Хакери крадуть токени Claude у передплатників

4 серпня Грант Де Свардт, незалежний консультант з питань ШІ з Східного Сассексу, Велика Британія, помітив, що з його обліковим записом Claude Max 20x відбувається щось дивне. Того дня він не працював, однак використання токенів зростало.

Наступного дня він вимкнув усе, що під’єднав до Claude, і не працював із ним. Споживання токенів знову зросло. «У найчіткіший контрольований проміжок воно зросло з 45% до 55%, хоча я не виконував жодної роботи, заплановані завдання Cowork були призупинені або завершені, виконання через Dispatch/cloud було вимкнене, а відповідного активного локального завдання Claude Code не було», — розповів Де Свардт TechCrunch.

Що ж використовувало його ліміт токенів? Він не мав жодного уявлення, тож звернувся до Anthropic і попросив надати деталізований список. Anthropic його не надала, але погодилася, що щось не так. Компанія призупинила його платний обліковий запис, анулювала всі його сеанси й серверні токени Claude Code та повернула йому частину коштів — £44.49 за час, що залишався до завершення його підписки вартістю $200 на місяць.

Призупинення завдало значної шкоди його бізнесу, розповів він TechCrunch. Його робота полягає в тому, щоб допомагати малим і середнім підприємствам налаштовувати агентів — своєрідний найманий інженер, який працює безпосередньо на стороні клієнта, — для таких завдань, як автоматичне завантаження даних із замовлень на закупівлю з електронних листів до бухгалтерського програмного забезпечення.

Як одноосібний підприємець, він також покладається на агентів у всьому своєму бізнесі: для щоденних адміністративних завдань, дизайну вебсайтів і програмування. «Здається, цими днями все просто проходить через ШІ», — сказав він.

Після розслідування Anthropic повідомила Де Свардту, що знайшла винуватця: скомпрометований ключ сеансу Claude використовували для створення несанкціонованих токенів Claude Code OAuth. Компанія повідомила йому, що обліковий запис «імовірно використовувався стороннім сервісом із ознаками несанкціонованого доступу для обробки активності інших людей, але вони не змогли визначити, як він отримав доступ», — розповів він TechCrunch. «Вони кажуть, що наявні докази узгоджуються або з викраденням облікових даних/даних сеансу без мого відома, або з підключенням облікового запису до зовнішнього сервісу».

Іншими словами, хакер зміг отримати доступ до облікового запису Де Свардта й непомітно викрадав його токени. Оскільки служба підтримки облікових записів відстежує загальне використання, але не деталізоване використання навіть на запит, така крадіжка могла тривати місяцями, залишаючись непоміченою.

Він опублікував свій досвід на Reddit, і після 80 коментарів виявив, що він не один. Одна людина заявила, що її обліковий запис «автоматично перевели на дорожчий план без моєї згоди, з моєї кредитної картки списали кошти, а використання автоматично зросло з 0% до 100%, хоча я навіть не торкався його». Інша побачила, як використання зросло з 0 до 49% за 12 хвилин, хоча вона використала сервіс лише для кількох запитів і вебпошуку.

Один із користувачів Claude сказав, що його обліковий запис витрачав максимальну кількість токенів щодня протягом трьох днів, хоча він узагалі ним не користувався; після цього користувач створив повідомлення на GitHub. Як і в дописі на Reddit, інші користувачі також поділилися там подібним досвідом.

Двоє з них опублікували електронні листи від Anthropic, у яких компанія — і це варто їй зарахувати — виявила крадіжку їхніх токенів і попередила про неї.

«Нещодавно ми виявили зловмисника, який використовує поширене шкідливе програмне забезпечення для крадіжки сеансів входу до Claude з комп’ютерів людей, а потім використовує ці сеанси для доступу до облікових записів Claude і споживання їхнього ліміту», — йшлося в електронному листі. Інфостілери — це різновид шкідливого програмного забезпечення, яке встановлюється на комп’ютері користувача й викрадає збережені паролі, дані сеансів та облікові дані для входу.

Коли Anthropic виявляла підозрілу активність, вона виходила з облікових записів користувачів, анулювала наявні дозволи, повертала частину коштів і попереджала їх, що на їхніх пристроях може бути шкідливе програмне забезпечення.

Компанія також заявила, що шкідливе програмне забезпечення не було пов’язане з використанням самого Claude. Таке програмне забезпечення можна підхопити з багатьох джерел в інтернеті — від завантаження зараженого програмного забезпечення до натискання на заражену рекламу.

Anthropic не надіслала Де Свардту одного з таких листів. Він наполягає, що не знайшов жодних доказів скомпрометованості свого комп’ютера, і каже, що досі не має можливості визначити, як хакери отримали доступ.

Обліковий запис Де Свардта в Claude відновили приблизно через два тижні. Але складність швидкого отримання допомоги в цій ситуації, а також відсутність деталізованої інформації про використання розчарували його в Claude. Він скасував підписку на користь Cursor та його можливості використовувати кілька моделей, зокрема доступніші моделі з відкритим кодом.

З його досвіду, ці інші моделі працюють не гірше за Claude. «Вони не настільки відрізняються чи кращі», — сказав він, додавши, що не бачить причин повертатися «без того, щоб [Anthropic] фактично якось вирішила цю проблему».

За його словами, Anthropic досі не має інструментів, які дають змогу користувачам бачити, на що витрачаються їхні токени. «Я не думаю, що ці люди взагалі можуть якось захистити себе».

Коли Anthropic попросили надати інформацію про те, як користувачі можуть виявити зловживання, компанія відмовилася від коментарів.