Google: AI nasiliło podszywanie się botów pod Googlebota

Gary Illyes z Google, w wywiadzie dla podcastu Odys opublikowanym 30 października 2026 roku, powiedział, że sztuczna inteligencja pogłębiła problem podszywania się botów pod inne crawlery, w tym pod Googlebota. Google nie wydało w tej sprawie oficjalnego komunikatu, a informacje pochodzą z wypowiedzi podczas rozmowy. Tekst jest przeznaczony dla właścicieli stron i zespołów technicznych, które analizują ruch botów w logach serwera.

Najważniejsze

Według Illyesa firmy szukają treści do trenowania własnych modeli AI, co zwiększa skalę podszywania się pod boty.
Nagłówek user-agent Googlebot nie dowodzi, że żądanie pochodzi od Google. Zmiana tego nagłówka zajmuje, według Illyesa, około 30 sekund.
Weryfikacja wymaga sprawdzenia adresu IP i odwrotnego DNS.
Illyes określił robots.txt jako sugestię, a nie mechanizm bezpieczeństwa.

Dlaczego podszywanie się pod boty rośnie

Illyes wskazał AI jako główną przyczynę. Jego zdaniem firmy zbierają treści do trenowania modeli i traktują internet jako źródło, z którego można pobrać potrzebne dane. Zapory sieciowe i CDN-y coraz lepiej wykrywają fałszywe crawlery, ale nie są doskonałe i część niechcianego ruchu przepuszczają.

Powód podszywania się pod Googlebota jest prosty: mniejszy silnik AI lub scraper, który podaje się za Googlebota, ma większą szansę na wpuszczenie na stronę. Illyes dodał, że część szkód może wynikać z błędnej konfiguracji albo niewiedzy, a nie z celowych ataków. Źle skonfigurowany bot może wielokrotnie żądać tych samych adresów URL, zużywać łącze i zasoby serwera oraz utrudniać dostęp prawdziwym użytkownikom.

Jak zweryfikować Googlebota

Illyes zalecał, aby właściciele stron nie ufali samemu nagłówkowi user-agent, tylko sprawdzali adres IP i odwrotny DNS. Opisał, że prowadzi przynęty (honeypoty) przyciągające crawlery i wykrywał żądania podające się za Googlebota, pochodzące z adresów niezwiązanych z Google. Szczegółowe kroki opisuje dokumentacja Google dotycząca weryfikacji żądań Googlebota.

Metoda	Ocena według wypowiedzi Illyesa
Nagłówek user-agent	Łatwy do podrobienia, nie wystarcza do potwierdzenia
Adres IP i odwrotny DNS	Podstawowa weryfikacja, którą Google zaleca w dokumentacji
Zapora WAF lub CDN	Ochrona na poziomie sieci, wykrywa część fałszywych botów, ale nie wszystkie
Podpisane kryptograficznie żądania (Web Bot Auth)	Kierunek omawiany przez Illyesa, bez podanego terminu wdrożenia

robots.txt, Google-Extended i dalsze kierunki

Illyes opisał robots.txt jako sugestię. Uczciwe crawlery zwykle go respektują, ale boty mogą go zignorować, więc do blokowania niechcianego ruchu służą zabezpieczenia sieciowe, na przykład WAF.

Google rozdziela indeksowanie wyszukiwarki od części zastosowań AI. Właściciel strony może zezwolić Googlebotowi na indeksowanie i jednocześnie tokenem Google-Extended ograniczyć wykorzystanie treści do trenowania lub ulepszania niektórych modeli i usług AI Google. Illyes wspomniał, że Apple stosuje podobny token Applebot-Extended, i spodziewa się, że kontrola dostępu dla różnych typów zautomatyzowanych klientów będzie bardziej szczegółowa.

Illyes omówił też dwa kierunki. Web Bot Auth opiera się na podpisanych kryptograficznie żądaniach HTTP, które pozwalają sprawdzić, czy żądanie pochodzi od deklarowanej organizacji. Drugi pomysł, według Illyesa na wczesnym etapie, to system reputacji botów zbierający opinie stron i dostawców zabezpieczeń. Ostrzegł, że system kontrolowany przez jedną firmę może wprowadzać stronniczość. Komunikat nie podaje terminów wdrożenia żadnego z tych rozwiązań.

Co to oznacza w praktyce

Przejrzyj logi serwera i wyszukaj żądania podające się za Googlebota z nieoczekiwanych adresów IP oraz nietypowo częste wizyty.
Weryfikuj Googlebota przez adres IP i odwrotny DNS, a nie wyłącznie przez user-agent.
Jeśli bot obciąża serwer, rozważ CDN z funkcjami zarządzania botami lub WAF. Według Illyesa mniejsze strony nie muszą się tym martwić wcześniej, zanim ruch faktycznie powoduje problem.
Jeśli chcesz oddzielić indeksowanie od zastosowań AI, skonfiguruj robots.txt dla Googlebota i Google-Extended. Pamiętaj, że to nie zablokuje złośliwych botów.
Sprawdź, jakie zabezpieczenia oferuje Twój hosting lub platforma sklepowa. Hostowane platformy, jak Shopify, już zapewniają część ochrony.

Zanim zmienisz robots.txt albo zainwestujesz w ochronę, sprawdź logi. Wpis Googlebota w user-agent bez weryfikacji IP i odwrotnego DNS nie daje gwarancji, że to Google.
Komentarz redakcji Info24

Czytaj także

Najczęstsze pytania

Czy Google potwierdziło, że boty podszywają się pod Googlebota?

Tak, w wywiadzie dla podcastu Odys Gary Illyes z Google powiedział, że podszywanie się pod Googlebota jest łatwe i że AI pogłębiło ten problem. Google nie wydało w tej sprawie oficjalnego komunikatu.

Czy robots.txt chroni stronę przed złośliwymi botami?

Nie, robots.txt jest według Illyesa sugestią, a nie egzekwowalnym ograniczeniem. Uczciwe crawlery zwykle go respektują, ale złośliwe boty mogą go zignorować, dlatego do blokowania służą zapora WAF lub CDN.

Jak sprawdzić, czy odwiedza mnie prawdziwy Googlebot?

Nie wystarczy sprawdzić nagłówek user-agent, bo można go łatwo zmienić. Należy zweryfikować adres IP i odwrotny DNS, a szczegółowe kroki opisuje dokumentacja Google dotycząca weryfikacji Googlebota.

Źródło: Dokumentacja Google Search Central: weryfikacja żądań Googlebota