發布日期：2026年7月1日 ｜ 來源：Kinsta《AI & Bot Traffic: Findings from 10 Billion Requests》、Cloudflare Radar 2025 Year in Review、Akamai Digital Fraud & Abuse Report 2025
Kinsta 最近發表了一份重量級研究報告，分析了超過一百億 HTTP 請求後揭露了一個令網站管理員背脊發涼的事實：真正威脅你伺服器和 CDN 成本的，不是惡意攻擊，而是行為失控的 AI 爬蟲。
這些 bot 不是要黑進你的系統、也不是要發起 DDoS——它們只是「笨」。而因為笨，造成的傷害反而更大。
Kinsta 的基礎設施日誌捕捉到一組令人難以置信的數字：單一 bot（meta-externalagent，即 Meta AI / Facebook AI 爬蟲）在 24 小時內對某個網站的購物車 URL（?add-to-cart=）送出了高達 767 萬次請求。
換算一下：平均每 23 毫秒就有一次請求，一天到晚不停地發。
這些不是靜態頁面的快取命中——每一次都是完整的 PHP 執行緒、資料庫查詢和 Session 處理。你的伺服器在為一個 AI 爬蟲的購物車做「虛擬結帳」。
Kinsta CTO Daniel Pataki 在報告中指出，問題的根源不在「惡意」而在於「行為缺陷」：
現代網站（尤其是電商、WooCommerce、預約系統）會根據篩選條件、排序方式、分頁等產生大量查詢字串變化。對人類來說，這是同一個頁面；但對 AI 爬蟲而言，每一個 URL 變體都是全新的頁面。
人類眼中的同一個商品頁面，在 bot 看來可能是完全不同的六個網址。結果就是：爬蟲發現一個連結 → 跟隨 → 產生了新的 URL 變體 → 再跟隨 → 繼續產生新的——形成一個永遠走不出去的無限迴圈。
"這不像是攻擊，更像是機器人卡在了一個無盡的循環裡。有些迴圈跑了數天才被基礎設施規則攔截下來。" —— Kinsta CTO Daniel Pataki
Kinsta 的研究更揭示了一組令人不安的數據：在 767 萬次購物車請求中，48.9% 來自 Google 系爬蟲（Googlebot + Google-Extended）。換句話說，你絕對不能封鎖的那個爬蟲，同樣造成了大量無效請求。
Cloudflare Radar 2025 年終報告也印證了這個趨勢：
很多站長的第一反應是「加 CDN 就好」。但 Kinsta 的研究清楚指出：靜態頁面的快取對這些請求毫無幫助。
因為 bot 攻擊的不是你的首頁或文章頁面，而是：
?add-to-cart= — 購物車動作端點這些全部都是動態端點，無法被快取。每一次請求都消耗完整的伺服器資源：PHP 執行緒、資料庫查詢、Session 處理。
Cloudflare 前數據洞察主管 David Belson 在報告中給出了最精準的總結："問題不在 bot 的数量，而在它們的行為。"
他指出關鍵解法不是「全部封鎖」也不是「全部放任」，而是——在你的門口放一個『保全』，決定誰可以進、誰不能進、以及什麼样的行為需要被限制。
Kinsta 報告中另一組震撼數據：單一迴圈規則在 30 天內過濾了 5.5 億次請求。這代表只要正確識別 bot 行為模式並設定限制，就可以減少數以億計的無效伺服器負載。
對預算有限的中小企業來說，有兩條路：