Как боты находят формы?

Например, они могут ходит по выдаче поисковиков. Поиск по фразе «Оставить комментарий» должен дать хороший набор страниц. Другой вариант поиска -- по наличию определенных слов в адресе страницы. Что-нибудь вроде «forum» или «phpbb».

Как же нужно защищаться?

Нужно сделать так, чтобы роботы не нашли ваш сайт. Жидкой защитой будет использование нестандартных названий для типичных элементов. Фразу «добавить комментарий» можно написать на картинке. Можно вынести все формы на отдельные страницы и запретить их индексацию поисковиками через robots.txt или meta-тег noindex.

Правда в том, что боты пользуются не только поисковиками при составлении списка страниц, принимающих текст без проверок. Они могут ходить по каталогам блогов, по всем ссылкам в комментариях блогов. Список для обхода может составляться даже вручную.