AI-nyhederHackere tømmer Claude-konti for dyre tokens
En britisk konsulent opdagede, at ubudne gæster brugte hans Claude Max-abonnement. Andre brugere fortæller samme historie: Regningen løber, uden de selv er aktive.
Mysteriet
Den 4. august lagde Grant de Swardt fra Storbritannien mærke til, at hans Claude Max 20x-konto brugte tokens, selvom han ikke arbejdede. Selv da han slukkede alt, fortsatte forbruget med at stige fra 45 til 55 procent i et kontrolleret tidsrum. Han anede ikke, hvad der tømte hans kvote, og kontaktede derfor firmaet bag, Anthropic.
Sådan opdagede han det
Anthropic kunne ikke give en specificeret oversigt, men erkendte, at noget var galt. De suspenderede hans konto, ugyldiggjorde hans sessioner og gav ham en delvis refusion på £44,49 for den resterende tid på hans 200 dollar dyre månedsabonnement. Undersøgelsen viste, at en stjålet session-nøgle var brugt til at lave uautoriserede adgangstokens.
Flere er ramt
Da de Swardt delte sin oplevelse på Reddit, strømmede det ind med svar fra andre. Én fortalte, at kontoen automatisk blev opgraderet, og kortet trukket, uden at personen selv rørte noget. En anden så forbruget gå fra 0 til 49 procent på 12 minutter efter blot få prompter og en websøgning. Flere postede skræmmende eksempler på GitHub.
Anthropics svar
Anthropic sendte advarselsmails til nogle berørte brugere, hvor de forklarede, at en 'bad actor' brugte infostealer-malware til at stjæle login-sessioner fra computere. Den slags malware kan hentes fra inficerede downloads eller annoncer. Firmaet slog dog fast, at malwaren ikke kom fra selve Claude-programmet, og afviste at uddybe, hvordan brugere kan opdage misbrug.
Konsekvensen
De Swardt fik sin konto tilbage efter to uger, men oplevelsen fik ham til at opsige abonnementet. Han er nu skiftet til Cursor, som kan bruge flere forskellige AI-modeller, inklusive billigere open source-alternativer. 'Det er ikke meget anderledes eller bedre,' siger han om rivalerne. Han mener, at Anthropic stadig mangler værktøjer, så brugerne selv kan se, hvad der æder deres tokens.
Uden beskyttelse
Problemet er, at Anthropics support kun sporer totalt forbrug og ikke giver en specificeret liste. Derfor kan tyveriet fortsætte i måneder, før det opdages. De Swardt er bekymret for, at brugerne ikke kan beskytte sig selv. 'Jeg tror ikke, der er nogen måde, de her mennesker kan beskytte sig på,' siger han til TechCrunch.
- En hacker brugte en stjålet session-nøgle til at lave uautoriserede adgangstokens på offerets konto.
- Offeret, Grant de Swardt, er selvstændig AI-konsulent og hjalp andre med at opbygge automatiserede agenter.
- Anthropic opdagede ikke selv problemet og kunne ikke give en specificeret forbrugsliste.
- En bruger så sit tokenforbrug stige til 49 procent på 12 minutter uden aktiv brug.
- En anden brugers konto blev automatisk opgraderet, og kreditkortet trukket uden samtykke.
- Anthropic advarede nogle ofre via mail om infostealer-malware, der stjæler login-sessioner.
- De Swardt skiftede til Cursor, som understøtter flere forskellige AI-modeller.
Hvis du betaler for et Claude-abonnement, kan en hacker i hemmelighed tømme din kvote i månedsvis, fordi firmaet ikke tilbyder en specificeret oversigt over dit forbrug.
Kilder:
TechCrunch AI →
Genfortalt i egne ord af AI-nyheder.com · Tjek altid originalkilden, før du handler på vigtige oplysninger.