Ukradene Claude sesije mogu neprimetno potrošiti korisničku kvotu
Anthropic je potvrdio slučajeve u kojima su napadači ukradenim Claude sesijama trošili korisničku kvotu. Nezavisnom konsultantu Grantu de Swardtu potrošnja na nalogu Claude Max 20x porasla je sa 45% na 55% dok nije radio, a pretplata je iznosila 200 dolara mesečno.
Kompanija je posle istrage utvrdila da je kompromitovani ključ Claude sesije korišćen za izdavanje neovlašćenih Claude Code OAuth tokena. De Swardt je naveo da je njegov nalog, po oceni Anthropic-a, delovao kao da ga je koristio neovlašćeni servis treće strane za obradu aktivnosti drugih ljudi.
Potrošnja bez vidljivog objašnjenja
De Swardt je 4. avgusta primetio rast potrošnje iako tog dana nije radio. Sutradan je isključio sve što je bilo povezano sa Claude-om, pauzirao ili završio zakazane Cowork zadatke, onemogućio Dispatch i izvršavanje u oblaku, bez aktivnog lokalnog Claude Code zadatka. Potrošnja je ipak nastavila da raste.
Tražio je detaljnu specifikaciju potrošnje, ali je nije dobio. Anthropic je suspendovao plaćeni nalog, poništio sesije i serverske Claude Code tokene, a za preostalo vreme pretplate odobrio delimičan povraćaj od 44,49 funti. Nalog je ponovo aktiviran približno dve nedelje kasnije.
Infostealer kao put do naloga
Drugi korisnici su na Redditu i GitHub-u opisali slične nagle skokove potrošnje. U porukama nekim korisnicima Anthropic je naveo da loš akter koristi uobičajeni infostealer malver za krađu Claude sesija sa računara, pristup nalozima i trošenje raspoložive upotrebe.
Infostealer malver može da prikupi sačuvane lozinke, podatke o sesijama i pristupne podatke. Anthropic je korisnike kod kojih je uočio sumnjivu aktivnost odjavljivao, poništavao postojeća ovlašćenja, izdavao pojedine povraćaje i upozoravao na mogući malver. Kompanija je naglasila da takav malver ne potiče od korišćenja Claude-a i da može doći iz više izvora na internetu, uključujući zaraženi softver ili oglase.
Ograničenja u nadzoru potrošnje
Podrška prati ukupnu upotrebu, ali korisnicima ne daje stavkovni pregled potrošnje, ni kada ga zatraže. Zbog toga neovlašćeno trošenje može ostati neprimećeno duže vreme. Poslovni značaj Claude-a dodatno je porastao jer Claude privlači plaćene korisnike i smanjuje zaostatak pokazuje da servis privlači plaćene korisnike i smanjuje zaostatak za ChatGPT-om.
Za organizacije koje AI agente koriste u administraciji, razvoju i obradi poslovnih podataka, praktičan zaključak je da odstupanja u potrošnji treba proveravati odmah, a pri sumnji bez odlaganja opozvati sesije i autorizacije, proveriti uređaje na malver i dokumentovati posledice prekida rada.