています。大規模サイトの数字に引っ張られないよう、各サイトを同じ重みで扱う設計です。観測されているのは、AIコーディングツールが使う認証情報や設定ファイルを狙ったアクセスで、実際に探られた例として /.claude/settings.json、/.aws/credentials、/.env.production、/.env.local、/terraform.tfstate、/service-account.json、dockerfile が挙がっています。「なりすまし」は、既知のAIボットの名前を名乗りながら、その名前に対応する認証方式（IP検証やHTTP署名）には通らなかったアクセスとして数えています。総トラフィックに占める割合は、最も多く名乗られたのがGooglebotで0.5%、続いてChatGPT-User・GPTBot・OAI-SearchBot・PerplexityBotが各0.1%、ClaudeBot・Applebot・bingbotは0.0%でした。

なぜ重要か

User-Agent（アクセスしてきた側が自分で名乗る名前。ブラウザやAIボットの自己申告にすぎません）は、誰でも自由に書き換えられます。つまり名乗りそのものは証拠になりません。見出しに引っ張られない読み方が要ります。なりすましで最も多く名乗られていたのはGooglebotの0.5%で、AI系のボットはどれも0.1%以下でした。これは「AIボットが危ない」という話ではなく、「名乗りは全部確かめろ」という話です。

本題は狙われているパスの中身です。/.claude/settings.json や /.env.production は、AIを使ってコードやサイトを作り始めた会社が新しく置くファイルです。つまりAIを使い始めたこと自体が、攻撃の入口を1つ増やしています。問われているのは「使っているAIが安全か」ではなく、「AIに作らせた成果物を、どこにどう置いたか」です。

「うちのような小さい会社は狙われない」は成立しません。攻撃側は人を選ばず、パスを機械的に叩いているだけです。しかもこの指標は各サイトを同じ重みで数えています。大手だけの現象ではないということです。

中小企業は何をすべきか

• 自社が管理しているサイトに対してだけ、URLの末尾に /.env を付けてブラウザで開いてみる。「404 Not Found」以外が返ってきたら、その場で制作会社か担当者に連絡してください。同じ要領で /.env.production や /.git/config も見てください。社長でも5分でできます。
• AIボットを名乗るアクセスは、名前ではなく検証方法で見る。Googleは、アクセス元IPを逆引き（IPアドレスからホスト名を調べること）し、返ってきたホスト名が googlebot.com などであることを確認したうえで、そのホスト名を正引き（ホスト名からIPアドレスを調べること）して元のIPに戻ることまで確かめる、双方向の確認方法を公式案内しています。Anthropicは自社クローラーのIPアドレス一覧を公開しています。CDN（コンテンツ配信ネットワーク。サイトを高速・安全に配信する仲介の仕組み）やレンタルサーバーの管理画面に「ボットの判定」機能があれば有効か確認してください。自社で見られないなら、サイトを作った会社に「AIボットを名乗るアクセスをIPで検証しているか」と1行聞いてください。
• robots.txt（検索エンジンやAIボットに「ここは読んでいい・読んでほしくない」を伝えるファイル）は「お願い」であって防御ではない、を社内の共通認識にする。robots.txtに従うのは行儀のよいボットだけで、なりすましは最初から従いません。「AIに読ませるか読ませないか」の議論と、「偽装アクセスをどう止めるか」は別の話として分けてください。

この分野の導入相談は FDE型AI導入支援（無料相談・無料AI診断）からどうぞ。

その他の注目ニュース（8月13日 朝時点）

• 中小企業省力化投資補助金〈一般型〉第8回、日程が確定 — 事務局サイトのお知らせに、公募申請のスケジュールを更新した旨の記載があります。新しい日程は8月18日（火）公募開始、9月中旬申請受付開始、10月中旬申請締切予定です。第7回は7月31日17時に締切済みでした。補助上限額は従業員数別に5人以下750万円〜101人以上8,000万円（賃上げ特例が適用される場合はさらに上乗せ）、補助率は中小企業1/2（同2/3）、小規模事業者・再生事業者2/3です（一次情報）。中小企業への一言: 申請にはGビズIDプライムアカウントが要り、取得に時間がかかります。秋に出すつもりなら今週動いてください。当ブログの8月4日朝の記事では「8月中旬」までしか出ていませんでしたが、今回で日程が確定しました。
• xAIがGrok 4.6を公開（8月12日） — API価格は100万トークンあたり入力2ドル・出力6ドルから、高速版はその倍です。CursorとGrok Buildで当日から利用可能で、APIおよびOpenRouter・Vercel・Cloudflareなどのパートナー経由でも提供されます。初週はGrok BuildとCursorに含まれる利用枠が2倍になる特典もあります。同社発表のベンチマーク値としてAA Intelligence Index 61などが挙げられています（一次情報）。中小企業への一言: 上位モデルの価格帯を把握する材料の1つです。
• Qwenが超大型のオープンウェイトモデルを公開 — モデル名Qwen3.8-2.4T-A95B。総パラメータ2.4兆、1トークンあたり実際に動くのは950億（95B）です。コンテキスト長（AIが一度に読める文章量の上限）は262,144トークン、拡張で最大1,010,000トークンです。ライセンスは同社独自の qwen3.8-max です（一次情報）。中小企業への一言: オープンウェイト（AIの中身を公開する形式）だからといって、自社サーバーで動かせるとは限りません。この規模は中小企業の手元では動きません。