Дыры в авторизации Claude давали бесплатный безлимит

Исследователь безопасности 20 октября опубликовал на Exploit разбор того, как цепочка ошибок в авторизации Anthropic открывала любому вошедшему аккаунту claude.ai бесплатный безлимитный доступ ко всем публичным моделям Claude. Публикация вышла по правилу 90-дневного раскрытия - часть описанных дыр на момент выхода не закрыта.

Токен любому аккаунту

Цепочка начинается с эндпоинта /v1/code/sessions/{id}/bridge. POST-запрос к нему возвращает подписанный worker-токен формата sk-ant-si-* любому вошедшему пользователю claude.ai - независимо от его прав. Бесплатный аккаунт с единственной способностью chat получал токен так же, как платный. Session bridging задуман, чтобы Claude Code мог передать сессию в Claude Desktop, и документация прямо говорит, что бесплатный план доступа к Claude Code не даёт. Единственное условие - аккаунт должен был отправить хотя бы одно сообщение: на совсем свежем /v1/code/sessions/ приходит ошибка. Автор относит это к CWE-863, неверной проверке авторизации.

Сам по себе токен на обычном /v1/messages упирался в тариф: бесплатный аккаунт получал 429 с сообщением «This model is not available on your plan», а платный тратил свой лимит claude.ai. Токен приходилось обновлять каждые 8 часов.

Эндпоинт без тарифа

Куда интереснее оказался /v1/messages/batches - эндпоинт для пакетной обработки до 100 000 запросов за раз, с низким приоритетом и оттого медленнее. Здесь проверки тарифа не было вообще, и счёт не выставлялся никому. Любой бесплатный аккаунт мог гонять через него все публичные модели, кроме Mythos, без лимитов и платы. Схема короткая: создать сессию, получить токен через bridge, отправить пакет на batches, опрашивать статус в цикле и забрать результат. Это второй случай той же CWE-863.

Артефакты и старый Chromium

Вторая половина разбора - отдельный вектор. Опубликованные на claude.ai артефакты можно открыть в десктопном Claude, а он собран на Electron и несёт собственный Chromium. На момент раскрытия это был Chromium 148.0.7778.271 при официальном 151.0.7922.34 - на три мажорных версии позади. Между этими сборками закрыли 1 066 уязвимостей с CVE, из них 389 уровня high и выше. Запрет на публикацию произвольного файла в артефакты автор обошёл простой командой копирования из каталога загрузок в каталог выгрузок и собрал на этом демонстрационную заготовку эксплойта. Anthropic ответила, что это поведенческие ограничения модели, а не защитные механизмы, и что заготовка сама по себе не выходит за песочницу рендера.

Что ответила Anthropic

Отчёт по авторизации Anthropic закрыла как информационный на следующий день после подачи - заявку отправили 22 июля, ответ пришёл 23-го. Компания назвала это злоупотреблением платформой, а не уязвимостью. Автор возражает, что таким термином обычно описывают использование доверенного домена для фишинга или доставки вредоносного ПО, а не сцепку дефектов в логике авторизации. На просьбу пересмотреть решение ответил бот claudesec-h1, подтвердив трактовку. При этом около 1 сентября эндпоинт batches тихо перестал принимать worker-токены - хотя отчёт по нему держали вне скоупа.

Вывод автора: эти API проектируют с помощью сильнейших моделей и потом плотно проверяют, а архитектурные дыры всё равно остаются, и в таких местах по-прежнему нужен человек.

Третий случай CWE-863 он нашёл 17 августа почти случайно. Когда замороженная виртуальная карта поставила его подписку 20x Max на паузу, приостановленный аккаунт продолжил ходить на /v1/messages со всеми моделями - бесплатно и без того замедления, которым расплачивался batches. Этот баг автор подавать официально не стал, сославшись на то, что Anthropic ясно дала понять: такие вещи в скоуп она не берёт.