Grant De Swardt nije toga dana radio ništa, a njegov je Claude paket u međuvremenu trošio tuđu potrošnju.

Neovisni AI savjetnik iz Engleske primijetio je 4. kolovoza da mu potrošnja unutar Claude Max 20x paketa raste iako nije pokrenuo nijedan zadatak. Sutradan je isključio sve što je imao spojeno na Claude i cijeli dan nije ništa radio. Potrošnja je opet porasla. Kako prenosi TechCrunch, Anthropic je poslije utvrdio da je ukradeni ključ sesije poslužio za izradu neovlaštenih OAuth tokena za Claude Code, čime je netko drugi trošio njegovu pretplatu bez njegova znanja. Račun mu je bio suspendiran, sve sesije poništene, a dobio je djelomičan povrat novca. Nakon dva tjedna račun je vraćen u pogon, no otkazao je pretplatu ionako, dijelom i zato što mu Anthropic nikada nije dao raščlambu toga što je zapravo potrošilo njegove tokene.

Slučaj De Swardta pokazao se tek jednim dijelom šire kampanje. Dana ranije o istom su obrascu izvijestili The Register, Malwarebytes, Help Net Security i BleepingComputer: korisnicima se potrošnja punila i praznila dok ništa nisu radili. Anthropic je kampanju povezao s poznatim obiteljima zlonamjernog softvera za krađu podataka, takozvanih infostealera, poimence Vidar, LummaC2, StealC, RedLine i Acreed na Windowsu, te Atomic Stealer na manjem broju Mac računala. Nijedan od tih alata nije izrađen posebno za Claude, riječ je o istim programima koji godinama već kradu bankovne i igraće prijave.

Ukradena sesija vrijedi više od ukradene lozinke

Ovaj je slučaj lako pročitati kao problem jednog dobavljača. Vazdar smatra da to nije pravi kut gledanja. Riječ je o tome što se dogodi kad prijava u sustav prestane biti obična lozinka i postane trajno odobrenje za računalnu snagu, alate i potrošnju.

Mehanizam je vrijedan objašnjenja. Infostealeri ne razbijaju lozinke i ne zaobilaze dvofaktorsku provjeru izravno, nego prepisuju kolačić sesije koji preglednik već čuva nakon prijave, dakle podatak koji poslužitelju dokazuje da je netko prošao obje provjere. Napadač koji taj kolačić ponovno upotrijebi tretira se kao vlasnik računa, bez upita za lozinku i bez upozorenja o novom uređaju, jer sa stajališta poslužitelja nitko se ponovno nije ni prijavljivao. Zato je jedan korisnik u dvanaest minuta potrošio 49 posto mjesečne kvote na Max paketu, bez ijednog vidljivog znaka upozorenja.

Ukradena bankovna lozinka donosi upozorenje o prijevari i novu karticu. Ukradeni token za AI alat napadaču daje radnog agenta koji može izvršavati kod, pozivati sučelja i raditi satima bez nadzora, sve na tuđi račun. Nova nije zlonamjerna vrata, nego vrijednost koja sada stoji iza tog kolačića. Gospodarstvo napadača se promijenilo. Nekad je za štetu trebao vješt čovjek, danas je često dovoljna ukradena sesija i tuđi agent koji obavi posao.

Praznina u praćenju potrošnje

Anthropic zaslužuje priznanje za dio odgovora. Kad je obrazac prepoznao, korisnike je odjavio, poništio ukradene sesije, uklonio spremljenu metodu plaćanja kako bi se spriječila kupnja nadogradnji tuđim novcem, te vratio dio nezakonito potrošenog iznosa. Poruke upozorenja bile su izravne, jer su korisnicima rekle da je njihovo računalo vjerojatno zaraženo i da zlonamjerni softver nema veze s korištenjem Claudea.

Ono što najviše smeta u izvještaju TechCruncha nije sama krađa, nego ono što slijedi za korisnike koje je otkrivanje promašilo. De Swardt takvu poruku nikada nije dobio. Zatražio je raščlambu potrošnje po zadatku, a tvrtka mu ju nije mogla dati. Ukupna potrošnja se prati, no raščlamba po sesiji ili zadatku, čini se, ne postoji u obliku koji podrška može predati korisniku na uvid.

To je stvarna praznina i nije vezana samo uz jednog dobavljača. Većina tvrtki koje danas uvode agentske AI alate ima odličnu evidenciju za klasičan identitetski sustav, a gotovo nikakvu za potrošnju AI alata. Tko se prijavio na VPN u tri ujutro, to zna svaka ozbiljna tvrtka. Koja je sesija agenta potrošila proračun prošli utorak i na što, to najčešće nitko ne zna reći, a bez tog odgovora ne može se ni brzo prepoznati odstupanje ni dokazati klijentu što je agent zapravo napravio.

Vjerodajnice za AI alate kao povlašteni pristup

Praktičan odgovor nije kompliciran, ali zahtijeva da se sesije za AI alate počnu tretirati jednako ozbiljno kao administratorske vjerodajnice, a ne kao pogodnost dodana uz pretplatu.

To znači redovito obnavljanje i suženje ovlasti tokena kao kod svake povlaštene vjerodajnice, umjesto ostavljanja dugotrajnih sesija u profilu preglednika. Znači i primjenu zaštite krajnjih točaka koja stvarno prepoznaje infostealere, jer zlonamjerni softver nema veze s AI alatom, nego s higijenom uređaja na kojem sesija leži. Znači tražiti od AI dobavljača, već sada, koju raščlambu potrošnje mogu dati ako nešto izgleda sumnjivo. I znači pratiti obrazac potrošnje jednako kao neuobičajenu geografiju prijave, jer nagli skok potrošnje tokena je za doba AI alata ono što je za VPN prijava iz zemlje u kojoj tvrtka nikad nije radila.

Riječ je o istoj disciplini upravljanja identitetom i pristupom koja postoji dvadesetak godina, samo primijenjenoj na novu vrstu vjerodajnice koja uz sebe nosi i račun za potrošnju. Riskoria takve provjere uvodi kroz uslugu upravljanja incidentima, gdje se agentski alati promatraju kao dio identitetske infrastrukture, ne kao dodatak izvan nje.

Što to znači za Vašu tvrtku

Savjetnik iz ove priče napustio je Claude prvenstveno zato što mu poslije incidenta nitko nije dao jasan odgovor, a ne zato što je bio žrtva napada. Ne radi se o tome koji je AI dobavljač najsigurniji, nego o tome bi li Vaša tvrtka uopće primijetila da netko drugi trenutno koristi vjerodajnice jednog agenta, i biste li klijentu ili nadzornom tijelu mogli objasniti što se točno dogodilo.

Agentski AI alati postaju dio temeljne infrastrukture tvrtki brže nego što identitetski nadzor oko njih sazrijeva. Upravo je taj razmak mjesto odakle će stizati sljedeći val incidenata, a područje koje ga izravno pokriva jest i Zakon o kibernetičkoj sigurnosti, s obvezom prijave upravo takvih neovlaštenih pristupa.

Izvor: TechCrunch.