Bei Nutzern kostenpflichtiger Claude-Tarife schwinden Tokens, obwohl sie gerade überhaupt nicht mit dem Modell arbeiten. Dahinter steckt gewöhnliche Malware, die auf Computern aktive Anmeldedaten für das Claude-System sammelt. Über diese Anmeldungen führen Angreifer dann ihre eigenen Aufgaben auf Kosten fremder Abonnements aus. Das Unternehmen Anthropic verschickt bereits Warn-E-Mails an betroffene Nutzer, setzt ihre Anmeldungen zurück und erstattet einen Teil des Geldes. Das Problem besteht darin, dass die Opfer nicht nachvollziehen können, wohin ihre Tokens verschwinden.
Morgens nicht gearbeitet, und trotzdem sank das Limit
Am 4. August bemerkte Grant de Swardt, ein selbstständiger Berater für künstliche Intelligenz aus East Sussex in England, etwas Merkwürdiges bei seinem Claude-Max-20x-Konto. An diesem Tag arbeitete er nicht, dennoch stieg sein Token-Verbrauch. Am nächsten Tag trennte er alle verbundenen Geräte vom Claude-Dienst und arbeitete erneut nicht damit. Der Verbrauch stieg weiter. Der Verbrauch sei immer weiter gestiegen, während er nichts getan habe, schilderte de Swardt gegenüber TechCrunch. Geplante Aufgaben auf der Cowork-Plattform seien ihm zufolge pausiert oder abgeschlossen gewesen, die Ausführung in der Cloud sei deaktiviert gewesen und es sei keine lokale Claude-Code-Aufgabe gelaufen.
Da er keine Ahnung hatte, was sein Limit aufbrauchte, wandte er sich an Anthropic und bat um eine detaillierte Verbrauchsübersicht. Er erhielt sie nicht, doch das Unternehmen räumte ein, dass etwas nicht stimmte. Es sperrte sein kostenpflichtiges Konto, machte sämtliche Anmeldungen und Server-Tokens für Claude Code ungültig und erstattete ihm knapp fünfundvierzig Pfund für den ungenutzten Teil des Abonnements, das zweihundert Dollar monatlich kostet. Die Sperrung beeinträchtigte sein Geschäft. Er verdient seinen Lebensunterhalt damit, Agenten für kleine und mittlere Unternehmen einzurichten, etwa zum automatischen Übertragen von Bestelldaten aus E-Mails in Buchhaltungssoftware. Als Selbstständiger nutzte er Agenten auch für alles andere, etwa für die laufende Verwaltung, die Erstellung von Websites oder das Programmieren. Sein gesamter Arbeitsalltag läuft über künstliche Intelligenz.
Wie der Schlüsseldiebstahl funktioniert
Nach der Untersuchung teilte Anthropic de Swardt mit, was das Unternehmen herausgefunden hatte. Jemand hatte sich Zugriff auf den Anmeldeschlüssel seines Kontos verschafft, begonnen, ihn wie den eigenen zu verwenden, und dadurch de Swardts Tokens aufgebraucht. Nach Angaben des Unternehmens sah es so aus, als würde das Konto von einem verdächtigen Drittanbieterdienst genutzt, der darüber die Aktivitäten anderer Personen abwickelte. Wie die Angreifer den Zugriff erlangten, ließ sich jedoch nicht feststellen. Die Spuren deuteten Anthropic zufolge entweder darauf hin, dass jemand die Anmeldedaten ohne Wissen des Besitzers gestohlen hatte, oder darauf, dass das Konto mit einem fremden Dienst verknüpft worden war.
Technisch handelt es sich um ein Verfahren, das sowohl das Passwort als auch die Zwei-Faktor-Authentifizierung umgeht. Die Malware sucht nicht nach Anmeldedaten, sondern nach sogenannten Session-Cookies. Dabei handelt es sich um einen Eintrag im Browser, durch den man auch nach dem Schließen des Fensters angemeldet bleibt. Aus einem solchen Eintrag lässt der Angreifer dann weitere Zugriffstokens generieren, was wie eine anhand des gestohlenen Originals angefertigte Schlüsselkopie funktioniert. Der Kundendienst überwacht den Gesamtverbrauch, stellt jedoch selbst auf Anfrage keine Aufschlüsselung der einzelnen Posten bereit. Ein solcher Diebstahl kann daher monatelang andauern, bevor ihn jemand bemerkt.
