Une requête arrive sur votre serveur. Elle se présente comme ClaudeBot, le crawler d’Anthropic. Vous la laissez entrer, parce que vous avez choisi d’ouvrir vos pages aux robots des laboratoires d’IA. Reste une question naïve : qu’est-ce qui prouve que cette requête vient bien d’Anthropic ?
Rien. Et c’est dans cet espace que se glissent aujourd’hui des scanners de vulnérabilités, ces programmes qui sondent un site à la recherche de failles exploitables.
Le nom d’un robot n’est qu’une ligne de texte
Quand un programme demande une page, il joint à sa requête un en-tête appelé user-agent. C’est une simple chaîne de caractères, dans laquelle il annonce ce qu’il est : un navigateur Chrome, un robot d’indexation, un assistant conversationnel. Le serveur lit cette ligne et décide quoi faire.
Rien, dans le protocole, n’oblige cette ligne à dire la vérité. Elle fonctionne comme le registre des visiteurs posé à l’accueil d’un immeuble : chacun y inscrit le nom qu’il veut, personne ne demande la carte d’identité, et la porte s’ouvre quand même. Écrire ClaudeBot à la place de son propre nom relève de la manipulation de texte, pas du piratage.
Cette identité déclarée se falsifie donc sans effort. Un scanner qui s’annonce pour ce qu’il est se fait refouler par la plupart des pare-feu applicatifs. Le même scanner présenté comme un « AI Assistant » ou un « AI Coding Agent » traverse les mêmes filtres sans déclencher d’alerte.
Pourquoi cette étiquette précise ouvre des portes
L’usurpation d’user-agent est vieille comme le web. Ce qui a changé, c’est la valeur de l’étiquette usurpée. Depuis deux ans, les éditeurs de sites ont massivement révisé leur robots.txt, le fichier qui indique aux robots ce qu’ils ont le droit de parcourir. Objectif : accueillir les crawlers des laboratoires d’IA, dans l’espoir d’exister dans les réponses des assistants. Beaucoup ont aussi assoupli leurs limitations de débit pour ces agents, jugés utiles à leur visibilité.
Autrement dit, les sites ont créé de leurs propres mains une catégorie de trafic privilégiée, reconnaissable à un mot. Et ce mot, n’importe qui peut l’écrire. Le passe-droit consenti aux robots des labos profite mécaniquement à quiconque sait taper leur nom dans un en-tête.
Côté moteurs de recherche, l’habitude existe pourtant. Personne ne fait aveuglément confiance à un visiteur qui se déclare Googlebot : vérifier l’origine réseau d’une requête y est une pratique établie de longue date. L’accueil réservé aux agents IA, lui, s’est installé bien plus vite que les contrôles qui vont avec.
Sur 5 000 sites, deux courbes qui divergent
Un ordre de grandeur circule, issu de l’index Agentic Web de Known Agents. Cet observatoire suit le trafic machine sur plus de 5 000 sites, avec deux instruments : Agent Analytics, qui inspecte les requêtes automatisées, et AI Chat Referral Tracking, qui suit les visites renvoyées par les assistants conversationnels.
Sur les quatre-vingt-dix derniers jours, les visites de bots rapportées aux visites humaines progressent de 11 %. Dans le même temps, la part de ce trafic automatisé formellement identifiée comme IA recule de 9 %. Plus de machines, donc, mais une proportion moindre d’entre elles porte une étiquette d’agent IA clairement reconnue.
Deux lectures cohabitent. Le trafic non conversationnel (scrapers classiques, sondes de disponibilité, robots d’indexation) peut simplement croître plus vite. Ou bien une partie des requêtes se dilue dans des identités moins lisibles. Les deux hypothèses aboutissent au même inconfort : la frontière entre les catégories devient floue au moment précis où l’on commence à s’en servir pour prendre des décisions.
Le même index range les agents en quinze catégories. Une seule, « Security Scanner », désigne explicitement l’analyse de vulnérabilités : quatorze autres cases restent disponibles pour un programme qui préfère ne pas s’y ranger. L’observatoire publie aussi un score de conformité au robots.txt : 0 % lorsque les requêtes interdites continuent d’affluer comme si le fichier n’existait pas, 100 % lorsqu’aucune ne franchit la ligne. Ce qu’il mesure, c’est l’écart entre les règles affichées dans un fichier et ce qui se passe vraiment sur le serveur.
L’adresse IP, seul élément qu’on ne peut pas déclarer
La parade technique n’a rien d’exotique, elle est juste rarement appliquée aux agents IA. Un en-tête se déclare, une adresse IP s’observe. Les éditeurs sérieux publient les plages réseau depuis lesquelles leurs robots opèrent : le contrôle consiste à confronter l’origine de la requête à cette liste, éventuellement par résolution DNS inverse (remonter de l’adresse IP au nom de domaine qui la détient), plutôt qu’à croire l’étiquette sur parole.
Cette vérification demande un travail d’infrastructure : maintenir les listes à jour, les appliquer au niveau du pare-feu ou du CDN (le réseau de serveurs qui diffuse vos pages au plus près des visiteurs), accepter les faux négatifs quand un éditeur change ses adresses. C’est plus lourd qu’une règle de filtrage sur une chaîne de caractères. C’est aussi le seul moyen de distinguer un agent de son imitation.
Une autre voie avance en parallèle : la signature cryptographique des requêtes, poussée par Cloudflare sous le nom de Web Bot Auth, et déjà appliquée par OpenAI aux requêtes de son agent Operator, dont les clés de vérification sont publiées. Anthropic, de son côté, met à disposition la liste des adresses IP de ses robots, de quoi trancher dès aujourd’hui, au cas par cas.
Vos statistiques d’audience IA reposent sur une déclaration
La conséquence dépasse la sécurité. Tous les tableaux de bord qui prétendent chiffrer la « visibilité IA » d’un site (combien de passages de crawlers, quelle part du trafic vient des assistants, quels contenus sont le plus aspirés) s’appuient en dernier ressort sur ce que les requêtes déclarent d’elles-mêmes. Une métrique bâtie sur un champ falsifiable renseigne sur ce que le trafic revendique, jamais sur l’identité de qui l’envoie.
Concrètement, une hausse spectaculaire du trafic ClaudeBot dans vos logs prouve seulement qu’un volume croissant de requêtes porte ce nom, en aucun cas que votre contenu intéresse les modèles. Avant d’en tirer une conclusion éditoriale, ce sont les adresses d’origine qu’il faut regarder, pas les libellés.
L’accueil ouvert aux robots des labos avait un prix, et il apparaît maintenant sur la facture. Redonner du sens à cette ouverture suppose de la fonder sur autre chose qu’une chaîne de caractères : une signature vérifiable ou un contrôle de l’origine réseau, côté éditeurs de modèles comme côté hébergeurs. Tant que ce socle manque, ouvrir sa porte aux agents revient à l’ouvrir à qui sait écrire leur nom.
