摘要： 2026 年 10 月初，據報導烏克蘭無人機襲擊了 Yandex 在俄羅斯的三座資料中心，網路上隨即流傳俄羅斯機器人農場已被癱瘓的說法。Cloudflare 用 Radar 與 Bot Management 資料拆解後發現，真正的搜尋爬蟲確實停了，但高流量的惡意自動化只是搬到了其他雲端供應商。對 builder 來說，這是一次很具體的提醒：流量總量不是判斷威脅的好指標，請求行為才是。
兩個 ASN，兩種完全不同的故事
Yandex 有兩個 autonomous system numbers：AS13238 供搜尋引擎使用，AS200350 跑雲端服務。10 月 11 日網路幾近全斷時，Yandex Search 的流量跌到基準線以下 99%，Yandex.Cloud 跌了 90%，到 10 月 13 日仍維持低於基準 86–90%。
但拆開看，內容差很多。Yandex Search 的流量幾乎全是經過驗證的爬蟲——Cloudflare 分類其中 99.5% 為自動化請求，93.6% 屬 Verified，主要行為是索引網頁與圖片。斷網的直接後果是新聞網站的索引量減少，僅此而已。
Yandex.Cloud 就不同了。約 95% 的評分請求被判定為 bot，且沒有任何一個通過驗證。WordPress 外掛探測掉了 90%，掃描器請求掉了 93%——表面上像是打擊成功。
惡意流量沒有消失，只是換了供應商
最有說服力的證據來自賭博產業。Yandex.Cloud 的 bot 請求幾乎全部指向同一個賭博客戶帳號；10 月 8 日服務中斷後，這些請求歸零，但同一時間，完全相同的請求開始從 Radist、Selectel 等其他俄羅斯主機 ASN 出現。它們的 JA4 TLS 指紋、罕見的請求路徑、HTTP headers 和自訂 User-Agent 全部一致。
整體數字也對得上：當週針對賭博帳號的俄羅斯 bot 流量從 1.677 億請求微升至 1.701 億，增加 1.4%。自動化從來沒停，只是營運者把工作負載搬到了別家。
至於社群媒體操縱被癱瘓的說法，Cloudflare 分析俄羅斯來源 IP 與全球的社群流量，以及特定平台貼文、回覆、按讚端點的 bot 流量，都沒有看到異常變化。Cloudflare 也保留了餘地：沒有 Cloudflare 網路之外的資料，無法完全排除關聯。
對 builder 的三個實際提醒
這件事對做產品的人有幾點直接可用的啟示。第一，ASN 或來源國的流量總量是判斷自動化威脅的糟糕代理指標——整體 HTTP 流量下降只能證明網路掛了，不能證明威脅消失了。第二，雲端工作負載是可攜的，資料中心斷電或 IP prefix 被封鎖，營運者幾小時內就能把腳本搬到另一家供應商。實體基礎設施是靜態的，惡意自動化天生設計來移動。
第三，防禦要盯著請求行為本身：比對共用的 JA4 指紋、監控異常請求速率、在敏感端點套 WAF 規則，而不是問「請求從哪個網路來」。這和 Cloudflare 在另一個脈絡下的做法一脈相通——他們的資料管線工程同樣是把觀察做到夠細，才能讓決策建立在真實訊號上，這點我在先前一篇關於 Cloudflare 把硬體成長曲線拉回來的分析裡也提過。
值得記下的底線是：這次事件裡，被抓到的不是機器人，而是我們想用總量圖表代替行為分析的惰性。下次看到流量斷崖式下跌，先問那是哪一類請求消失了，再決定要不要慶祝。