Augusztus 4-én Grant de Swardt, független AI tanácsadó East Sussexből, az Egyesült Királyságból, furcsa jelenséget vett észre a Claude Max 20x előfizetésén: azon a napon nem dolgozott, mégis növekedett a tokenfelhasználása. Másnap minden Claude-hoz kapcsolt integrációt lekapcsolt, és továbbra sem dolgozott a szolgáltatással, ennek ellenére a tokenfogyasztás ismét emelkedett. "A legvilágosabb kontrollált időszakban 45%-ról 55%-ra nőtt a használat, miközben nem végeztem munkát, a beütemezett Cowork feladatok szüneteltek vagy befejeződtek, a Dispatch/cloud végrehajtás le volt tiltva, és nem volt aktív helyi Claude Code feladat sem," mondta de Swardt a TechCrunchnak.
Anthropic lépései és a részleges visszatérítés
Miután megkérdezte Anthropicot a felhasználás részleteiről, a cég nem biztosított tételes bontást, de megállapította, hogy valami nincs rendben. Felfüggesztették a fizetős fiókját, érvénytelenítették az összes munkamenetét és a szerveroldali Claude Code tokenjeit, és részleges visszatérítést adott neki: 44,49 fontot a havi 200 dolláros előfizetés fennmaradó időszakára.
A felfüggesztés jelentős problémát okozott vállalkozásának. De Swardt ügyfelei számára ügynököket (agenteket) telepít — például automatikusan betöltő folyamatokat, amelyek a megrendelési adatokat emailekből a könyvelő szoftverbe viszik át —, és egyéni vállalkozóként maga is széles körben támaszkodik az ilyen AI-alapú ügynökökre napi adminisztrációhoz, weboldalkészítéshez és kódoláshoz.
A támadás módja: ellopott munkamenet-adatok és OAuth tokenek
Anthropic szerint a probléma forrása egy kompromittált Claude munkamenetkulcs volt, amelyet felhasználtak jogosulatlan Claude Code OAuth tokenek létrehozására. A cég közlése szerint a fiókot egy, a megszokottnál gyanúsabbnak tűnő harmadik fél szolgálat használhatta más felhasználók tevékenységének kiszolgálására, de nem tudták megállapítani, hogyan szerzett hozzáférést. Anthropic szerint a bizonyítékok összhangban vannak azzal, hogy a hitelesítő adatok vagy munkamenet-információk az érintett személy tudta nélkül kerültek el, vagy a fiók korábban csatlakoztatva volt egy külső szolgáltatáshoz.
Más szóval: feltörők hozzáfértek de Swardt fiókjához, és titokban elszívhatták a tokenjeit. Mivel a fióktámogatás összesített használatot követ nyomon, de nem ad tételes részletezést — még kérésre sem —, az ilyen típusú visszaélés hónapokig észrevétlen maradhatott volna.
Több felhasználó is hasonlóról számolt be
De Swardt tapasztalatát Redditre posztolta, és a kommentek között kiderült, hogy nem egyedül van. Egy hozzászóló azt állította, hogy fiókját engedélye nélkül automatikusan frissítették, a hitelkártyáját megterhelték, és a használat 0%-ról 100%-ra ugrott anélkül, hogy bármit tett volna. Egy másik felhasználó 12 perc alatt látta a használatot 0-ról 49%-ra emelkedni, miközben csak néhány promptot és egy webkeresést futtatott.
Egy Claude-felhasználó arról számolt be, hogy a fiókja három napon át maximális tokenfelhasználást produkált naponta anélkül, hogy használta volna, és GitHub-ügyet nyitott az esettel kapcsolatban. A Reddit- és GitHub-bejegyzésekben többen osztottak meg hasonló tapasztalatokat.
Két felhasználó olyan Anthropictól kapott emailt is bemutatta, amelyben a cég — érdemére váljék — azonosította és figyelmeztette őket arra, hogy tokenjeiket ellopják. Az értesítés szerint egy rosszindulatú szereplő által használt, általánosan elterjedt infostealer típusú kártevő képes ellopni a Claude bejelentkezési munkameneteket a felhasználók számítógépéről, majd azokat felhasználva hozzáférni a fiókokhoz és elfogyasztani a felhasználói keretet.
Anthropic intézkedései és a kártevő eredete
Amikor Anthropic gyanús tevékenységet észlelt, a felhasználókat kicsatolta, érvénytelenítette a meglévő engedélyezéseket, némi visszatérítést adott és figyelmeztette őket, hogy lehetséges, hogy kártevő fertőzte meg az eszközüket. A cég közölte azt is, hogy a kártevő nem a Claude használatából származik: az infostealer kártevők különböző online forrásokból szedhetők össze, például fertőzött szoftver letöltésével vagy fertőzött hirdetésre kattintással.
De Swardt nem kapott ilyen figyelmeztető emailt, és állítása szerint nem talált bizonyítékot arra, hogy a saját számítógépét kompromittálták volna. Jelenleg sem tudja megmondani, hogyan jutottak hozzá a támadók a fiókjához.
Következmények és váltás más szolgáltatóra
De Swardt fiókját nagyjából két hét múlva helyreállították, de az ügy lassú kezelése és a tételes használati adatok hiánya elvette a bizalmát Claude-dal szemben. Lemondta előfizetését, és a Cursor nevű szolgáltatásra vált, amely több modellt és olcsóbb, nyílt forráskódú lehetőségeket is képes használni.
Szerinte ezek az alternatív modellek ugyanolyan jól működnek, mint Claude. "Nem sokkal különböznek vagy jobbak," mondta, hozzátéve, hogy nem lát esélyt a visszatérésre "addig, amíg [Anthropic] valamilyen módon nem oldja meg a problémát." Úgy véli továbbá, hogy Anthropic még mindig nem biztosít olyan eszközöket, amelyek segítségével a felhasználók láthatnák, mi fogyasztja a tokenjeiket. "Nem hiszem, hogy ezek az emberek bármilyen módon meg tudják védeni magukat."
Az Anthropicot megkérdezték arról is, hogyan azonosíthatják a felhasználók a visszaélést, de a cég nem kívánt további információt megosztani.
Miért számít ez
A történet rávilágít arra, hogy a munkamenet-adatok kompromittálása és a tokenalapú számlázás kombinációja jelentős kockázatot jelenthet az AI-alapú szolgáltatásokat használó vállalkozások és egyéni felhasználók számára. A felhasználók számára fontos lehet erősebb eszközök és részletes használati jelentések követelése, továbbá az eszközök rendszeres ellenőrzése kártevők után. Ugyanakkor a szolgáltatók számára is kihívást jelent a gyors ügyféltámogatás és átlátható, tételes számlázás biztosítása annak érdekében, hogy az ilyen visszaélések gyorsan felismerhetők és kezelhetők legyenek.
