Токены Claude уводят через угнанные сессии

Независимый консультант по ИИ Грант Де Свардт 4 августа обнаружил, что лимит его подписки Claude Max 20x расходуется без его участия: как он рассказал TechCrunch, в самом чистом контролируемом интервале потребление выросло с 45% до 55%, пока он не выполнял никакой работы.

Коротко

• Anthropic после разбирательства сообщила Де Свардту, что скомпрометированный ключ сессии использовали для выпуска неавторизованных OAuth-токенов Claude Code, а аккаунт, судя по всему, обслуживал активность посторонних людей через внешний сервис.
• О похожем сообщали другие подписчики в комментариях на Reddit: у одного расход поднялся с нуля до 49% за двенадцать минут, хотя он ограничился парой запросов и одним веб-поиском.
• Поддержка Anthropic отслеживает только суммарный расход и не выдаёт детализацию даже по запросу, поэтому такое хищение токенов способно оставаться незамеченным месяцами, а владелец аккаунта не может определить источник потребления.

Для подписчиков дорогих тарифов это меняет модель риска: украденный ключ сессии превращает оплаченный чужой лимит в бесплатный вычислительный ресурс, а заметить подмену удаётся только по косвенным признакам. Судя по описаниям пострадавших, чужую нагрузку прогоняют через сторонние сервисы, и без детализации расхода владелец аккаунта не отличит работу собственных агентов от чужой. Для консультантов, чей бизнес целиком построен на агентах, блокировка аккаунта останавливает все проекты сразу.

Anthropic приостановила аккаунт и вернула 44,49 фунта из подписки за 200 долларов в месяц

На следующий день Де Свардт отключил всё, что было подключено к Claude, и не работал с сервисом, однако расход снова вырос. По его описанию, запланированные задачи Cowork были остановлены или завершены, облачное выполнение Dispatch отключено, активной локальной задачи Claude Code не было.

Он обратился в Anthropic за детализацией расхода. Списка ему не предоставили, но аномалию признали: платный аккаунт приостановили, все сессии и серверные токены Claude Code обнулили, а за оставшийся срок подписки за 200 долларов в месяц вернули частичный платёж в 44,49 фунта.

Приостановка ударила по его работе: Де Свардт помогает малому и среднему бизнесу настраивать агентов, например для автоматической загрузки данных о заказах из писем в бухгалтерскую программу, и сам как единоличный предприниматель гоняет через ИИ ежедневную административную работу, дизайн сайтов и код. Аккаунт восстановили примерно через две недели.

Скомпрометированный ключ сессии использовали для выпуска OAuth-токенов Claude Code

По итогам разбирательства Anthropic сообщила, что виновником стал скомпрометированный ключ сессии, через который выпускались неавторизованные OAuth-токены Claude Code. По словам Де Свардта, в компании сказали, что аккаунт, судя по всему, использовал сторонний сервис сомнительного вида, обрабатывавший активность других людей, но как именно он получил доступ, установить не смогли.

Anthropic, по его пересказу, считает свидетельства равно совместимыми с двумя версиями: учётные данные или данные сессии забрали без его ведома, либо аккаунт был подключён к внешнему сервису. Сам Де Свардт утверждает, что следов компрометации своего компьютера не нашёл и до сих пор не понимает, как был получен доступ.

Свою историю он опубликовал на Reddit, под записью набралось 80 комментариев с похожими случаями. Один пользователь написал, что его тариф автоматически повысили без согласия, списали деньги с карты, а расход подскочил с 0% до 100%; у другого лимит выгорал полностью три дня подряд, после чего он завёл отчёт на GitHub.

Anthropic писала пострадавшим, что сессии Claude крадёт инфостилер

Двое участников обсуждения на GitHub выложили письма, которыми Anthropic сама предупредила их о краже токенов. В них компания сообщала, что ей стало известно о злоумышленнике, который распространённым инфостилером крадёт с компьютеров пользователей сессии входа в Claude и через них расходует чужие лимиты. Инфостилеры устанавливаются на машину и собирают сохранённые пароли, данные сессий и учётные данные для входа.

Обнаружив подозрительную активность, Anthropic завершала сессии таких пользователей, отзывала выданные авторизации, часть денег возвращала и предупреждала о возможном заражении. В компании отмечали, что вредонос попал на машины не через Claude: подобное подхватывают при загрузке заражённого софта или клике по вредоносной рекламе. Такого письма Де Свардт не получал.

Детализации расхода по-прежнему нет

По словам Де Свардта, у пользователей Claude до сих пор нет инструментов, которые показали бы, что именно съедает токены, и защититься от такого, по его мнению, невозможно. Подписку он отменил и перешёл на Cursor, где доступны несколько моделей, включая более дешёвые открытые; по его оценке, они работают не хуже. Возвращаться он не намерен, пока проблема не будет решена.