De Swardt schilderte seine Erfahrung auf der Plattform Reddit, und nach achtzig Kommentaren war klar, dass er nicht allein war. Ein Nutzer behauptete, sein Konto sei ohne seine Zustimmung auf einen höheren Tarif umgestellt, seine Karte belastet und der Verbrauch automatisch von null auf hundert Prozent erhöht worden, ohne dass er selbst irgendetwas mit dem Modell gemacht habe. Ein anderer Nutzer beobachtete, wie sein Limit innerhalb von zwölf Minuten von null auf 49 Prozent stieg, obwohl er lediglich einige Anfragen und eine Websuche eingegeben hatte. Ein weiterer Abonnent berichtete, sein Konto habe an drei aufeinanderfolgenden Tagen das gesamte Tageslimit aufgebraucht, obwohl er es überhaupt nicht genutzt habe, und erstellte zu diesem Problem einen Bericht auf GitHub. Auch dort meldeten sich unter seinem Beitrag Nutzer mit ähnlichen Erfahrungen.
Stellungnahme von Anthropic
Zwei Nutzer veröffentlichten E-Mails, in denen Anthropic sie vor den verschwindenden Tokens warnte. Darin hieß es, das Unternehmen habe kürzlich festgestellt, dass gewöhnliche Infostealer-Malware dazu missbraucht werde, Claude-Anmeldedaten von den Computern der Nutzer zu stehlen. Über diese Anmeldungen verschafften sich die Angreifer dann Zugriff auf die Konten und verbrauchten deren Limits. Infostealer sind Schadprogramme, die sich auf einem Computer installieren und dort gespeicherte Passwörter, Anmeldedaten und Zugangsdaten auslesen.
Wenn das Unternehmen verdächtige Aktivitäten feststellte, meldete es die Nutzer ab, machte erteilte Berechtigungen ungültig, erstattete einigen von ihnen Geld und wies sie auf die Malware auf ihrem Computer hin. Bei den betroffenen Konten entfernte es außerdem die gespeicherten Zahlungsmethoden, damit niemand darüber Einkäufe tätigen konnte. Zugleich betonte das Unternehmen, dass die Malware nicht über den Claude-Dienst selbst eingedrungen sei. Schadcode kann an vielen Stellen heruntergeladen werden, von der Installation eines infizierten Programms bis zum Anklicken einer betrügerischen Anzeige. Sicherheitsexperten empfehlen Abonnenten, ihren Computer mit einem auf Infostealer ausgerichteten Antivirenprogramm zu überprüfen, die aktiven Anmeldungen ihres Kontos durchzusehen und den eigenen Verbrauch regelmäßig zu kontrollieren.
De Swardt erhielt keine solche Warnung. Er besteht darauf, auf seinem Computer keinerlei Infektion gefunden zu haben, und kann bis heute nicht feststellen, auf welchem Weg die Angreifer eingedrungen sind. Anthropic stellte sein Konto nach etwa zwei Wochen wieder her. Die langsame Bearbeitung und die fehlende Verbrauchsaufschlüsselung schreckten ihn jedoch so sehr vom Claude-Dienst ab, dass er sein Abonnement kündigte und zum Tool Cursor wechselte, bei dem er zwischen mehreren Modellen wählen kann, darunter auch günstigere offene Varianten. Seinen Angaben zufolge funktionieren diese Modelle für ihn genauso gut. Haas fügt hinzu, er sehe keinen Grund, zu Anthropic zurückzukehren, solange das Unternehmen das Problem nicht gelöst habe. Ein Tool, mit dem man überprüfen könne, wodurch die eigenen Tokens verbraucht wurden, fehle ihm zufolge bis heute, sodass Nutzer keine Möglichkeit hätten, sich wirksam zu schützen. Auf die Frage, wie Nutzer einen Missbrauch erkennen sollen, lehnte Anthropic eine Antwort ab.
