Så fungerar Poison Claude

Tjänsten, som har funnits på poison-claude.bitsender.top, marknadsför paket med ”obegränsade” token och styckförsäljning för fyra modeller: Opus 4.8, Opus 4.7, Opus 4.6 och Sonnet 4.6 .

I stället för att skicka anropen direkt till Anthropics officiella API dirigerar kunderna sin Claude Code-klient eller sina Anthropic-kompatibla API-anrop via Poison Claudes infrastruktur . Tjänsten fungerar alltså som en proxy – en mellanhand som tar emot förfrågan, skickar den vidare och returnerar svaret.

Affärsmodellen bygger enligt uppgifterna på att operatören skapar stora mängder bedrägliga eller syntetiska konton hos AWS och AI-leverantörer . Nya AWS-konton kan exempelvis kvalificera sig för kampanjförmåner som 100 dollar i AWS Activate-kredit för startupföretag .

Krediterna samlas sedan i en gemensam pool över hundratals eller tusentals konton. Kundernas förfrågningar skickas genom dessa konton, medan kunden debiteras 5–15 procent av det officiella tokenpriset .

På sin egen webbplats beskrev tjänsten modellen så här: ”Vi lägger till kontona i vår pool, din förfrågan dirigeras i bakgrunden till ett specifikt konto (du ser inte detta) och du debiteras 5–15 procent av det officiella tokenpriset beroende på modell” .

Den stora risken: någon annan kan läsa dina promptar

Den låga kostnaden har en tydlig baksida. Eftersom Poison Claude ligger mellan kunden och Anthropic får operatören teknisk möjlighet att se varje prompt och varje svar som passerar genom tjänsten.

Det innebär bland annat risk för:

• Avlyssning och datastöld: Operatören kan läsa, spara eller läcka promptar och svar . Det kan exempelvis handla om företagshemligheter, källkod eller personuppgifter.
• Manipulerade svar eller modellbyte: Tjänsten skulle i tysthet kunna ersätta Opus 4.8 med en billigare och svagare modell eller lägga in skadligt innehåll i svaren .
• Oklara regler för data: Till skillnad från officiell API-access finns inga motsvarande avtalskrav på datahantering, ingen uppgift om SOC 2-efterlevnad och inga garantier för hur länge promptar sparas eller när de raderas .
• Plötsligt avbrott: Eftersom verksamheten är beroende av konton som molnleverantörer sannolikt kommer att stänga kan tjänsten försvinna utan förvarning. Kunder kan då förlora både åtkomst och data som lagrats hos tjänsten .
• Redan exponerade användare: Okta uppgav att 872 aktiva Poison Claude-användare hade fått sina uppgifter exponerade genom tjänstens bristande säkerhet .

För utvecklare kan det därför vara farligt att se priset som den enda kostnaden. En enda känslig prompt kan vara mer värdefull än alla besparingar på API-anrop.

Poison Claude är en del av en större gråmarknad

Poison Claude verkar inte vara ett enskilt undantag. Okta hittade fler än ett halvdussin tjänster på underjordiska forum och meddelandeplattformar som erbjöd rabatterad eller ”obegränsad” tillgång till avancerade AI-modeller .

Marknaden omfattar bland annat:

• Kinesiska proxynätverk, så kallade ”transfer stations”, som säljer Claude-access med rabatter på upp till 90 procent. En rapport från Oxford China Policy Lab-utredaren Zilan Qian beskrev tjänster på GitHub, Taobao och Telegram som enligt uppgifterna samlar in promptar och svar för vidareförsäljning som träningsdata .
• LLMjacking: Stulen AI-beräkningskapacitet används inte bara för vidareförsäljning utan även som infrastruktur i offensiva cyberangrepp, enligt Sysdigs Threat Research Team .
• Storskaliga distilleringskampanjer: Anthropic har identifierat kampanjer kopplade till DeepSeek, Moonshot och MiniMax. De ska ha genomfört över 16 miljoner utbyten med Claude via omkring 24 000 falska konton för att olovligen utvinna modellens förmågor . Anthropic uppgav att laboratorierna använde kommersiella proxytjänster som säljer tillgång till Claude och andra avancerade AI-modeller för att kringgå begränsningar .

Den gemensamma metoden är tydlig: utnyttja gratis testperioder och startup-program, skapa syntetiska identiteter i stor skala och skicka API-trafik genom delad proxyinfrastruktur . Förmåner som molnleverantörer har skapat för att locka legitima företag kan därmed användas som bränsle i en omfattande bedrägeriverksamhet.

Vad utvecklare och företag bör ta med sig

För företag som lockas av kraftigt rabatterad AI-access är säkerhetsforskarnas budskap enkelt: det finns ingen gratis lunch när det gäller avancerade AI-modeller.

Varje prompt som skickas genom en inofficiell proxy blir en potentiell dataskuld. Riskerna gäller inte bara personlig integritet, utan också företagsdata, immateriella rättigheter och krav på regelefterlevnad.

Det säkraste sättet att hålla promptar, data och modellresultat privata är att använda officiell API-access från Anthropic – med tydliga avtal och definierade regler för hur informationen hanteras.

