近日，根据Cyber News引用Thales Imperva Bad Bot发布的最新研究报告，揭示了一个令人警醒的现象：2023年，互联网总流量中的49.6%由机器人贡献，相较于上一年增长了2%，创下了自2013年监测以来的历史新高。这一显著增加的机器人流量正在对企业组织造成严重的经济损失，预计每年累计损失金额可达到数十亿美元级别。
报告特别指出，恶意机器人流量在总体机器人流量中的比重已跃升至32%，在全球范围内形成了一股不容忽视的网络安全隐患。此类恶意机器人被精心设计用于执行非法任务，如协助网络犯罪分子实施账户接管攻击（Account Takeover Attacks, ATO）、网络盗窃及各类欺诈行为。2023年间，ATO攻击增长率达到了惊人的10%，其中近半数的ATO攻击目标直指各类API端口，尤以金融服务、旅游业和商业服务业遭受的冲击最为频繁。
值得关注的是，生成式人工智能和大型语言模型的应用对此类机器人流量的增长起到了催化作用。一方面，2023年用于训练大型模型的数据抓取和自动爬虫机器人的数量从33%攀升至39%；另一方面，更智能化的机器人凭借其日益逼近人类行为的能力，更易躲避检测，这一特点在法律、政府、娱乐和金融服务领域尤为凸显。
在恶意机器人规避技术的演变过程中，报告揭示了新的发展趋势：传统的恶意机器人曾主要依赖于模拟合法用户常用的浏览器用户代理进行伪装，而如今，模仿移动设备用户的行为已成为主流策略，这类伪装成移动用户的机器人占据了所有机器人流量的44%份额。攻击者通过组合使用移动用户代理与真实住宅或移动互联网服务提供商的IP地址，利用住宅代理服务器使机器人看似源自合法的住宅IP，从而提高逃逸检测系统的成功率。
Imperva公司应用安全部总经理南希·辛格（Nanhi Singh）警告，自动化机器人流量即将超越人类互联网流量，这将从根本上改变企业构建、保护网站和应用程序的方法论。她强调：“无论是基础的数据抓取还是复杂的恶意账户接管、垃圾邮件发送、拒绝服务攻击，机器人活动持续损害着在线服务质量，迫使企业不得不在基础设施防护和客户服务等方面投入更多资源，这对企业的日常运营带来了巨大压力。”
面对未来机器人流量将持续对全球企业组织产生的深远影响，特别是攻击者愈发倾向于通过API滥用途径窃取账户信息或泄露敏感数据，企业必须采取更为积极主动的安全策略以应对恶意机器人的威胁。这包括但不限于加强API安全防护、实时监测异常流量、精确识别并阻止恶意机器人行为，以及持续优化整体安全架构，以适应不断变化的网络威胁态势。
