Het verdienmodel is eenvoudig. De beheerders maken volgens onderzoekers grote aantallen frauduleuze of synthetische accounts aan bij AWS en AI-aanbieders . Nieuwe AWS-accounts kunnen in aanmerking komen voor promotietegoeden, zoals het tegoed van 100 dollar voor startups via AWS Activate .

Door zulke tegoeden van honderden of duizenden accounts samen te voegen, kunnen de beheerders verzoeken van klanten via die accounts laten lopen. De klant betaalt vervolgens 5 tot 15 procent van het officiële tarief per token, terwijl de kosten voor de exploitant grotendeels door promotietegoeden worden gedekt .

De website van de dienst beschreef het zelf als volgt: ‘We voegen die accounts toe aan onze pool; je verzoek wordt op de achtergrond naar een specifiek account doorgestuurd — dat zie je niet — en je betaalt 5 tot 15 procent van de officiële prijs per token, afhankelijk van het model’ .

De risico’s voor klanten

De lage prijs verandert niets aan een fundamenteel probleem: Poison Claude staat tussen de gebruiker en Anthropic in. Daardoor krijgt de exploitant zicht op de volledige communicatie.

• Onderschepping en datadiefstal: iedere prompt en ieder antwoord kan worden gelezen, opgeslagen of gelekt . Dat kan gevoelige bedrijfsinformatie, broncode, persoonsgegevens of intellectueel eigendom omvatten.
• Verwisselen van modellen: de beheerder zou ongemerkt een krachtiger model, zoals Opus 4.8, kunnen vervangen door een goedkoper of minder capabel model. Ook kunnen antwoorden worden gemanipuleerd of aangevuld met schadelijke inhoud .
• Geen afdwingbare privacybeloften: bij officiële Anthropic-API-toegang bestaan contractuele afspraken over gegevensverwerking. Bij Poison Claude zijn er volgens onderzoekers geen vergelijkbare garanties, geen SOC 2-compliance en geen zekerheid over bewaren of verwijderen van prompts .
• Plotselinge uitval: cloudproviders zullen frauduleuze accounts naar verwachting beëindigen. De dienst kan daardoor zonder waarschuwing verdwijnen, samen met toegang tot gegevens die gebruikers er hebben opgeslagen .
• Al blootgestelde gebruikers: Okta meldde dat de gegevens van 872 actieve Poison Claude-gebruikers via de onveilige werkwijze van de dienst waren blootgesteld .

Poison Claude is onderdeel van een grotere markt

Poison Claude staat niet op zichzelf. Okta Threat Intelligence vond meer dan een half dozijn diensten op ondergrondse fora en berichtenplatforms die goedkope of ‘onbeperkte’ toegang tot geavanceerde AI-modellen aanbieden .

Tot die bredere grijze markt behoren onder meer:

• Chinese proxy-netwerken, ook wel ‘transfer stations’ genoemd: deze diensten verkopen Claude-toegang soms met tot 90 procent korting. Volgens onderzoek van Oxford China Policy Lab-onderzoeker Zilan Qian maken ze gebruik van gestolen inloggegevens en frauduleuze accounts. De netwerken zouden actief zijn op onder meer GitHub, Taobao en Telegram en prompts en antwoorden verzamelen voor doorverkoop als trainingsdata .
• LLMjacking: gestolen AI-rekenkracht wordt niet alleen doorverkocht, maar kan ook worden ingezet als infrastructuur voor geautomatiseerde cyberaanvallen, zo beschreef het Sysdig Threat Research Team .
• Distillatie op industriële schaal: Anthropic zegt campagnes van DeepSeek, Moonshot en MiniMax te hebben vastgesteld. Deze partijen zouden via ongeveer 24.000 frauduleuze accounts meer dan 16 miljoen uitwisselingen met Claude hebben gegenereerd om de mogelijkheden van het model illegaal te kopiëren naar eigen systemen . Volgens Anthropic gebruikten ze commerciële proxy’s die toegang tot Claude en andere geavanceerde modellen doorverkopen om beperkingen te omzeilen .

De werkwijze is telkens vergelijkbaar: misbruik gratis proefcredits en startupregelingen, maak op grote schaal synthetische identiteiten aan en laat API-verkeer via gedeelde proxy-infrastructuur lopen . Programma’s die cloudproviders bedoeld hebben om legitieme startups aan te trekken, worden zo misbruikt als financieringsbron voor een lucratieve fraude-industrie.

Wat ontwikkelaars en bedrijven hiervan moeten onthouden

Voor ontwikkelaars en ondernemingen is de conclusie helder: extreem goedkope toegang tot geavanceerde AI is zelden echt goedkoop. Elke prompt die via een onbekende proxy loopt, vormt een mogelijk datalek. Voor bedrijven kunnen de gevolgen verder gaan dan privacyverlies, met risico’s voor bedrijfsgeheimen, intellectueel eigendom en naleving van regelgeving.

Wie controle wil houden over prompts, ingevoerde gegevens en modeluitvoer, doet er verstandig aan officiële API-toegang van Anthropic te gebruiken, met duidelijke contractuele afspraken over gegevensverwerking.