Så fungerar Poison Claude

Tjänsten, som har funnits på poison-claude.bitsender.top, marknadsför paket med ”obegränsade” token och styckförsäljning för fyra modeller: Opus 4.8, Opus 4.7, Opus 4.6 och Sonnet 4.6 .

I stället för att skicka anropen direkt till Anthropics officiella API dirigerar kunderna sin Claude Code-klient eller sina Anthropic-kompatibla API-anrop via Poison Claudes infrastruktur . Tjänsten fungerar alltså som en proxy – en mellanhand som tar emot förfrågan, skickar den vidare och returnerar svaret.

Affärsmodellen bygger enligt uppgifterna på att operatören skapar stora mängder bedrägliga eller syntetiska konton hos AWS och AI-leverantörer . Nya AWS-konton kan exempelvis kvalificera sig för kampanjförmåner som 100 dollar i AWS Activate-kredit för startupföretag .

Krediterna samlas sedan i en gemensam pool över hundratals eller tusentals konton. Kundernas förfrågningar skickas genom dessa konton, medan kunden debiteras 5–15 procent av det officiella tokenpriset .

På sin egen webbplats beskrev tjänsten modellen så här: ”Vi lägger till kontona i vår pool, din förfrågan dirigeras i bakgrunden till ett specifikt konto (du ser inte detta) och du debiteras 5–15 procent av det officiella tokenpriset beroende på modell” .

Den stora risken: någon annan kan läsa dina promptar

Den låga kostnaden har en tydlig baksida. Eftersom Poison Claude ligger mellan kunden och Anthropic får operatören teknisk möjlighet att se varje prompt och varje svar som passerar genom tjänsten.

Det innebär bland annat risk för:

• Avlyssning och datastöld: Operatören kan läsa, spara eller läcka promptar och svar . Det kan exempelvis handla om företagshemligheter, källkod eller personuppgifter.
• Manipulerade svar eller modellbyte: Tjänsten skulle i tysthet kunna ersätta Opus 4.8 med en billigare och svagare modell eller lägga in skadligt innehåll i svaren .
• Oklara regler för data: Till skillnad från officiell API-access finns inga motsvarande avtalskrav på datahantering, ingen uppgift om SOC 2-efterlevnad och inga garantier för hur länge promptar sparas eller när de raderas .
• Plötsligt avbrott: Eftersom verksamheten är beroende av konton som molnleverantörer sannolikt kommer att stänga kan tjänsten försvinna utan förvarning. Kunder kan då förlora både åtkomst och data som lagrats hos tjänsten .
• Redan exponerade användare: Okta uppgav att 872 aktiva Poison Claude-användare hade fått sina uppgifter exponerade genom tjänstens bristande säkerhet .

För utvecklare kan det därför vara farligt att se priset som den enda kostnaden. En enda känslig prompt kan vara mer värdefull än alla besparingar på API-anrop.

Poison Claude är en del av en större gråmarknad

Poison Claude verkar inte vara ett enskilt undantag. Okta hittade fler än ett halvdussin tjänster på underjordiska forum och meddelandeplattformar som erbjöd rabatterad eller ”obegränsad” tillgång till avancerade AI-modeller .

Marknaden omfattar bland annat:

• Kinesiska proxynätverk, så kallade ”transfer stations”, som säljer Claude-access med rabatter på upp till 90 procent. En rapport från Oxford China Policy Lab-utredaren Zilan Qian beskrev tjänster på GitHub, Taobao och Telegram som enligt uppgifterna samlar in promptar och svar för vidareförsäljning som träningsdata .
• LLMjacking: Stulen AI-beräkningskapacitet används inte bara för vidareförsäljning utan även som infrastruktur i offensiva cyberangrepp, enligt Sysdigs Threat Research Team .
• Storskaliga distilleringskampanjer: Anthropic har identifierat kampanjer kopplade till DeepSeek, Moonshot och MiniMax. De ska ha genomfört över 16 miljoner utbyten med Claude via omkring 24 000 falska konton för att olovligen utvinna modellens förmågor . Anthropic uppgav att laboratorierna använde kommersiella proxytjänster som säljer tillgång till Claude och andra avancerade AI-modeller för att kringgå begränsningar .

Den gemensamma metoden är tydlig: utnyttja gratis testperioder och startup-program, skapa syntetiska identiteter i stor skala och skicka API-trafik genom delad proxyinfrastruktur . Förmåner som molnleverantörer har skapat för att locka legitima företag kan därmed användas som bränsle i en omfattande bedrägeriverksamhet.

Vad utvecklare och företag bör ta med sig

För företag som lockas av kraftigt rabatterad AI-access är säkerhetsforskarnas budskap enkelt: det finns ingen gratis lunch när det gäller avancerade AI-modeller.

Varje prompt som skickas genom en inofficiell proxy blir en potentiell dataskuld. Riskerna gäller inte bara personlig integritet, utan också företagsdata, immateriella rättigheter och krav på regelefterlevnad.

Det säkraste sättet att hålla promptar, data och modellresultat privata är att använda officiell API-access från Anthropic – med tydliga avtal och definierade regler för hur informationen hanteras.