Il Canarino Che Rivela Il Traffico AI

In uno studio recente, i ricercatori hanno nascosto frasi uniche su siti web e hanno catturato chatbot AI che le ripetevano, esponendo pipeline di scraping nascoste e, apparentemente, pratiche ingannevoli da parte di alcune delle più grandi aziende AI.

Le aziende AI stanno lottando per ottenere un vantaggio in una gara che è prevista essere brutalmente riduttiva; quindi, vogliono realmente, realmente raschiare il tuo sito web per dati di training per alimentare i loro modelli AI. A volte costantemente; spesso in violazione dei tuoi desideri espressi; e frequentemente sotto le sembianze di lettori umani casuali, o come bot “più amichevoli” come GoogleBot, piuttosto che rivelare la loro vera identità come raschiatori di dati AI.

È attualmente stimato che i raschiatori AI automatizzati progettati per aspirare nuovi dati di training e rispondere alle richieste immediate degli utenti via RAG supereranno il numero degli esseri umani entro un anno.

Questo rapido, implacabile e ripetitivo assalto di dati sta avvenendo in parte a causa della necessità di ogni entità AI di avere la propria copia attuale di Internet, piuttosto che repository sempre più obsoleti come Common Crawl; e, forse, perché le aziende temono l’arrivo di restrizioni legali e devono procedere con il lavaggio di IP il prima possibile.

Inoltre, sondando costantemente il maggior numero possibile di siti (potenzialmente fruttuosi), le aziende AI possono sperare di migliorare la loro attuale capacità non eccellente di rispondere in modo informativo e preciso a situazioni emergenti.

In ogni caso, sembra esserci un certo merito alla tesi che queste pratiche siano state fuori controllo e ingovernabili per molto tempo.

Il problema è che non è facile dimostrare fino a che punto le aziende AI stanno andando per saziare la loro sete di dati più recenti.

Segui I Dati

Una proposta, avanzata in un nuovo studio, suggerisce una variante di un metodo vecchio come il mondo per scoprire spie, informatori e altri presunti malversatori: esporli a informazioni personalizzate che nessun altro conosce e vedere se e dove quelle informazioni si presentano. Se nessun altro conosceva quelle informazioni, allora la fonte della fuga è provata:

L’idea centrale dei ricercatori, delineata nel nuovo studio, è quella di dare a ogni bot visitatore una versione leggermente diversa della stessa pagina, quindi chiedere ai chatbot informazioni su quella pagina e vedere quale versione torna, rendendo possibile tracciare quali ricerche web nascoste abbiano fornito la risposta. Fonte

Questo approccio popolare è forse meglio conosciuto attraverso le misure anti-pirateria adottate dal comitato degli Academy Awards nel 2000, in cui i DVD di anteprima dati ai membri votanti iniziarono a essere impressi digitalmente con ID univoci che potevano essere ri-attribuiti al destinatario originale se il film in questione fosse stato mai diffuso su Internet. Nell’ambito dello spionaggio, la tecnica è conosciuta come pasto di bario, dal uso di un isotopo liquido radioattivo per illuminare i vasi sanguigni in una scansione medica e identificare gli ostacoli.

(Ironia della sorte, la metafora del “canarino” non è molto adatta allo scenario che il documento affronta, anche se è più riconoscibile di qualsiasi altra delle suddette figure)

Nel caso del nuovo studio, gli autori hanno creato venti domini web “trappola” e hanno servito token univoci a ogni visitatore univoco, in modo che ognuno ricevesse fatti diversi (vedi seconda colonna da sinistra nell’immagine sopra).

L’obiettivo era quello di rivelare la vera identità e il comportamento dei raschiatori LLM (AI). Su 22 sistemi LLM di produzione, la tecnica è stata in grado di identificare in modo affidabile quali raschiatori stavano alimentando quali LLM, poiché – con un po’ di pazienza dopo aver “piantato” i segnali di dati univoci – chiedere le domande giuste all’AI un mese o due dopo avrebbe prodotto i token univoci.

Giochi Sporchi

Naturalmente, nulla di tutto ciò sarebbe necessario se non fossimo ancora nella fase “wild west” dell’AI V3, e se le aziende obbedissero effettivamente ai piccoli file di testo che i domini possono utilizzare per dire alle aziende AI di non raschiare i loro dati.

Come è emerso nei test dei ricercatori, solo un’azienda AI sembra rispettare il proprio comportamento dichiarato e i propri principi: il DuckDuckbot di DuckDuckGo è stato l’unico agente a rappresentarsi in modo accurato e a smettere di segnalare i “dati segreti” non appena il dominio di destinazione veniva spento (altre aziende AI ricorrevano a versioni in cache e altri trucchi) o il file robots.txt del dominio veniva modificato per rifiutare il raschiamento AI.

