por acaso, eu diminuiria a agressividade das regras excluindo algumas da: modsecurity-crs/base_rules ?

Na verdade, a causa é que o browser do usuário não está enviando a tag "Accept Header", isso é normal de ocorrer quando se usa Curl, file_get_contentes ou algo similar, logo o mod_security bloqueia por causa que as tags da header de requisição estão faltando ou são inválidas. Logo, isso caracteriza "acesso anormal" proveniente de bad boots ou scripts.