誰が払うか
従量課金プラットフォーム（GCP、Vercel、AWS）を使うインディーハッカーや小規模SaaSの創業者。月額29〜99ドル程度で、高額請求を1回防げれば元が取れる計算。
議論での声
創業者は、ソフトウェアを複製したクローナーが原因と思われるClaudeBotのスクレイピングにより、1か月で1万ドル規模のGCP請求を受けた。
コメントを読む ↗知人のVercel請求額は、HNやTwitterで宣伝した直後にボットのスクレイピングで急増した。Cloudflareのボット対策を有効にしていた場合でも発生した。
コメントを読む ↗運営者は執拗な悪質スクレイピングのため、複数のサイトでクラウドプロバイダーのASN全体をブロックせざるを得ず、正当なVPN利用者にも影響が出ている。
コメントを読む ↗
議論の内容を要約したものです。元のコメントはリンクからどうぞ。
なぜ今か
直近12か月でAIクローラーやエージェント型スクレイパー（ClaudeBot、GPTBot、ステルス型エージェント）が急増した。Vercelなどの従量課金やサーバーレスでは、トラフィックがそのまま金銭的損失に直結する。
既存のプロダクト
空白
既存のボット対策ツールはエッジのWAFが中心で、クラウドの支出アラートは通知するだけ。リクエスト単位のボット判定と、レート制限・チャレンジ・ASNブロック・キャッシュといった段階的な緩和を結びつけ、小規模な従量課金環境の支出に上限をかける製品はまだない。
参入障壁
顧客横断で蓄積されるスクレイパーのフィンガープリントやふるまいデータセット。サイトごとに緩和ルールが溜まることで生まれる運用上のロックインも効く。
反対の論拠
失敗するとしたら
Cloudflareが「支出を意識したボット遮断」を無料枠として出せば、中核の価値が一夜でコモディティ化する。
レッドチームの最も強い反論
AIクローラーによる1万ドル規模の請求事故という現実的で足元の痛みがある。従量課金プラットフォームで、エンタープライズ未満の層向けにボット判定と支出上限の自動緩和を結びつける製品は見当たらない。
3ステップで作る
- Vercel、Cloudflare Workers、NGINX向けのエージェントまたはミドルウェアを作り、リクエストのフィンガープリントとルートごとの転送コストを記録する。
- 検知ヒューリスティクスを追加する（CSS・JS・faviconへのリクエストがない、ASNのパターン、既知のAIクローラーのUA）。自動でレート制限やブロックを段階的に強化する。
- クラウドの課金APIと連携し、予測されるスクレイパーの支出が閾値を超えたら、ハードキャップやアラートを発動させる。
元の議論
I posted to HN, and then my website was flooded with AI bot traffic ↗
345 ポイント · コメント 185 件 · コメントから · リンク先の記事
英語からの翻訳です。 原文を読む