互联网流量中人类所占比重史上首次降至一半以下。网络安全公司Imperva发布的《2025恶意机器人报告》显示，2024年全年网络流量的51%由自动化机器人产生，其中恶意机器人占37%，良性机器人占14%。人类流量仅占49%。恶意机器人比重连续六年超过总流量的三分之一。
Imperva表示，在2024年一年内，其阻止了跨越数千个域名的13万亿次恶意机器人请求。
AI引领机器人攻击“大众化”…日均200万起
今年报告的核心议题是AI的滥用。Imperva称，2024年平均每天阻止了200万起基于AI的网络攻击。分析指出，随着ChatGPT、谷歌Gemini、Perplexity AI等生成式AI工具降低了机器人开发门槛，技术水平较低的攻击者也能轻松发起大规模机器人攻击。
从各AI工具的攻击比重来看，ByteSpider Bot占据了基于AI攻击总量的54%，高居榜首。分析认为，因其易于伪装成正常网络爬虫的特性，备受网络犯罪分子青睐。其次是苹果机器人占26%，Claude机器人占13%，ChatGPT用户机器人占6%。
机器人攻击日益精密的趋势也很明显。2024年全部机器人攻击中，高级和中级攻击占55%，但简单的海量机器人攻击也占45%，较上年增加了5个百分点。这正是得益于AI自动化工具，使得新手攻击者也能轻易发起大规模攻击的结果。
账户劫持攻击激增40%…金融与通信是主要目标
账户劫持攻击在2024年一年内较上年增长了40%，较2022年更是飙升了54%。特别是在9月、10月、11月，较上年同期每月均暴增79%，呈现爆发式增长态势。
全部登录尝试中有14%是账户劫持尝试，针对API的账户劫持尝试比重也达到19%。按行业划分，金融服务占全部账户劫持攻击的22%，位居首位；通信与ISP占18%，计算与IT占17%，紧随其后。这五大行业吸纳了全部账户劫持攻击的78%。
Imperva警告称，一旦账户劫持成功，根据GDPR规定，可能面临最高2000万欧元（约合300亿韩元）或全球年营业额4%的监管罚款。
API成为新主战场…44%的高级机器人攻击针对API
高级机器人流量的44%以API为目标，而针对网络应用的比重仅为10%。这一数据表明，攻击者正迅速转向攻击集中了敏感数据和业务逻辑的API。
按API攻击类型划分，数据爬取占31%，支付欺诈占26%，账户劫持占12%，抢购占11%。按API端点划分，数据访问端点是主要攻击目标，占37%，其次是支付处理占32%，身份验证占16%。去年全部攻击的31%被归类为OWASP规定的自动化威胁，其中25%是精准打击业务逻辑的精密机器人攻击。
旅游业首次登顶受攻击最多的行业榜首
按行业划分，旅游业占全部恶意机器人攻击的27%，超越零售业，首次成为受攻击最多的目标行业。从2022年1月到2024年12月，针对旅游业的机器人攻击激增了280%。
航空公司正遭受多种自动化攻击的困扰，包括只占座不实际购买的“座位旋转”机器人、未经授权爬取票价数据的爬虫机器人、劫持里程账户的机器人等。Imperva特别指出，由于机器人扭曲了航空公司预订量与查询量的比例，即“查询-预订比”，导致需求预测和动态定价受到严重干扰。
零售业方面，恶意机器人占其全部网络流量的33%，且机器人攻击已从以往集中在大型购物季的模式转变为全年常态化模式。
近半数机器人伪装成Chrome…也利用住宅代理
为逃避检测，机器人的伪装手段也在不断进化。全部恶意机器人中有46%伪装成Chrome浏览器，其次是移动版Safari占17%，移动版Chrome占14%。伪装成Chrome的比重较上年的40%有所上升。
此外，通过ISP发起的机器人攻击中，有21%是通过利用普通家庭IP地址的“住宅代理”进行的。这种手段旨在使攻击看起来像真实用户，从而规避基于IP信誉的检测。
按地区划分，美国承受了全部攻击的53%
按国家划分，美国承受了全部机器人攻击的53%，稳居首位；巴西和英国各占6%，并列第二。在亚太地区，中国香港和印度尼西亚均以24%的比重并列受攻击最多的地区；在欧洲、中东和非洲地区，英国受攻击最多，占31%。俄罗斯和乌克兰也位列EMEA地区前十，表明地缘政治冲突正直接影响网络威胁格局。
Imperva警告称，只要AI技术持续发展，机器人威胁也将随之升级，并强调了多层次防御策略和持续流量监控的必要性。
