Anthropic warnte Claude-Nutzer vor einer Aktivität, bei der gespeicherte Anmeldesitzungen auf Computern übernommen und anschließend verwendet werden, um nicht autorisierte OAuth-Token zu erstellen, auf Konten zuzugreifen und Claude- sowie Claude-Code-Kontingente zu verbrauchen. Die Warnung erfolgte, nachdem Nutzer einen erhöhten Verbrauch gemeldet hatten, obwohl sie den Dienst nicht ausgeführt hatten.
Ein Fall begann am 4. August, als Grant De Swardt, ein unabhängiger Berater für künstliche Intelligenz in East Sussex im Vereinigten Königreich, bemerkte, dass sein Claude-Max-20x-Konto Tokens verbrauchte, obwohl er an diesem Tag nicht gearbeitet hatte. Am folgenden Tag stoppte er alles, was mit dem Konto verbunden war, beendete außerdem Cowork-Aufgaben und deaktivierte die Cloud-Ausführung. Dennoch verzeichnete er einen Anstieg der Nutzung von 45 % auf 55 %, obwohl er über Claude Code keinen aktiven lokalen Auftrag ausgeführt hatte.
De Swardt wandte sich an Anthropic und bat um eine detaillierte Verbrauchsaufstellung, doch das Unternehmen stellte ihm keine detaillierte Liste zur Verfügung. Stattdessen sperrte es das kostenpflichtige Konto, widerrief alle vorhandenen Sitzungen und Claude-Code-Token auf dem Server und erstattete ihm 44,49 britische Pfund für die verbleibende Laufzeit eines Abonnements im Wert von 200 US-Dollar pro Monat. Das Unternehmen teilte ihm mit, das Konto scheine von einem nicht autorisierten externen Dienst genutzt worden zu sein, um Aktivitäten für andere Personen auszuführen. Es habe jedoch nicht feststellen können, wie der Zugriff erlangt worden sei.
Wie kam es zum Diebstahl?
Anthropic erklärte später, dass ein kompromittierter Claude-Sitzungsschlüssel verwendet worden sei, um nicht autorisierte Claude-Code-OAuth-Token auszustellen. In Warnnachrichten, die das Unternehmen an andere Nutzer schickte, erklärte es, ein Angreifer nutze verbreitete Informationsdiebstahlsoftware, um Anmeldesitzungen von den Geräten der Nutzer zu kopieren und sie anschließend für den Zugriff auf Konten und den Verbrauch von Kontingenten auszunutzen.
Informationsdiebstahlsoftware stiehlt üblicherweise gespeicherte Passwörter, Sitzungsdaten und Zugangsdaten. Anthropic erklärte, die Schadsoftware stamme nicht aus der Nutzung von Claude selbst, sondern könne über den Download eines infizierten Programms oder durch das Anklicken einer schädlichen Anzeige auf das Gerät gelangen. Bei der Erkennung verdächtiger Aktivitäten meldete das Unternehmen einige Nutzer ab, widerrief bestehende Autorisierungen, erstattete einigen von ihnen Geld und warnte sie vor einer möglichen Infektion ihrer Geräte.
Warum ist diese Nachricht wichtig?
Die veröffentlichten Fälle zeigen ein Problem, das über den Diebstahl eines Passworts hinausgeht: Eine gültige Sitzung kann einem Angreifer die Möglichkeit geben, das Kontingent zu verbrauchen, als wäre er der Nutzer selbst. De Swardt veröffentlichte seine Erfahrung auf Reddit. Dort berichteten andere Nutzer, dass die Nutzung innerhalb von 12 Minuten von null auf 49 % gestiegen sei oder dass drei Tage lang täglich das maximale Kontingent verbraucht worden sei, ohne den Dienst zu nutzen. Ein Nutzer erklärte außerdem, sein Konto sei automatisch hochgestuft und seine Karte belastet worden, wie TechCrunch berichtete.
In der Praxis erschwert das Fehlen eines detaillierten Protokolls, aus dem hervorgeht, was wann und über welche Sitzung an Tokens verbraucht wurde, die Erkennung eines Diebstahls, insbesondere bei Abonnements mit großen Kontingenten. Dieser Punkt ist in der vom Ausgangsbericht wiedergegebenen Erfahrung belegt, stellt jedoch keinen Beweis dafür dar, dass jeder unerklärliche Anstieg der Nutzung durch Schadsoftware verursacht wird.
Was ist weiterhin ungeklärt?
De Swardt erklärte, er habe keine Beweise für einen Einbruch in sein Gerät gefunden und keine Erklärung erhalten, aus der hervorgehe, wie die Angreifer auf sein Konto zugreifen konnten. Anthropic stellte sein Konto nach etwa zwei Wochen wieder her. Er kündigte jedoch sein Abonnement und wechselte zu Cursor, wobei er auf dessen Unterstützung mehrerer Modelle hinwies. Als TechCrunch Anthropic um Hinweise bat, die Nutzern helfen könnten, Missbrauch festzustellen, lehnte das Unternehmen eine Stellungnahme ab. Daher bleiben die Methode zur Überprüfung des Verbrauchs, der Umfang der betroffenen Fälle und die Möglichkeiten zur Verhinderung einer Wiederholung dieser Art von Ausnutzung offene Fragen.