THE TRAIL足跡の道筋

URLをAIに相談した時点で相手に足跡が残る

  1. 不審URLを受け取る

    脅迫・詐欺とみられるリンクが届く

  2. AIに貼って相談

    『これは本物か』とChatGPT・Claudeへ

  3. AIがURLを取得

    ChatGPT-User / Claude-User がサイトを開く

  4. 相手のログに記録

    UA・IP・時刻・Referer が残る

  5. 回答リンクをクリック

    今度は本人のアクセスも残る

出典: OpenAI『Overview of OpenAI Crawlers』、Anthropic サポート『Does Anthropic crawl the web?』（2026-10時点）

30秒でわかる

・脅迫や詐欺とみられる不審なURLを「これは本物か」とChatGPT・Claudeに貼って相談すると、AIが回答のためにそのURLを取得することがある
・そのときAIはChatGPT-User（OpenAI）・Claude-User（Anthropic）という利用者起点のフェッチャでサイトにアクセスするため、相手のサーバのアクセスログにUser-Agent・IPアドレス・時刻が残る
・つまり不審URLをAIに相談する行為そのものが、相手に「あなたがそのURLに関心を持った」という記録を残す。これはAI時代の自己ドキシング（身元の自己暴露）につながる
・防御は、自分のブラウザで直接開かない・AIに生URLを貼らない・運営側はログを公開しない、の3点に集約される

社内外のシステムに置いた情報が入口になる攻撃の全体像はサプライチェーン攻撃とは｜手口・防御ツール比較・npm 12の新機構まで実践解説にまとめています。本記事はそこから枝分かれして、「不審なURLをAIに相談する」という日常の行為が、相手にどんな足跡を残すのかを、一次ソースで確かめられる範囲に絞って整理します。検証できない個別の解析や帰属は「未確認」と明記し、推測で埋めません。

きっかけ：犯行声明サイトの公開ログにAIの足跡が残っていた

発端は当サイトでも既報のお名前.com デスクトップクラウドへの不正アクセス（GMOインターネットグループ、影響の可能性があるサーバーは最大26,739件、攻撃者の「顧客データ公開」等の主張は未確認）です。この事案で、攻撃者が公開したとされる犯行声明サイトに置かれていたアクセス解析のトラッカーのaccess_logが、誰でもURLから閲覧できる状態になっていた、という解析がX上で流れました。

この解析スレッドには攻撃者の初回アクセス元の推定、監視と思われるIPの特定、拡散ルートの帰属など、踏み込んだ内容が含まれていました。ただし、それらの大半は1人の解析者による観察と推測であり、公式に確認されたものではありません。本記事はそれらを事実として扱わず、言及する場合も「X上の第三者によるログ解析（未確認）」と出所を添えます。攻撃の手口そのものも再現しません。

本記事が主張として立てるのは、誰でも仕組みから検証できる1点だけです。公開状態だったログに、ChatGPT-User・Claude-User という「AIの利用者起点フェッチ」の足跡が残っていたという観察です。これは、被害に遭った人が「この脅迫は本物か」とChatGPT・ClaudeにそのURLを貼って相談し、AIがそのURLを取得した痕跡として自然に説明できます。つまり、相談した本人の関心がそのまま相手のサーバに記録されていた、ということです。

なぜURLをAIに貼ると足跡が残るのか：ChatGPT-User と Claude-User の正体

ChatGPTやClaudeに「このページを見て」とURLを渡すと、AIは回答のためにそのページを取りに行くことがあります。このとき使われるのが、学習用のクローラとは別の利用者起点のフェッチャです。OpenAIとAnthropicは、自社のボット／フェッチャの名前と役割を公式に公開しています。

