Poison Claude продавал доступ к Claude за 5–15% от официальной цены — но видел каждый запрос

Как работал Poison Claude

Сервис, размещённый по адресу poison-claude.bitsender.top, рекламировал «безлимитные» тарифы, рассчитываемые по числу промптов, а также отдельные пакеты токенов. Пользователям предлагали доступ к четырём моделям Anthropic: Opus 4.8, Opus 4.7, Opus 4.6 и Sonnet 4.6 .

Технически Poison Claude выступал в роли прокси. Разработчик перенаправлял клиент Claude Code или совместимые с Anthropic API-запросы не на официальный endpoint Anthropic, а на серверы оператора .

Схема заработка строилась на массовой регистрации фиктивных или синтетических аккаунтов в AWS и у поставщиков ИИ . Новые аккаунты AWS могли получать рекламные бонусы, включая кредит в размере 100 долларов по программе AWS Activate для стартапов . Оператор объединял такие кредиты в общий пул, пропускал через него запросы клиентов и продавал токены за 5–15% от официальной цены.

На сайте сервиса схема описывалась прямо: «Мы добавляем эти аккаунты в наш пул, ваш запрос незаметно направляется на конкретный аккаунт, а с вас взимается 5–15% официальной цены за токен в зависимости от модели» .

Главная опасность — посредник видит весь диалог

Низкая цена не компенсировала риски. Когда сторонний сервис находится между пользователем и API Anthropic, он потенциально получает доступ ко всему содержимому обмена:

• Перехват и кража промптов. Оператор может читать, сохранять или раскрывать каждый запрос и ответ, отправленный через прокси .
• Подмена модели или содержимого. Пользователь мог незаметно получить более дешёвую и слабую модель вместо Opus 4.8, а оператор — добавить вредоносный текст в ответ .
• Отсутствие договорных гарантий. В отличие от официального API Anthropic, у такого посредника нет подтверждённых обязательств по обработке данных, гарантий SOC 2 или обещаний по срокам хранения и удалению промптов .
• Внезапное отключение. Облачные провайдеры рано или поздно блокируют мошеннические аккаунты. Поэтому сервис мог исчезнуть без предупреждения, вместе с доступом и данными, которые пользователи хранили в его инфраструктуре .
• Уже раскрытые пользователи. По данным Okta, в результате небезопасной работы Poison Claude были раскрыты данные 872 активных пользователей .

Для компаний это означает риск утечки коммерческой тайны, исходного кода и персональных данных, а также возможные нарушения внутренних правил и требований к защите информации.

Poison Claude — лишь часть подпольного рынка

Okta обнаружила более шести сервисов на подпольных форумах и в мессенджерах, которые предлагали скидочный или «безлимитный» доступ к передовым моделям ИИ . Poison Claude оказался не исключением, а примером более широкой схемы.

В этот рынок входят:

• Китайские прокси-сети, или «трансферные станции». Они перепродают доступ к Claude со скидкой до 90%, используя украденные учётные данные и фиктивные аккаунты. Согласно исследованию сотрудника Oxford China Policy Lab Зиланя Цяня, такие сервисы открыто работали на GitHub, Taobao и Telegram, одновременно собирая промпты и ответы для последующей перепродажи в качестве обучающих данных .
• LLMjacking. Украденные вычислительные ресурсы применяются не только для перепродажи доступа, но и как инфраструктура для автоматизированных кибератак .
• Промышленные кампании по дистилляции моделей. Anthropic сообщила о действиях DeepSeek, Moonshot и MiniMax: через примерно 24 000 мошеннических аккаунтов они создали свыше 16 миллионов обменов с Claude, чтобы незаконно извлечь возможности модели и использовать их при обучении собственных систем . По данным Anthropic, для обхода ограничений применялись коммерческие прокси, перепродающие доступ к Claude и другим передовым моделям .

Общий сценарий у таких операций один: злоумышленники массово создают синтетические личности, используют бесплатные пробные периоды и программы поддержки стартапов, а затем направляют API-запросы через общую прокси-инфраструктуру . Стимулы, придуманные облачными компаниями для привлечения реальных стартапов, превращаются в канал масштабного мошенничества.

Что это значит для разработчиков и бизнеса

Скидка в 85–95% на доступ к передовой модели должна восприниматься не как выгодное предложение, а как сигнал опасности. Каждый промпт, отправленный через неизвестный прокси, следует считать потенциально раскрытым.

Для разработчиков это может означать утечку ключей, кода и внутренних документов. Для компаний — потерю интеллектуальной собственности, нарушение договоров с клиентами и проблемы с соблюдением требований к защите данных.

Единственный способ получить предсказуемые гарантии конфиденциальности, хранения данных и ответственности поставщика — использовать официальный API Anthropic или другой сервис с прозрачными условиями, договорными обязательствами и проверяемыми мерами безопасности.