亚太电商狂上AI机器人，结果黑客也盯上了，一年攻击暴涨六成创全球纪录

麻薯滑芝士

哈喽，各位在跨境电商公司每天盯着后台订单转化率和广告投放ROI、恨不得把所有重复劳动都丢给机器人去干的运营总监和增长负责人，各位在网络安全公司做技术分析和应急响应、天天跟各种恶意爬虫和撞库攻击斗智斗勇、看到日志里冒出陌生IP就本能地心头一紧的安全工程师和渗透测试员，各位自己在Shopify、Lazada或者Shopee上开了小店、白天忙着打包发货晚上还得守在电脑前盯着后台防止被人刷接口薅羊毛的个人卖家和小团队创业者，各位经常在海外网站下单海淘、偶尔遇到页面死活打不开或者账号突然提示异地登录的资深剁手党和跨境购物爱好者，各位纯粹出于好奇——好奇AI机器人到底是怎么一边勤勤恳恳帮商家赚钱一边又被坏人利用来搞破坏的——而点进来看看的普通网友——今天这篇东西，讲的是一个正在亚太地区悄然上演、而且速度快到很多人都还没来得及反应过来就已经发生了的巨大变化。

就在昨天，也就是2026年7月23号星期四，全球知名的网络安全和云计算公司Akamai Technologies正式对外发布了一份全新的互联网现状报告。这份报告的标题叫作《代理型商店安全：针对商业的攻击》，光听这个名字就知道不是什么好消息。里头披露了一组相当扎眼、甚至可以说有点吓人的数据，直接把亚太地区电商行业正在面临的一个新麻烦毫不客气地摆到了台面上——AI机器人用得太多太快了，多到连好机器人和坏机器人之间的那条界线都快看不清了，而黑客们正好抓住了这个机会，趁虚而入。

根据Akamai在这份报告里给出的统计数字，去年一整年，也就是2025年，专门针对亚太地区商业公司的机器人攻击活动数量，跟前一年也就是2024年相比，飙升了整整63%。这个增长率放在全球范围内去横向比较，是最高的，没有任何第二个地区能超过它。换句话说，亚太地区的电商平台、零售网站和在线旅游预订系统，正在成为全世界恶意机器人攻击的头号靶子，而且这个趋势还在加速。而之所以会出现这种情况，报告里也给出了非常明确的解释：随着基于人工智能的商业应用越来越普及、覆盖面越来越广，合法的自动化流量和恶意的机器人流量在外观特征和行为模式上变得越来越相似，传统的检测手段越来越难以把它们区分开来，相关的安全威胁自然也就跟着水涨船高了。

报告里还给出了一个更具体、更能说明问题严重性的数据。从去年7月到12月这半年时间里，在整个亚太地区所有行业观察到的AI机器人流量当中，有高达38%是冲着商业领域去的。也就是说，将近四成的AI机器人流量，都集中火力瞄准了电商、零售、旅游预订这些跟买卖直接挂钩的行业。为什么会这样？原因在于，亚太地区的零售商们正在集体转向一种被称为“代理型商务”的全新模式。这个概念听起来有点绕，但说白了其实很好理解——就是大规模地用AI机器人来做高度个性化的购物体验。根据你的浏览历史、以往的购买记录、甚至是你鼠标停留在某个商品图片上的时长，系统会自动给你推荐最可能让你心动的商品，自动弹出一张刚好能打动你的限时优惠券，甚至在你犹豫要不要结账的时候自动帮你填好收货地址和支付信息，目的只有一个——让你更痛快地完成下单，尽量减少购物车被放弃的概率。这个做法本身当然是好事，能提高转化率，能提升用户体验，能给商家带来实实在在的收入增长。但问题也随之而来——当整个行业都在大量使用机器人来处理各种业务流程的时候，合法的自动化流量和恶意的机器人流量在外观上看起来几乎一模一样，这就给那些想要浑水摸鱼的黑客提供了绝佳的掩护和可乘之机。网页抓取、凭证填充、API滥用，这些攻击手段在大量合法机器人的掩护下，变得更加隐蔽，更加难以被发现和拦截。

报告还特别点名了一个行业——旅游和住宿业。Akamai的分析显示，亚太地区的旅游和住宿行业比其他地区面临着更高的安全暴露风险。原因有好几个方面叠加在一起，形成了一个相当棘手的局面。第一，这个行业的平台结构本身就比较分散和碎片化，机票预订、酒店预订、租车服务、旅行保险，各个环节的系统往往来自不同的供应商和技术栈，整合起来就容易留下漏洞和盲区，防守起来特别费劲。第二，移动端的使用率极高，绝大多数旅客都是用手机App来订票订房办值机，而移动端的攻击面本来就比桌面端更大更难防护，一个小小的API接口泄露就可能酿成大祸。第三，大规模的会员忠诚度计划遍地开花，积分、里程、优惠券、升级权益，这些虚拟资产本身就是黑客眼中的肥肉，一旦攻破了会员系统就等于拿到了大量用户的个人信息甚至支付凭证。第四，节假日和旅游旺季期间预订量会突然暴增，系统的承载压力急剧上升，防守团队的精力也被分散，黑客往往会专门挑这种时候发动攻击，因为防守方很难在短时间内应对突如其来的流量冲击和异常请求。

