Piratas digitales roban tokens de Claude

On August 4, Grant de Swardt, un consultor independiente de inteligencia artificial en East Sussex, Reino Unido, se percató de algo inusual con su cuenta de Claude Max 20x. A pesar de no haber trabajado ese día, el uso de sus tokens estaba aumentando.

Al día siguiente, desactivó todo lo que tenía vinculado a Claude y dejó de trabajar con él. Sin embargo, el consumo de tokens continuó incrementándose, subiendo del 45% al 55% en un intervalo controlado, mientras no realizó ninguna tarea activa. De Swardt solicitó a Anthropic un desglose detallado del uso de tokens, pero la compañía no proporcionó esta información, aunque reconoció que algo no estaba bien. Como resultado, suspendieron su cuenta paga, invalidaron todas sus sesiones y emitieron un reembolso parcial.

La suspensión complicó gravemente su negocio, que se basa en ayudar a pequeñas y medianas empresas a implementar agentes para automatizar tareas. De Swardt confiesa que ha integrado la inteligencia artificial en todas las facetas de su trabajo diario.

Tras investigar el problema, Anthropic le informó que una clave de sesión comprometida había sido utilizada para emitir tokens OAuth no autorizados. Aunque se identificó que un tercero no autorizado había accedido a su cuenta, la compañía no pudo determinar cómo se había obtenido acceso. Así, un hacker pudo acceder a la cuenta de De Swardt y sustraer sus tokens sin ser detectado.

De Swardt compartió su experiencia en Reddit y descubrió que no estaba solo en esta situación. Otros usuarios también reportaron incidentes similares, donde sus cuentas consumieron tokens sin su consentimiento. Uno de ellos incluso había recibido correos de Anthropic advirtiendo sobre el robo de tokens.

Anthropic luego explicó que un actor malintencionado estaba utilizando malware para sustraer las sesiones de inicio de sesión de los usuarios, acceso que se había producido independientemente del uso del servicio Claude. Este malware puede entrar al dispositivo del usuario a través de diversas fuentes, desde software infectado hasta anuncios dañinos.

A pesar de que su cuenta fue reinstalada al cabo de aproximadamente dos semanas, De Swardt se sintió frustrado por la lentitud del soporte y la falta de transparencia sobre su uso de tokens, lo que le llevó a cancelar su suscripción y optar por otro servicio que le ofrecía más opciones, incluyendo alternativas de código abierto.

En su opinión, otros modelos competidores funcionan de manera similar a Claude, y lamentó la falta de herramientas que permitan a los usuarios identificar qué está consumiendo sus tokens. Anthropic, al ser consultada sobre cómo los usuarios pueden identificar el mal uso, no ofreció comentarios.

La dificultad para entender y protegerse de esta amenaza resalta la necesidad urgente de medidas de seguridad más robustas en los servicios de inteligencia artificial, algo que debe ser urgentemente abordado para proteger la integridad de las cuentas de los usuarios.

Gracias por leer Columna Digital, puedes seguirnos en Facebook, Twitter, Instagram o visitar nuestra página oficial. No olvides comentar sobre este articulo directamente en la parte inferior de esta página, tu comentario es muy importante para nuestra área de redacción y nuestros lectores.