Poison Claude sprzedawał dostęp do Claude’a nawet o 90 proc. taniej. Ceną mogły być wszystkie twoje prompty

Jak działał Poison Claude

Usługa działająca pod adresem poison-claude.bitsender.top reklamowała „nielimitowane” pakiety tokenów oraz oferty rozliczane według liczby promptów. Oferowała dostęp do czterech modeli Anthropic: Opus 4.8, Opus 4.7, Opus 4.6 i Sonnet 4.6 .

Poison Claude pełnił funkcję proxy, czyli pośrednika między klientem a Anthropic. Użytkownik kierował ruch z Claude Code lub zgodnych wywołań API do infrastruktury operatora, a nie do oficjalnego endpointu Anthropic .

Mechanizm był prosty. Operatorzy mieli tworzyć duże liczby fałszywych lub syntetycznych kont w AWS oraz u dostawców usług AI . Nowe konta mogły kwalifikować się do programów promocyjnych, takich jak kredyt 100 dolarów w AWS Activate dla startupów .

Zgromadzone kredyty łączono następnie w pulę. Zapytania klientów kierowano przez kolejne konta, a tokeny sprzedawano za 5–15 proc. ceny naliczanej przez Anthropic. W efekcie koszt po stronie operatora miał być bliski zeru, podczas gdy przychód z odsprzedaży trafiał do niego niemal w całości .

Sam serwis miał opisywać ten model wprost: „Dodajemy te konta do naszej puli, twoje żądanie jest w tle kierowane do konkretnego konta […], a ty płacisz 5–15 proc. oficjalnej ceny za token, zależnie od modelu” .

Tani dostęp oznaczał wysokie ryzyko

Najpoważniejszy problem polegał na tym, że Poison Claude znajdował się pomiędzy użytkownikiem a Anthropic. Operator proxy mógł więc mieć pełny wgląd w treść zapytań i odpowiedzi.

• Przechwytywanie i kradzież danych: operator mógł odczytywać, rejestrować lub ujawniać każdy prompt i każdą odpowiedź przesłaną przez usługę .
• Podmiana modelu lub treści: bez wiedzy klienta mógł potencjalnie zastąpić Opus 4.8 słabszym i tańszym modelem albo wstrzyknąć do odpowiedzi złośliwą treść .
• Brak gwarancji ochrony danych: w przeciwieństwie do oficjalnego API Anthropic usługa nie zapewniała umownych zobowiązań dotyczących przetwarzania danych, zgodności z SOC 2 ani jasnych zasad przechowywania i usuwania promptów .
• Ryzyko nagłego zniknięcia usługi: konta założone z naruszeniem zasad mogły zostać zamknięte przez dostawców chmurowych. Klienci mogli wówczas stracić dostęp oraz dane przechowywane w usłudze bez ostrzeżenia .
• Ujawnieni użytkownicy: Okta wskazała 872 aktywnych użytkowników Poison Claude, których dane zostały narażone w wyniku niebezpiecznego działania usługi .

Dla firmy oznacza to nie tylko zagrożenie prywatności pojedynczego użytkownika. Przez takie proxy mogą wyciec poufne dokumenty, kod źródłowy, informacje o klientach czy własność intelektualna. Korzystanie z nieautoryzowanego pośrednika może też prowadzić do problemów związanych z wymogami bezpieczeństwa i zgodnością regulacyjną.

Poison Claude to część większego rynku

Okta odkryła ponad pół tuzina usług reklamujących na podziemnych forach i platformach komunikacyjnych tani lub „nielimitowany” dostęp do czołowych modeli AI . Poison Claude był jednym z przykładów szerszego ekosystemu.

W jego skład wchodzą między innymi:

• Chińskie sieci proxy określane jako „transfer stations”. Według raportów odsprzedają one dostęp do Claude’a nawet o 90 proc. taniej, wykorzystując skradzione dane uwierzytelniające i fałszywe konta. Badania Oxford China Policy Lab opisywały ich obecność m.in. na GitHubie, Taobao i Telegramie oraz rejestrowanie promptów i odpowiedzi w celu późniejszej odsprzedaży jako danych treningowych .
• LLMjacking, czyli przejmowanie cudzych zasobów obliczeniowych AI. Skradziona moc może służyć nie tylko do odsprzedaży dostępu, lecz także jako infrastruktura dla autonomicznych cyberataków .
• Kampanie masowego wydobywania możliwości modeli. Anthropic poinformował o działaniach DeepSeek, Moonshot i MiniMax, w ramach których wygenerowano ponad 16 mln wymian z Claude’em przy użyciu około 24 tys. fałszywych kont. Celem było nieuprawnione pozyskanie możliwości modelu i wykorzystanie ich do ulepszania własnych systemów .

Wspólny schemat jest podobny: masowe zakładanie syntetycznych tożsamości, wykorzystywanie darmowych okresów próbnych i programów dla startupów, a następnie kierowanie ruchu przez współdzieloną infrastrukturę proxy . Programy kredytowe stworzone po to, by pozyskiwać legalnych klientów, mogą w ten sposób stać się źródłem wielomilionowych nadużyć.

Co powinni zrobić deweloperzy i firmy

W przypadku zaawansowanych modeli AI wyjątkowo niska cena powinna być sygnałem ostrzegawczym. Jeśli zapytanie nie trafia bezpośrednio do oficjalnego dostawcy, trzeba założyć, że pośrednik może je zobaczyć, zapisać lub wykorzystać w sposób, którego użytkownik nie kontroluje.

Dla danych wrażliwych, kodu i informacji firmowych bezpiecznym rozwiązaniem pozostaje korzystanie z oficjalnego, umownie uregulowanego dostępu API od Anthropic. Oszczędność na tokenach nie rekompensuje ryzyka utraty poufnych danych, kontroli nad modelem ani zgodności z wymaganiami bezpieczeństwa.