Molti dei principali attori hanno invece impersonato ID di browser generici (lo stesso che un sito web vedrebbe se tu o io lo visitassimo), e – in conformità con la pratica del 2025 di Perplexity – hanno impersonato GoogleBot, che ha a lungo goduto di un “pass d’oro” per i dati del sito web perché restituiva (nota il tempo passato, perché ciò sta cambiando) traffico in cambio di dati.

Il peggiore trasgressore, secondo il documento, è stato il raschiatore che alimentava l’ecosistema Kimi AI:

‘Kimi sembra essere il caso più estremo di questo comportamento: molti agenti utente sembrano essere correlati con i dati di output di Kimi. Inferiamo che Kimi ruoti attraverso una lunga lista di stringhe di agente utente mentre raschia, forse per evitare la rilevazione dei bot.’

Ciò che rende questo problema una grande sfida è che quando ChatGPT o strumenti simili “cercano qualcosa”, quel processo è in gran parte invisibile, con le aziende che offrono solo resoconti parziali o auto-segnalati di come i loro sistemi raccolgono informazioni live. Ciò lascia i proprietari del sito senza un modo chiaro per capire quali bot stanno effettivamente visitando le loro pagine, se quelle visite sono dirette o instradate attraverso i motori di ricerca, o come quei dati finiscano in una risposta finale.

I risultati dello studio indicano che gli LLM possono utilizzare le proprie voci in cache da un dominio, le proprie liste SEO-stile interne e che spesso utilizzano informazioni dai risultati dei motori di ricerca di aziende con cui, in molti casi, non hanno alcuna associazione pubblica e nessun accordo di utilizzo apparente.

Gli autori ritengono che questo smascheramento sia la prima volta che un lavoro ha affrontato l’intrusione indesiderata da parte di sistemi RAG (chiamate live al momento dell’inferenza da parte degli LLM che possono o non possono avere un utente umano che li gestisce), piuttosto che bot di raschiamento di dati alla ricerca di materiale fresco per set di dati di training.

Il nuovo studio è intitolato Identificazione dei Raschiatori Web AI Utilizzando Token di Canarino e proviene da sei ricercatori dell’Università di Duke, dell’Università di Pittsburgh e di Carnegie Mellon.

Metodo

I ricercatori hanno allestito venti domini.com con siti web ampiamente simili sotto template comuni, come un portfolio artistico o un sito web aziendale. Ogni template conteneva 10 segnaposto che sarebbero stati popolati con token univoci per il profilo percepito di ogni visitatore (in base a fattori come l’indirizzo IP, la fingerprinting del canvas e vari altri “metodi di sniffing”):

Un esempio del template e dei segnaposto variabili utilizzati nell’esperimento. Ogni visitatore univoco percepito avrebbe ricevuto variabili personalizzate.

Ogni visitatore univoco percepito avrebbe ricevuto variabili personalizzate. Nel caso in cui il sistema rilevava il ritorno di un visitatore precedente, le stesse variabili del prima sarebbero state ripresentate. Le variabili sono state generate utilizzando la libreria Python Faker, nonché (non specificati) generatori di numeri casuali.

I domini “trappola” sono stati quindi inviati a vari indici come Google e Bing e sono stati collegati anche a partire da altri domini preesistenti che gli autori controllavano.

Sono stati consentiti due mesi per passare, come intervallo richiesto per consentire la frequenza di scansione da parte di una vasta gamma di bot di ricerca e simili, nonché (possibilmente) visite organiche. A questo punto, i ricercatori erano ora in grado di interrogare i chatbot AI di destinazione (elencati di seguito):

Script sono stati creati per interrogare ogni sistema, tramite API, dove possibile. Quando ciò non era possibile e dove soluzioni automatizzate come Selenium erano bloccate dalle routine di rilevamento del portale AI, sono state eseguite interazioni manuali tramite le interfacce utente ufficiali degli LLM.

Dopo lo scambio iniziale con template (vedi immagine sopra), gli autori hanno seguito con un prompt secondario progettato per estrarre il nome di un’azienda o di una persona in un token associato.

Gli esperimenti sono stati condotti in una delle tre condizioni: un sito web completamente accessibile; il sito web offline; e il sito web con una restrizione robots.txt che respingeva il raschiamento. Questi esperimenti sono stati condotti in quella sequenza esatta, uno dopo l’altro, poiché le fasi successive dipendevano dalle precedenti.

Infine, con tutti i siti tornati online, l’ultima fase avrebbe riesaminato l’output LLM ad intervalli di una settimana.

