Bot防御大手DataDomeが今週、『2026 Bot & Agent セキュリティレポート』を発表しました。対象は75,000以上の顧客サイト・1兆リクエスト超にわたる12ヶ月分のデータです。結論は冷徹です：2025年7月から2026年6月にかけて、悪意あるBotトラフィックは124%増加したのに対し、正規の人間トラフィックは13.2%の増加にすぎず——悪意あるトラフィックの増加速度は実ユーザーの約9倍。AIエージェントとLLMクローラのトラフィックは同期間に82.3%増で、人間の6倍以上の成長率です。
実務的な意味で言えば：あなたのサイトに届くリクエストのうち「人間ではない」ものの割合が急速に増えている。それらは何も買わず、何も読まず、データをスクレイピングし、窃取した認証情報を試し、インフラに負荷をかけます——そしてその1リクエストごとが、あなたのCDN帯域とバックエンド容量を消費しています。
悪意あるBotトラフィックの中で、Webスクレイピングが圧倒的に多く、全体の70.9%・前年比185%増。経済合理性が明確です：AIモデルの学習やRAGアプリケーションは規模あるデータを必要とし、スクレイピングツールのコストは下がり続ける——あなたのコンテンツを収穫する行為が、低コスト・高リターンなビジネスになったのです。
次に多いのはクレデンシャルスタッフィング（アカウント乗せ合い）。レポートはそれが明確な「波状」パターンを持つと述べています：大量攻撃 → 認証情報リストの更新・インフラ交換のための休止 → 全力での再攻撃。Scalping、スパム、DDoSも同期間に増加。30日間のサンプリングでは、開発コストが低くほとんどのサイトで効く「シンプルBot」が最大シェアでした。示唆は単純です：エッジに何も防御していないサイトは、攻撃者にとって最も狙いやすいターゲットです。
レポートで最も警戒を要する数字：2026年前半、ログインページ向けのAI Botトラフィックが8倍以上に増加。合法な用途（ユーザーに代わって注文確認や購入を代行するAIアシスタント）も存在しますが、攻撃者は窃取した認証情報を使って全く同じ動きを実行できます。DataDomeの脅威研究VPの指摘は核心を突いています：「組織にはより细致的な判断が求められているのに、防御は依然として"許可またはブロック"の二値選択の上に立っている」。さらに厄介なのは偽装です：マルウェアは有名なAIサービスのUser-Agentをそのままコピーして「信頼されるクローラ」に化け、あなたが合法AIトラフィック用に作った許可ルールを攻撃路に転用できます。1リクエストだけでは意図は分かりません——見るべきは行動の順序、速度、量、文脈です。これは人手で書くルールセットが追いつける領域ではありません。
DataDomeは10種類の模擬Bot（単純なスクリプト、AIサービスに偽装したBot、ブラウザ指紋偽造、自動化した実ブラウザ。米国・カナダ・フランスの住宅IPから送信）を21,491の主要サイトのトップページに向けて実行しました：
「大企業＝安全」は幻想です。断片化されたツール、複雑なアーキテクチャ、レガシーシステムが作り出す隙間は、予算の大きさでは埋まりません。
Botは多くの運営者にとって「セキュリティ問題」ですが、まずそれはコスト問題です：成功したBotの1つ1つがあなたのCDNアウトバウンド、帯域、バックエンドCPU、データベースクエリを消費します。124%の成長曲線が請求書に乗るということは、真に有用なトラフィックの割合が希薄化しているのに、あなたは全量に対して払い続けているということです。
答えはより長いブロックリストではありません——攻撃者は1分でUAやIPを交代します。答えは行動ベースの自動検知・自動応答です：行動順序の分析、指紋検証、リスク採点、サブセカンド単位の自動遮断——これが24/7 AI運用の核心です。合法的なAIクローラは通過し、悪意ある自動化はエッジで止まる。午前3時にアラートを見守る必要は、誰も持ちません。
悪意あるトラフィックが実ユーザーの9倍の速度で増えている今、「スクレイピングされる、探られる、圧をかけられる」はインシデントではなく毎日の常態です。Lafa SystemはBot検知・WAF・DDoS洗浄をすべて機械レイヤで24/7自動化して実行——あなたのインフラは真の人間と合法的なAIにのみ応答し、それ以外はエッジで遮断されます。安定性と請求書の両方を守ります。