Пост о «взломе» со стороны ИИ-компаний набрал 205 баллов и 164 комментария на Hacker News

Пост Mortoray «Why aren't AI companies being charged for hacking?» набрал на Hacker News 205 баллов и 164 комментария. Вопрос в заголовке простой. Человек, который обходит защиту чужого сервера, рискует уголовным делом. Компании, чьи боты годами забирают контент сайтов вопреки их запретам, спокойно привлекают инвестиции. Оговорка: в нашей ленте есть только заголовок, ссылка и метрики обсуждения, поэтому аргументы автора мы не пересказываем. Ниже правовой и практический контекст самого вопроса.

Почему закон о взломе не срабатывает

Основной американский инструмент здесь, Computer Fraud and Abuse Act 1986 года, давно сужают судебной практикой. В деле Van Buren v. United States (2021) Верховный суд ограничил понятие «превышения авторизованного доступа» и фактически ввёл логику «ворота открыты или закрыты». Если страница доступна любому посетителю без пароля, считать её получение взломом трудно. Ту же линию подтвердил Девятый округ в деле hiQ против LinkedIn: скрейпинг публичных профилей вряд ли нарушает CFAA. Позже hiQ всё равно проиграла, но уже по договорным основаниям, из-за нарушения пользовательского соглашения.

С robots.txt ещё слабее. Протокол исключений стандартизирован как RFC 9309 в 2022 году, но остаётся договорённостью между порядочными участниками. Юридической силы сам файл не имеет. Бот, который его игнорирует, нарушает этикет, а не статью закона.

Где на самом деле идут споры

Показательно, что иски к ИИ-компаниям строятся на других основаниях:

• New York Times против OpenAI и Microsoft (декабрь 2023): авторское право.
• Bartz против Anthropic: урегулирование на 1,5 млрд долларов в 2025 году, претензия касалась пиратских копий книг.
• Reddit против Anthropic (июнь 2025): нарушение условий использования, а не взлом.
• Cloudflare обвинила Perplexity в августе 2025 года в обходе запретов через смену user-agent. Perplexity это отрицала.
• С июля 2025 Cloudflare блокирует ИИ-краулеры по умолчанию для новых доменов и тестирует модель pay-per-crawl.

Выходит, что юристы обходят CFAA стороной. Копирайт и контракты дают более предсказуемый результат, а вопрос «взлом ли это» суды пока решают не в пользу истцов. Это и есть главная претензия сообщества: техническая реальность, когда сайт явно сказал «нет», а бот пришёл снова, не совпадает с юридической.

Что делать владельцам сайтов уже сейчас

Дожидаться изменения законов бессмысленно, защита сегодня техническая и документальная.

1. Ведите логи запросов и отделяйте поведение ботов: частота, диапазоны IP и ASN, несоответствие заявленного user-agent реальному трафику. 2. Включите rate limiting и WAF-правила на уровне CDN. Многие провайдеры дают готовые списки известных ИИ-краулеров. 3. Пропишите запрет автоматического сбора данных в условиях использования. Именно на договорных нарушениях строятся успешные иски, как в истории hiQ. 4. Держите robots.txt актуальным, но не рассчитывайте на него как на защиту. Для контента с ценой используйте авторизацию или платный доступ. 5. Сохраняйте доказательства обхода запретов, в частности смену заголовков и ротацию адресов. Если дело дойдёт до суда, это основа позиции.

Материал не является юридической консультацией, а правовая практика отличается по юрисдикциям. Тем не менее обсуждение на Hacker News показывает, что проблема давно вышла за рамки спора блогеров и обсуждается в индустрии на уровне, где её уже нельзя игнорировать.