Essa situação é bastante lamentável. Embora eu acredite que a busca deve estar disponível a todos, também compreendo o quanto esse bot está causando problemas. Acredito que as sugestões de bloqueio geográfico acima são muito úteis como primeira linha de defesa, caso os usuários sejam conhecidos por estarem em determinados locais.
Inicialmente, considerei usar search_allowed_groups, mas acho que allow_anonymous_search (com padrão true) seria melhor. Implementar uma funcionalidade baseada em grupos tornaria certos recursos internos que dependem de search um pouco complicados demais.
Com o que foi descrito acima, quando allow_anonymous_search está desativado, todos os recursos de busca (API/UI) ficam indisponíveis para usuários anônimos. A descrição da configuração do site indica isso.
Um ponto em que hesitei é o seguinte: embora a motivação deste PR e da configuração do site seja o combate a ações maliciosas (griefing), questiono se, com allow_anonymous_search desativado, a caixa de texto de busca (que não funciona) ainda deveria ser exibida, incentivando o usuário a se cadastrar ou fazer login. No entanto, não acho que isso deva impedir a fusão deste PR.
Também preferiria que não misturássemos outros recursos nesta solicitação específica, que por enquanto está limitada à rota /search.