名前 提供元 役割 robots.txt
ChatGPT-User OpenAI ChatGPT・Custom GPTsで利用者の個別リクエストで発生するフェッチ 利用者起点のため効かない場合があると明記
GPTBot OpenAI 学習用のクロール 尊重する
OAI-SearchBot OpenAI 検索表示用 尊重する
Claude-User Anthropic 利用者がClaudeに質問し、Webアクセスが要るときの利用者起点フェッチ ―
ClaudeBot Anthropic 学習用のクロール 尊重する
Claude-SearchBot Anthropic 検索品質向上用 尊重する

ChatGPT-User と Claude-User が自動クロールではないことが大事です。これらは「誰かがチャットでそのURLを渡したから、今まさに取りに行っている」フェッチです。だからこそ、アクセスを受けた側から見れば、User-AgentにChatGPT-User/1.0やClaude-User/1.0（末尾の版はログで観測された表記）が並んだ時刻が、そのまま「このURLが誰かからAIに渡された時刻」になります。しかも利用者起点のフェッチは、学習用クローラと違ってrobots.txtで止められない場合があるとOpenAIが明記しているため、サイト側が拒否していても取得が届くことがあります。

ログに残るのはAIの足跡だけではない

・AIがアクセスすれば、相手のサーバにはAIのUser-Agent・AI事業者側のIP・取得時刻が残る
・アクセスログは通常、Referer（どこから来たか） も記録する。設定によっては相談元の文脈が漏れることもある
・AIのIPはあなた自身のIPではない。しかし「このURLが調べられた」という事実と時刻は、相手のログにそのまま届く

2種類の足跡：AIの取得と、人のクリック（utm_source=chatgpt.com）

相手のログに残る足跡は大きく2種類に分かれます。1つはいま見たAIのフェッチ、もう1つはAIの回答に出たリンクをあなた自身がクリックしたときのアクセスです。後者は紛れもなくあなたのIPとブラウザの情報を相手に渡します。

TWO FOOTPRINTS2つの足跡

足跡は2種類──AIの取得と、人のクリック

AIのフェッチ

ChatGPT-User / Claude-User

  • 利用者の相談で発生（自動クロールではない）
  • robots.txtが効かない場合がある
  • User-AgentでAI経由と分かる

人のクリック

回答のリンクを踏む

  • かつては utm_source=chatgpt.com 付き
  • 2026-10頃に付与・リファラ送出が縮小か
  • 踏めば自分のIP・UAが残る
出典: OpenAI/Anthropic 公式。utm縮小は Search Engine Roundtable（2026-10・OpenAI未確認）

人のクリックについては、ChatGPTにもう一つの手がかりがありました。ChatGPTは回答で引用した外部リンクに、かつてutm_source=chatgpt.comというパラメータを付けており、これを見ればサイト運営者は「この訪問はChatGPT経由だ」とアクセス解析で判別できました。ただし重要な注記があります。2026年10月14日ごろから、この付与とリファラの送出を止めた模様だと報じられています（Search Engine Roundtable。GPT-6が外部リンクをnoopener,noreferrerで開くためとされますが、OpenAIの公式確認はありません）。したがって、かつては明確な参照シグナルでしたが、執筆時点（2026年10月）では縮小しており、今後どうなるかは未確認です。

足跡の読み取りやすさには差があります。AIのフェッチはUser-Agentで分かりやすく、あなたのIPは直接は乗りません。人のクリックはあなたのIPが乗る一方、どこから来たか（AI経由かどうか）を示すシグナルは縮小しつつあります。どちらにせよ、「このURLに関心を持った人がいる」という事実は相手に届きます。

公開されたアクセスログが漏らすもの：設定不備という本質

今回、足跡が第三者に見えてしまったのは、攻撃者側のトラッカーのaccess_logがURLを直接叩けば誰でも閲覧できる状態で置かれていたからです。これはAIに固有の問題ではなく、Webの設定不備の典型です。世界に公開されたアクセスログやアクセス解析の生ログは、そこを通った訪問者全員のIPアドレス・User-Agent・時刻・Refererを、本人の意図と無関係に第三者へ漏らします。