随着商业公司把支付系统和会员积分系统、库存管理系统、物流配送系统、预订平台等等全部整合到一个统一的数字生态里，应用程序编程接口也就是大家常说的API，也成了一个全新的攻击入口，而且这个入口正在变得越来越宽。报告里的数据清清楚楚地显示了这一点：在所有针对商业网站的Web攻击当中，有22%是冲着旅游行业去的，而这22%里头又有25%是直接瞄准了API在进行攻击。这说明黑客已经不满足于攻破网页前端那些相对容易防守的界面了，他们开始直接攻击后端的数据接口，因为这些API往往连接着最核心的业务数据库和最敏感的用户隐私信息，一旦失守，后果不堪设想。

除了API攻击这条新战线，商业公司还面临着来自应用层的分布式拒绝服务攻击的持续威胁，也就是行业内通常所说的第7层DDoS攻击。报告给出的数据显示，去年这类攻击的数量从2600亿次猛增到了3610亿次，增幅达到了39%。这个增长幅度相当惊人，说明黑客正在加大力度用这种手段来瘫痪电商网站和预订平台的正常运营，让商家在关键时刻眼睁睁地看着生意流失却毫无办法。而在针对API的第7层DDoS攻击当中，零售行业占比最高，达到了51%，超过了一半；排在后面的是住宿业，占了28%；然后是旅游业，占了21%。这三个行业加起来，几乎包揽了所有针对API的第7层DDoS攻击，可以说是重灾区中的重灾区。

面对这些越来越复杂、越来越难以分辨的威胁，Akamai也给商业公司提出了一些具体的应对建议。他们说，企业应该持续不断地、系统性地识别出那些用于支付处理、会员积分管理、付款页面展示、库存查询和合作伙伴系统对接的API，并且逐一检查这些API上可能存在敏感数据暴露风险的点位和环节，不能放过任何一个死角。与此同时，企业还应该采用一种基于风险评估的防护思路，能够准确地分辨出哪些是合法的自动化行为、哪些是恶意的机器人活动，而不是简单粗暴地一刀切把所有机器人流量都挡在外面——因为在今天的电商环境里，合法机器人和恶意机器人的比例可能已经接近一半一半，盲目封杀只会误伤正常业务，导致转化率下降、用户体验变差，得不偿失。

Akamai负责亚太及日本地区安全技术与战略的董事Ruben Koh，也对这份报告的发现做了解读，他的话说得相当直白。他说：“亚太地区的商业行业正在快速转向一个更加自动化、以AI为中心的未来。商家们纷纷使用生成式AI聊天机器人和其他基于人工智能的服务，来为顾客打造个性化的消费体验，降低他们的购买门槛，让整个购物流程变得更顺畅、更高效、更贴心。但是，每一次与聊天机器人的互动、每一次预订操作、每一次会员积分系统的对接和集成，都会创造出新的数字化触点。这些触点就像一扇扇新开的窗户，如果不关好，贼就能爬进来。所以它们必须被准确地识别出来、被充分地理解其功能和潜在风险、然后被妥善地保护起来。这在亚太地区的旅游和住宿行业尤其重要，因为这个行业由于平台结构碎片化、会员计划广受欢迎以及季节性流量高峰等原因，面临的威胁暴露面特别大，防守的难度也特别高，容不得半点马虎。”

这条消息的来源是韩国的财经媒体Chousunbiz，在7月23号发布了这篇报道，引述了Akamai在同一天发布的报告内容。整件事从头到尾看下来，其实反映出了一个挺现实的矛盾，甚至可以说是一个悖论——AI技术在商业领域的应用跑得越快、铺得越广，安全防护的压力就越大、挑战就越复杂。商家们在享受AI带来的效率提升和销售额增长的同时，也必须正视随之而来的安全风险，不能只顾着往前冲而忘了看脚下有没有坑。对于那些正在积极拥抱AI的亚太电商企业和旅游平台来说，Akamai这份报告等于敲了一记分量十足、余音绕梁的警钟：机器人这东西好用是好用，但你首先得搞清楚，来到你家门口的，到底是穿着工作服满头大汗来帮你搬货的，还是戴着黑色面罩蹑手蹑脚来偷你保险柜的。这个问题如果答不上来，那后面的事情可就不好办了。