Poison Claude: l’AI clandestina che rivende l’accesso ad Anthropic con sconti fino al 90%

Come funziona Poison Claude

Il servizio, individuato all’indirizzo poison-claude.bitsender.top, propone piani di token “illimitati”, misurati in base al numero di prompt, oltre a pacchetti acquistabili separatamente. Pubblicizza l’accesso a quattro modelli Anthropic: Opus 4.8, Opus 4.7, Opus 4.6 e Sonnet 4.6 .

Poison Claude non è l’endpoint ufficiale di Anthropic. Funziona invece come un proxy, cioè come un intermediario: gli utenti configurano Claude Code o chiamate API compatibili con Anthropic affinché passino dall’infrastruttura del servizio .

Il meccanismo economico descritto dai ricercatori è semplice:

• gli operatori creano un gran numero di account fraudolenti o sintetici su AWS e presso fornitori di servizi AI ;
• i nuovi account possono ricevere incentivi promozionali, come il credito da 100 dollari di AWS Activate destinato alle startup ;
• i crediti vengono raccolti in un unico bacino, composto potenzialmente da centinaia o migliaia di account;
• le richieste dei clienti vengono instradate attraverso questi account, mentre i token sono rivenduti al 5-15% del prezzo ufficiale per singolo token .

Il sito del servizio spiegava il funzionamento in termini espliciti: gli account venivano aggiunti a un “pool”, la richiesta del cliente veniva assegnata in modo trasparente solo all’operatore e il prezzo applicato era pari al 5-15% di quello ufficiale, a seconda del modello .

Il vero costo dello sconto: la privacy

Quando si utilizza un proxy non autorizzato, il traffico non va direttamente da sviluppatore ad Anthropic. Passa prima dai server dell’operatore. Questo significa che il gestore del servizio può potenzialmente accedere sia ai prompt sia alle risposte generate.

I principali rischi sono:

• Intercettazione e furto dei dati: l’operatore può leggere, registrare o divulgare ogni prompt e ogni risposta inviata tramite il servizio .
• Sostituzione del modello: senza che l’utente se ne accorga, un modello costoso come Opus 4.8 potrebbe essere sostituito con un modello più economico o meno capace .
• Alterazione delle risposte: l’intermediario potrebbe inserire contenuti dannosi o modificare l’output ricevuto dal cliente .
• Assenza di garanzie contrattuali: rispetto all’accesso ufficiale alle API Anthropic, non risultano impegni vincolanti sul trattamento dei dati, certificazioni SOC 2 o garanzie sulla conservazione e cancellazione dei prompt .
• Interruzione improvvisa del servizio: gli account fraudolenti alla base dell’operazione possono essere chiusi dai provider cloud in qualsiasi momento, lasciando i clienti senza accesso e, potenzialmente, senza i dati archiviati sul servizio .

Okta ha inoltre rilevato 872 utenti attivi di Poison Claude i cui dati erano stati esposti a causa delle operazioni non sicure del servizio .

Per un privato, questo può significare la perdita di conversazioni personali o di chiavi API. Per un’azienda, il rischio è molto più ampio: codice proprietario, informazioni sui clienti, documenti riservati e proprietà intellettuale potrebbero finire su un’infrastruttura priva di controlli verificabili.

Un mercato clandestino più ampio

Poison Claude non sembra essere un caso isolato. L’indagine di Okta ha individuato più di sei servizi pubblicizzati su forum criminali e piattaforme di messaggistica, con offerte di accesso scontato o “illimitato” ai modelli AI di frontiera .

Tra i fenomeni collegati figurano:

• Le reti proxy cinesi chiamate “transfer station”: questi servizi rivendono l’accesso a Claude con sconti fino al 90%, utilizzando credenziali rubate, account fraudolenti e, secondo un rapporto di Zilan Qian dell’Oxford China Policy Lab, piattaforme come GitHub, Taobao e Telegram . I gestori possono inoltre registrare prompt e risposte per rivenderli come dati di addestramento .
• Il cosiddetto LLMjacking: capacità di calcolo AI sottratte a terzi vengono utilizzate non solo per la rivendita, ma anche come infrastruttura per attacchi informatici automatizzati, come documentato dal team di ricerca sulle minacce di Sysdig .
• Le campagne di distillazione su scala industriale: Anthropic ha identificato attività attribuite a DeepSeek, Moonshot e MiniMax che avrebbero prodotto oltre 16 milioni di scambi con Claude attraverso circa 24.000 account fraudolenti, per estrarre illecitamente le capacità del modello e usarle per migliorare sistemi concorrenti .

Anthropic ha spiegato che, per aggirare le restrizioni, queste campagne si sono servite anche di servizi proxy commerciali che rivendono l’accesso a Claude e ad altri modelli AI di frontiera .

Lo schema che si ripete

Le diverse operazioni individuate condividono uno schema ricorrente: sfruttano i programmi di prova e i crediti destinati alle startup, generano identità sintetiche su larga scala e concentrano le richieste dietro un’infrastruttura proxy condivisa .

Gli incentivi pensati dai provider cloud per conquistare nuovi clienti legittimi diventano così una fonte di finanziamento per servizi clandestini. Il cliente finale vede soltanto un prezzo ridotto; dietro le quinte, però, può esserci una rete di account temporanei, pagamenti in criptovaluta e accesso non autorizzato alle risorse cloud .

Cosa devono fare sviluppatori e aziende

La promessa di token AI a prezzo stracciato non è soltanto una questione di conformità ai termini di servizio. Ogni prompt inviato attraverso un intermediario come Poison Claude va considerato una potenziale responsabilità sui dati.

Per gli sviluppatori, questo significa evitare di inserire nel servizio codice proprietario, credenziali, dati personali o informazioni riservate. Per le aziende, utilizzare API non autorizzate può esporre a fughe di dati, furto della proprietà intellettuale e violazioni degli obblighi di conformità.

L’unico modo per mantenere sotto controllo prompt, dati e output è utilizzare l’accesso API ufficiale di Anthropic, regolato da condizioni contrattuali e impegni verificabili sulla gestione delle informazioni.