Het verdienmodel is eenvoudig. De beheerders maken volgens onderzoekers grote aantallen frauduleuze of synthetische accounts aan bij AWS en AI-aanbieders . Nieuwe AWS-accounts kunnen in aanmerking komen voor promotietegoeden, zoals het tegoed van 100 dollar voor startups via AWS Activate .

Door zulke tegoeden van honderden of duizenden accounts samen te voegen, kunnen de beheerders verzoeken van klanten via die accounts laten lopen. De klant betaalt vervolgens 5 tot 15 procent van het officiële tarief per token, terwijl de kosten voor de exploitant grotendeels door promotietegoeden worden gedekt .

De website van de dienst beschreef het zelf als volgt: ‘We voegen die accounts toe aan onze pool; je verzoek wordt op de achtergrond naar een specifiek account doorgestuurd — dat zie je niet — en je betaalt 5 tot 15 procent van de officiële prijs per token, afhankelijk van het model’ .

De risico’s voor klanten

De lage prijs verandert niets aan een fundamenteel probleem: Poison Claude staat tussen de gebruiker en Anthropic in. Daardoor krijgt de exploitant zicht op de volledige communicatie.

• Onderschepping en datadiefstal: iedere prompt en ieder antwoord kan worden gelezen, opgeslagen of gelekt . Dat kan gevoelige bedrijfsinformatie, broncode, persoonsgegevens of intellectueel eigendom omvatten.
• Verwisselen van modellen: de beheerder zou ongemerkt een krachtiger model, zoals Opus 4.8, kunnen vervangen door een goedkoper of minder capabel model. Ook kunnen antwoorden worden gemanipuleerd of aangevuld met schadelijke inhoud .
• Geen afdwingbare privacybeloften: bij officiële Anthropic-API-toegang bestaan contractuele afspraken over gegevensverwerking. Bij Poison Claude zijn er volgens onderzoekers geen vergelijkbare garanties, geen SOC 2-compliance en geen zekerheid over bewaren of verwijderen van prompts .
• Plotselinge uitval: cloudproviders zullen frauduleuze accounts naar verwachting beëindigen. De dienst kan daardoor zonder waarschuwing verdwijnen, samen met toegang tot gegevens die gebruikers er hebben opgeslagen .
• Al blootgestelde gebruikers: Okta meldde dat de gegevens van 872 actieve Poison Claude-gebruikers via de onveilige werkwijze van de dienst waren blootgesteld .

Poison Claude is onderdeel van een grotere markt

Poison Claude staat niet op zichzelf. Okta Threat Intelligence vond meer dan een half dozijn diensten op ondergrondse fora en berichtenplatforms die goedkope of ‘onbeperkte’ toegang tot geavanceerde AI-modellen aanbieden .

Tot die bredere grijze markt behoren onder meer:

• Chinese proxy-netwerken, ook wel ‘transfer stations’ genoemd: deze diensten verkopen Claude-toegang soms met tot 90 procent korting. Volgens onderzoek van Oxford China Policy Lab-onderzoeker Zilan Qian maken ze gebruik van gestolen inloggegevens en frauduleuze accounts. De netwerken zouden actief zijn op onder meer GitHub, Taobao en Telegram en prompts en antwoorden verzamelen voor doorverkoop als trainingsdata .
• LLMjacking: gestolen AI-rekenkracht wordt niet alleen doorverkocht, maar kan ook worden ingezet als infrastructuur voor geautomatiseerde cyberaanvallen, zo beschreef het Sysdig Threat Research Team .
• Distillatie op industriële schaal: Anthropic zegt campagnes van DeepSeek, Moonshot en MiniMax te hebben vastgesteld. Deze partijen zouden via ongeveer 24.000 frauduleuze accounts meer dan 16 miljoen uitwisselingen met Claude hebben gegenereerd om de mogelijkheden van het model illegaal te kopiëren naar eigen systemen . Volgens Anthropic gebruikten ze commerciële proxy’s die toegang tot Claude en andere geavanceerde modellen doorverkopen om beperkingen te omzeilen .

De werkwijze is telkens vergelijkbaar: misbruik gratis proefcredits en startupregelingen, maak op grote schaal synthetische identiteiten aan en laat API-verkeer via gedeelde proxy-infrastructuur lopen . Programma’s die cloudproviders bedoeld hebben om legitieme startups aan te trekken, worden zo misbruikt als financieringsbron voor een lucratieve fraude-industrie.

Wat ontwikkelaars en bedrijven hiervan moeten onthouden

Voor ontwikkelaars en ondernemingen is de conclusie helder: extreem goedkope toegang tot geavanceerde AI is zelden echt goedkoop. Elke prompt die via een onbekende proxy loopt, vormt een mogelijk datalek. Voor bedrijven kunnen de gevolgen verder gaan dan privacyverlies, met risico’s voor bedrijfsgeheimen, intellectueel eigendom en naleving van regelgeving.

Wie controle wil houden over prompts, ingevoerde gegevens en modeluitvoer, doet er verstandig aan officiële API-toegang van Anthropic te gebruiken, met duidelijke contractuele afspraken over gegevensverwerking.