同じ構図は当サイトでも既報のSnapmart 本人確認書類の画像が認証なしで閲覧可能だった件と同系統です。あちらは本人確認書類の画像がURL直指定で閲覧できる設定不備でした。今回はログという別の種類のデータですが、「URLを知っていれば（あるいは推測できれば）認証なしで中身に届いてしまう」という設定の緩さが共通しています。攻撃者が自分の足跡を晒したのは皮肉ですが、同じことは正規のサイトでも、アクセス解析ツールの出力やデバッグ用のログを公開ディレクトリに置いた瞬間に起こり得ます。

この節のポイントは確認ではなく原理です。「URLを叩けば中身が見える」ログは、置いた本人以外の全員の情報を漏らす。だから、調べる側は足跡を残さない工夫を、置く側はログを公開しない設計を、それぞれ別の責任として持つ必要があります。

不審URLを身元を晒さずに調べる・運営側がログを晒さない

では、脅迫や詐欺とみられるURLが届いたとき、身元を相手に渡さずに中身を確かめるにはどうすればよいか。そして、サイトを運営する側は何を止めればよいか。調べる側と置く側の両方を分けて示します。

HOW TO STAY SAFE歯止め

身元を晒さず調べる・ログを晒さない

  1. 1.自分では直接開かない

    urlscan.io等の第三者サービスやサンドボックスに調べさせる

  2. 2.AIに生URLを貼らない

    ドメイン名だけ伝える／取得させずに聞く

  3. 3.運営側はログを公開しない

    アクセスログ・トラッカーをURL直アクセスで晒さない

  4. 4.リファラを絞る

    外部リンクに rel=noreferrer、Referrer-Policy を設定

出典: 一般的なオプセクとWeb運用の設定

調べる側がまず避けたいのは、自分のブラウザでそのURLを直接開くことです。踏んだ時点であなたのIPとブラウザの情報が相手のログに残ります。代わりに、urlscan.ioやVirusTotalのような第三者のスキャンサービス、または使い捨ての隔離環境（サンドボックス）に取得させれば、相手に渡るのはそのサービス側の情報であって、あなたの情報ではありません。AIに相談する場合も、生のURLを貼るとAIがそのURLを取得して足跡を残すことがあるため、ドメイン名だけを伝える、一般論として聞く、といった渡し方が安全側です。これで足跡が完全に消えるわけではありませんが、自分のIPを直接相手に渡す事態は避けられます。

運営する側は置いているログを見直します。アクセスログやアクセス解析のトラッカーの出力を、URLを直接叩けば認証なしで閲覧できる場所に置かないこと。これが今回の本質です。あわせて、外部へのリンクにrel="noreferrer"を付ける、サイト全体にReferrer-Policyを設定するなどで、自サイトから外へ渡るリファラの量を絞れます。これはログを漏らさない話とは別の、自分のサイトが他サイトに足跡を渡さないための設定です。

立場 やること 何を防ぐか
調べる人 自分のブラウザで直接開かない。第三者スキャンやサンドボックス経由にする 自分のIP・UAを相手のログに残さない
調べる人 AIには生URLでなくドメインだけ伝える／取得させずに聞く AIのフェッチ経由で関心が記録されるのを減らす
運営する人 アクセスログ・トラッカーをURL直アクセスで公開しない 訪問者全員のIP・UA・時刻・Refererの漏えいを防ぐ
運営する人 外部リンクにrel=”noreferrer”、Referrer-Policyを設定 自サイトから外へ渡るリファラを絞る

最後に、できることの限界も押さえておきます。AIに生URLを貼らないようにしても、AIが過去に取得してキャッシュした内容から答える場合があり、挙動は製品や設定で変わります。第三者スキャンを使っても、スキャン自体が相手に通知される仕組みを相手が仕込んでいる可能性はゼロではありません。ここで言えるのは「自分の生のIPを相手に直接渡す確率を下げられる」という範囲で、完全な匿名を保証するものではありません。

参照ソース