Consommation non autorisée de jetons perturbe l’activité d’un consultant en IA
Le 4 août, Grant de Swardt, consultant en intelligence artificielle indépendant basé dans l’East Sussex au Royaume-Uni, a constaté que son compte Claude Max 20x utilisait des jetons sans son intervention, ce qui a soulevé des inquiétudes quant à un accès non autorisé.
Le lendemain, après avoir désactivé tous les services connectés et mis en pause ses tâches, il a observé une augmentation de la consommation des jetons, passant de 45 % à 55 %. « Dans l’intervalle le plus contrôlé, cela a augmenté de 45 % à 55 % alors que je ne réalisais aucun travail », a déclaré de Swardt. Il a demandé un rapport de consommation détaillé à Anthropic, l’entreprise derrière Claude, qui a reconnu l’anomalie sans fournir d’informations précises. Anthropic a ensuite suspendu son compte, invalidé toutes les sessions actives et remboursé 44,49 £ pour la durée restante de son abonnement.
Cette suspension a considérablement perturbé ses activités. De Swardt aide principalement les petites et moyennes entreprises à automatiser leurs tâches, s’appuyant fortement sur l’IA pour diverses fonctions. « Tout fonctionne aujourd’hui grâce à l’IA », a-t-il souligné.
Lors de l’enquête, Anthropic a identifié qu’une clé de session compromise avait été utilisée pour créer des jetons OAuth non autorisés. L’entreprise a informé de Swardt que des services tiers non autorisés semblaient avoir accédé à son compte, bien qu’elle n’ait pas pu déterminer comment cette violation s’était produite. « Ils disent que les preuves sont cohérentes avec le fait que des informations d’identification ou des données de session aient été prises à mon insu ou que le compte ait été lié à un service externe », a-t-il expliqué.
Ce siphonnement caché de jetons aurait pu durer plusieurs mois, car le système d’assistance suivait la consommation globale plutôt que des enregistrements de consommation détaillés. L’expérience de de Swardt a résonné avec d’autres utilisateurs signalant des problèmes similaires, partageant leurs récits sur Reddit et divers forums. Certains ont signalé des mises à niveau de jetons inattendues et des pics d’utilisation sans leur consentement ou activité.
Un utilisateur a noté une rapide augmentation de la consommation de jetons, malgré une interaction minimale ; un autre a rapporté une utilisation culminant à 49 % après seulement douze minutes d’activité. Les plaintes ont également circulé sur GitHub, où des utilisateurs ont créé des rapports concernant ces tendances alarmantes. Plusieurs ont reçu des notifications d’Anthropic, qui a proactivement identifié des sessions compromises et averti les utilisateurs d’un potentiel malware sur leurs appareils.
Anthropic a déclaré : « Nous avons récemment pris conscience d’un acteur malveillant utilisant un malware classique de vol d’informations pour dérober les sessions de connexion à Claude des ordinateurs des gens. » Ces types de logiciels malveillants sont connus pour extraire des informations sensibles, y compris des mots de passe et des données de session. La réponse d’Anthropic a inclus la déconnexion des utilisateurs et l’émission de remboursements, mais ils ont précisé que le malware n’était pas lié à l’utilisation de Claude directement. Il peut être acquis par divers canaux en ligne, notamment des téléchargements malveillants ou des publicités trompeuses.
Cependant, de Swardt a noté qu’il n’avait reçu aucun avertissement de la part d’Anthropic et n’a trouvé aucune preuve d’un ordinateur compromis, soulevant des questions sur les mesures de sécurité. Son compte Claude a été rétabli après deux semaines, mais les difficultés d’obtention de support et le manque de suivi détaillé de l’utilisation l’ont conduit à annuler son abonnement. Il a opté pour Cursor, qui propose plusieurs modèles, y compris des alternatives open source. « Ce n’est pas vraiment différent ou meilleur », a-t-il conclu, soulignant qu’il est peu probable qu’il revienne sans améliorations en matière de sécurité et de transparence. Anthropic a décliné de commenter les lignes directrices à l’usage des utilisateurs concernant l’identification des abus.
