Poison Claude: come il mercato grigio rivende Claude sfruttando i crediti AWS

Il meccanismo, però, non era una partnership segreta con Anthropic. Il risparmio derivava dall’uso di account cloud creati in modo fraudolento e alimentati con crediti promozionali gratuiti. Soprattutto, chi acquistava il servizio affidava ogni propria richiesta a un intermediario sconosciuto.

Come funzionava Poison Claude

Il modello combinava tre elementi:

• Accumulo di crediti promozionali. Gli operatori creavano numerosi account sintetici su AWS per ottenere bonus destinati ai nuovi clienti, tra cui il credito promozionale da 100 dollari associato agli account AWS Bedrock. I crediti venivano poi riuniti in un unico bacino . Questa pratica, spesso definita free-trial farming, può ricorrere a procedure automatizzate per generare grandi quantità di indirizzi email e numeri di telefono .
• Un gateway proxy condiviso. Le richieste dei clienti non andavano direttamente ai server Anthropic. Gli utenti dovevano invece configurare gli strumenti di sviluppo affinché puntassero a un endpoint personalizzato, come api.claudeopus.shop, anziché all’endpoint ufficiale. Il servizio è stato individuato all’indirizzo poison-claude[.]bitsender[.]top .
• Rivendita a forte sconto. I token venivano offerti con uno sconto del 70-90% rispetto ai prezzi ufficiali e i pagamenti erano accettati in diverse criptovalute . Alcuni pacchetti promettevano richieste “illimitate”, entro un limite prestabilito di prompt o token .

In pratica, il cliente vedeva un’interfaccia compatibile con Claude, mentre dietro le quinte il proxy selezionava gli account AWS ancora dotati di credito e inoltrava le richieste attraverso di essi.

Il rischio principale: i prompt passavano da un intermediario

Il problema più grave non riguardava soltanto la provenienza dei crediti. Prima di raggiungere AWS Bedrock, ogni prompt e ogni risposta passavano dall’infrastruttura controllata dall’operatore. Questo gli consentiva potenzialmente di leggere, registrare, modificare o sottrarre il contenuto delle conversazioni . Help Net Security ha avvertito in modo esplicito che “ogni prompt e ogni risposta sono esposti all’operatore” .

Per un singolo utente, il rischio può includere la perdita di dati personali, codice sorgente o informazioni riservate. Per un’azienda, i prompt potrebbero contenere documenti interni, credenziali inserite per errore, dati dei clienti o dettagli su prodotti non ancora annunciati.

Inoltre, il servizio non offriva garanzie verificabili su:

• cifratura del traffico durante il trasferimento;
• luogo di archiviazione dei dati;
• tempi e modalità di cancellazione dei prompt;
• soggetti a cui i dati potevano essere inoltrati;
• livelli di servizio e responsabilità dell’operatore .

Il problema non si limita alla privacy. Credenziali cloud o chiavi API rubate possono essere riutilizzate per attacchi di credential stuffing, acquisizione di account e LLMjacking, cioè l’uso non autorizzato della capacità di calcolo AI di terzi come infrastruttura per ulteriori attività offensive . Alcuni proxy del mercato grigio possono inoltre sostituire senza avvisare l’utente il modello richiesto con uno più economico, trattenendo la differenza di prezzo .

Poison Claude fa parte di un ecosistema più ampio

Secondo Okta, Poison Claude non era un caso isolato: sui forum clandestini sono state individuate più di sei pubblicità relative ad accessi AI illegali, riguardanti modelli Anthropic, OpenAI e Google Gemini .

Un servizio analogo, Ecomagent, seguiva uno schema simile: account falsi, crediti promozionali e accesso scontato ai modelli Anthropic e OpenAI attraverso endpoint API personalizzati .

La filiera più ampia si basa su:

1. registrazioni automatizzate con identità sintetiche;
2. accumulo di bonus per nuovi clienti su AWS, Google Cloud o altri fornitori;
3. uso di account compromessi o credenziali sottratte;
4. aggregazione degli account dietro gateway compatibili con le API ufficiali;
5. rivendita dell’accesso a sviluppatori, startup e utenti che considerano i prezzi ufficiali troppo elevati o che si trovano in Paesi dove l’accesso ai servizi è limitato .

In Cina, reti di proxy note nelle comunità di sviluppatori come “transfer station” — in cinese 中转站 — sono state documentate su piattaforme come GitHub, Taobao e Telegram. Secondo la ricerca dell’Oxford China Policy Lab, alcuni di questi intermediari offrirebbero l’accesso a Claude a circa il 10% del prezzo ufficiale, sostenendo i costi con credenziali rubate, sostituzione non dichiarata dei modelli e raccolta dei prompt e delle risposte degli utenti .

Anche le autorità e i ricercatori di sicurezza hanno iniziato a seguire questa filiera. Operation Bizarre Bazaar, tra dicembre 2025 e gennaio 2026, ha documentato un’attività rivolta a reti specializzate nel furto di credenziali API . La Cloud Security Alliance ha inoltre descritto un vero e proprio “mercato ombra” per la rivendita di API di modelli linguistici .

Una regolamentazione ancora non pensata per questo problema

Le iniziative statunitensi sull’AI affrontano temi collegati, ma non sembrano intervenire direttamente sul modello di frode attribuito a Poison Claude.

• H.R. 8283, il Deterring American AI Model Export Act del 119º Congresso, punta a controllare l’accesso ai modelli AI proprietari più avanzati. Il suo obiettivo principale, tuttavia, riguarda i controlli sulle esportazioni, non la rivendita interna attraverso account falsi e proxy .
• L’ordine esecutivo della Casa Bianca del giugno 2026, Promoting Advanced Artificial Intelligence Innovation and Security, incarica Tesoro, NSA e CISA di sviluppare strumenti di sicurezza e meccanismi di condivisione delle informazioni relativi ai modelli avanzati e proprietari . Il provvedimento chiede inoltre agli sviluppatori di sottoporre volontariamente alcuni modelli di frontiera a una revisione federale nei 30 giorni precedenti alla pubblicazione .
• Il 17 luglio 2026, CNBC ha riferito che l’amministrazione Trump stava adottando nuovi provvedimenti per stabilire quali aziende ed enti potessero accedere ai modelli AI di frontiera di società come Anthropic e OpenAI .
• Il 4 agosto, il Wall Street Journal ha riportato che le nuove linee guida della Casa Bianca esentano i modelli aperti sviluppati da aziende statunitensi dalla revisione governativa .

Questi interventi si concentrano soprattutto su sicurezza nazionale e controllo delle esportazioni: l’obiettivo è limitare l’accesso di soggetti considerati avversari ai modelli AI più potenti. Poison Claude mette invece in evidenza un’altra falla: frode sui crediti, account falsi, rivendita non autorizzata e intercettazione dei dati.

È un problema che ricade contemporaneamente nella sicurezza cloud, nella tutela della privacy e nei pagamenti fraudolenti. Finché un servizio di AI economico può nascondere chi controlla il proxy, dove finiscono i prompt e quali credenziali alimentano l’accesso, lo sconto non è semplicemente un’offerta conveniente: può essere il prezzo per consegnare i propri dati a un operatore che non offre alcuna garanzia.