Risultati

Quattro degli LLM di destinazione si sono rivelati completamente resistenti ai metodi dei ricercatori e non sono stati ottenuti risultati per DeepSeek, Hunyuan, GLM e Liquid.

Per quanto riguarda la tendenza di molti bot AI a impersonare il traffico non AI, gli autori affermano:

‘In aggiunta agli agenti dichiarati di prima parte, diversi sistemi AI hanno restituito contenuti associati a stringhe di agente utente generiche. Abbiamo osservato questo comportamento per sei dei 18 sistemi AI per i quali abbiamo ottenuto informazioni sull’agente utente.

‘Questo risultato suggerisce che alcuni sistemi AI possano ottenere contenuti del sito web attraverso richieste che appaiono simili al traffico del browser, il che rende difficile il blocco basato sull’agente utente.’

ERNIE ha restituito sia Baiduspider che un’identità Chrome; Grok ha combinato Googlebot con due agenti del browser; Solar ha utilizzato solo identità del browser; Qwen ha mescolato Googlebot con Chrome; e Kimi è stato collegato a più agenti del browser.

Molti sistemi sembrano affidarsi a raschiatori di ricerca di terze parti, in relazioni non sempre dichiarate. Contenuti collegati a Googlebot, Bingbot e Bravebot sono stati restituiti da dieci dei 18 sistemi analizzati, spesso in casi in cui non esiste un’associazione pubblica tra il fornitore AI e il motore di ricerca – anche se alcuni collegamenti, come l’uso di Brave da parte di Claude, sono documentati.

Gli autori sostengono che ciò riflette l’ingestione dei risultati della ricerca piuttosto che il raschiamento diretto, poiché controlli ASN hanno indicato che il traffico proveniva dalle reti del motore di ricerca previsto, piuttosto che da identità contraffatte.

Ciò suggerisce, afferma il documento, un ulteriore livello di opacità nella pipeline web-to-AI, dove il blocco dei raschiatori AI noti potrebbe non impedire l’utilizzo dei dati e l’evitare l’inclusione potrebbe richiedere l’esclusione completa dall’indicizzazione della ricerca – una scelta indesiderabile mentre la tensione tra SEO tradizionale e ricerca basata su LLM è ancora lontana dall’essere risolta.

Solo Cache

Gli autori hanno quindi testato se la rimozione di una fonte avrebbe influenzato l’output dei chatbot, spegnendo i siti di test e interrogando nuovamente i sistemi dopo un intervallo di una settimana. Secondo il documento, molti chatbot hanno continuato a riprodurre il “contenuto piantato” anche dopo una settimana di downtime, indicando che le risposte venivano tratte da dati in cache, piuttosto che da recupero live.

Questa persistenza è stata più evidente nei sistemi legati ai raschiatori di ricerca, dove il contenuto precedentemente indicizzato è rimasto disponibile, nonostante le pagine di origine non fossero più accessibili – anche se un comportamento simile è stato osservato anche in sistemi associati ad agenti del browser, indicando che la memorizzazione nella cache potrebbe estendersi oltre le pipeline supportate dalla ricerca.

Il documento suggerisce che una volta che il contenuto entra in una cache, sia essa mantenuta dal chatbot o accessibile tramite indici di ricerca, la rimozione della pagina originale non rimuove necessariamente quel contenuto dagli output successivi.

Conclusione

Gli autori ammettono che alcune “perdite” si verificheranno da questo approccio classico “a silos”, poiché i token univoci destinati a un LLM possono talvolta finire nei risultati di ricerca (generati dai token “veri” del proprietario), che vengono quindi ingeriti da un secondo LLM. Tuttavia, in tali schemi, la diffusione di questo tipo è inevitabile e la vigilanza per la prima occorrenza è il momento critico e rivelatore.

Ciò che rimane da vedere è la misura in cui un tale schema potrebbe essere implementato su larga scala, in particolare poiché, come osservano gli autori, si esaurirebbero rapidamente i token correttamente contestualizzati.

Tuttavia, ciò manca il punto, poiché potrebbe esserci un limite anche alla sfrontatezza delle aziende AI nel loro ability a ignorare chiaramente le prove delle loro stesse bugie sulle loro politiche di raschiamento. Inoltre, a meno che tali aziende non si impegnino nel percorso potenzialmente costoso di rotazione degli indirizzi IP domestici per mascherare la loro identità, sarà sufficiente che un’organizzazione identifichi e pubblichi una blacklist di IP o ASN di bot AI mendaci nello stile di SpamHaus; il processo non deve essere industrializzato per essere efficace.

Pubblicato per la prima volta giovedì, 14 maggio 2026