Sklep sprzedawał tani dostęp do Claude. Nie był ani tani, ani to nie był Claude

Grupa posługująca się nickiem kl1zy prowadziła sklep z tanim dostępem do Claude. Dostęp nie był tani i nie był to Claude. Klient dostawał w pakiecie program, który zbierał z jego komputera wszystkie zapisane hasła i aktywne sesje, także te niemające z AI nic wspólnego. Gdy ofiara orientowała się i zmieniała hasło, nowa sesja szła tą samą drogą co poprzednia.

To jeden z jedenastu przypadków w raporcie, który Anthropic wydał 10 września o nadużyciach własnego narzędzia. Dokument jest dla producenta niewygodny i dlatego wart czytania. Ale żeby go czytać uczciwie, trzeba wiedzieć dwie rzeczy: co dokładnie policzył i czego w nim nie ma.

Nazywa się „Detecting and countering misuse of AI" i jest czwartym takim raportem; poprzednie wyszły w marcu, sierpniu i listopadzie 2025. Obejmuje okres od grudnia 2025 do sierpnia 2026 i dzieli się na siedem obszarów: operacje cybernetyczne, operacje wpływu, inwigilację, oszustwa, nadużycia biologiczne, broń konwencjonalną i nielegalne kopiowanie umiejętności modelu. Opisane nadużycia dotyczą modeli Haiku, Sonnet i Opus.

Producent dwukrotnie zaznacza, że napastnicy nie złamali jego systemów, tylko używali danych wykradzionych u klientów. To jest stanowisko firmy o samej sobie i tak trzeba je czytać, ale akurat ono zgadza się z resztą opisu: wszystkie wejścia, o których mowa, prowadzą przez cudze klucze i cudze sesje.

Nie z włamań do producenta. Z rzeczy, które ludzie publikują sami. Raport wymienia cztery miejsca: repozytoria kodu na GitHubie, pliki instalacyjne aplikacji na Androida, kontenery Docker oraz strony i czatboty, w których klucz został zaszyty na stałe. Jedna grupa uruchomiła dziesięć maszyn w chmurze Amazona i pobrała nimi 1,8 miliona aplikacji z Androida, po czym przeczesała je narzędziem szukającym haseł i kluczy zostawionych w kodzie.

Warto się zatrzymać przy proporcji. Przeczesanie prawie dwóch milionów aplikacji w poszukiwaniu cudzych kluczy wymagało dziesięciu wynajętych maszyn. To jest koszt rzędu rachunku za telefon w małej firmie. Skala przemysłowa przestała wymagać przemysłowych pieniędzy i to jest zdanie, które w tym raporcie powtarza się w różnych postaciach najczęściej.

Producent nazywa trzy korzyści naraz i to jest najlepiej wytłumaczony fragment całego dokumentu. Pierwsza: klucz jest łupem, bo da się go odsprzedać. Druga: klucz to moc obliczeniowa, więc dalszy atak idzie na rachunek okradzionego. Trzecia, najgorsza: ruch wygląda na działanie prawowitego właściciela, więc nikt nie zapala alarmu.

• Klucz do API traktuj jak hasło do konta firmowego, nie jak ustawienie w programie.
• Nie zostawiaj klucza w kodzie strony, w aplikacji ani w pliku wysyłanym komukolwiek.
• Dostęp do modeli kupuj wyłącznie u producenta albo u oficjalnego pośrednika wymienionego na jego stronie.
• Ustaw limit wydatków na koncie. Przy kradzieży to jedyna rzecz, która działa sama.

Przy poprzednim raporcie tej firmy, z listopada 2025, badacze bezpieczeństwa zarzucali producentowi, że opisuje włamania, ale nie udostępnia wskaźników, po których dałoby się je u siebie wykryć. Ten zarzut przy wrześniowym raporcie jest już nieaktualny i dało się to sprawdzić, bo plik jest do pobrania obok dokumentu.

Po policzeniu wychodzi co innego. Jest w nim 208 pozycji: domeny, adresy, identyfikatory botów w komunikatorze i skróty plików, przypisane do jedenastu grup. Najwięcej, 55 pozycji, dotyczy grupy oznaczonej GTG-20006, którą producent wiąże z rosyjskim szpiegostwem. Przeszukaliśmy też cały tekst raportu i cały plik pod kątem Polski.

Brak Polski nie znaczy, że nic nas nie dotyczy. Znaczy tyle, że producent nie opisał ani jednego polskiego poszkodowanego, więc każde zdanie w rodzaju „atak dotknął polskie firmy" wymaga innego źródła niż ten raport. Nie znaleźliśmy też żadnego ostrzeżenia polskiego zespołu reagowania odnoszącego się do tego dokumentu.

Nie ma mianownika. Producent podaje, ile przypadków opisał, ale nigdzie nie pisze, ile prób było łącznie, jaki to procent ruchu ani ilu nadużyć nie wykrył. Bez tego nie da się ocenić, czy to jest czubek góry lodowej, czy cała góra.

Nie ma nazw poszkodowanych. Raport konsekwentnie pisze „dostawca oprogramowania", „linia lotnicza", „sieć handlowa we Francji", więc nie da się zestawić tych opisów z wyciekami, o których wiadomo skądinąd. Nie ma wreszcie niezależnego audytu: wszystkie liczby pochodzą z własnej telemetrii firmy, są segregowane przez jej analityków i publikowane w jej harmonogramie. Jedno niezależne potwierdzenie techniki przejmowania hotelowego Wi-Fi opublikował Microsoft, ale w tym samym materiale dziękuje Anthropic za współpracę przy śledztwie, więc nie jest to źródło w pełni rozłączne.

Warto też uczciwie powiedzieć, czego raport NIE twierdzi. Nie twierdzi, że ataki były w pełni samodzielne — wprost pisze, że człowiek dalej wybierał cele i przeglądał łup. I nie opisuje udanej kradzieży niewydanego modelu: jedna z grup postawiła to sobie za cel i celu nie osiągnęła.

1. 1

   Sprawdź, skąd w firmie jest dostęp do AI

   Jedno pytanie do zespołu: czy ktokolwiek kupił subskrypcję albo klucz poza stroną producenta. Tańszy dostęp od pośrednika z ogłoszenia to dokładnie ten scenariusz z początku tekstu.

2. 2

   Poszukaj kluczy tam, gdzie nie powinny być

   Repozytoria kodu, pliki wysyłane podwykonawcom, kod strony, konfiguracje aplikacji. Klucz zaczyna się zwykle od rozpoznawalnego przedrostka, więc wystarczy wyszukać go tekstowo.

3. 3

   Włącz limit wydatków i przegląd sesji

   Limit na koncie u producenta zatrzyma rachunek, gdy klucz wycieknie. Przegląd aktywnych sesji w poczcie i w chmurze pokaże urządzenia, których nie znacie. Obie rzeczy zajmują kwadrans.

Zdanie, które z tego raportu zostaje na dłużej, producent zapisał sam: wyrafinowany atak nie wymaga już wyrafinowanego napastnika. Cała reszta dokumentu jest ilustracją tej jednej myśli, a jedenaście opisanych grup różni się głównie tym, jak duże mieli ambicje, a nie tym, jak dużo umieli.