In ihrer am Dienstag veröffentlichten Analyse beschreiben Jeremy Kirk und Mathew Woodyard von Okta, wie Poison Claude sein Modell vermarktet. In den Anzeigen werde offen erklärt, wie die günstigen Tokenpreise zustande kommen: Der Dienst nutze kostenlose Bonusguthaben aus und füge die entsprechenden Konten einem Pool hinzu. Anfragen der Kunden würden dann im Hintergrund an eines dieser Konten weitergeleitet, ohne dass die Nutzer dies sehen. Abgerechnet würden 5 bis 15 Prozent des offiziellen Preises pro Token, abhängig vom Modell.
Technisch läuft das Angebot über eine mit Anthropic kompatible API. Nach der Zahlung in Kryptowährungen erhalten Kunden einen API-Schlüssel und Anweisungen zum Setzen bestimmter Umgebungsvariablen, damit etwa Claude Code statt mit Anthropic direkt mit der Poison-Claude-API kommuniziert. Die Eingaben werden anschließend an Anthropic übermittelt, die Antworten denselben Weg zurück. Okta weist darauf hin, dass ein solcher Gateway-Proxy dem Betreiber vollständige Sicht auf die Prompts gibt, weil diese zur Modellnutzung weitergeleitet werden müssen. Das sei ein Datenschutzrisiko, da der Anbieter Daten versehentlich preisgeben oder verkaufen könnte.
Hinzu kam laut Okta ein Konfigurationsfehler. Dadurch war der API-Endpunkt „api.claudeopus[.]shop/api/status“ öffentlich erreichbar. Eine Abfrage lieferte demnach die Zahl der gesamten und aktiven Nutzer: 881 beziehungsweise 872. Die Fehlkonfiguration sei inzwischen behoben worden.
Die Hauptdomain von Poison Claude, poison-claude.bitsender[.]top, liegt hinter dem Content-Delivery-Netzwerk von Cloudflare, um die ursprüngliche IP-Adresse zu verbergen. Nach einer verantwortungsvollen Meldung habe Cloudflare vor die Website eine Phishing-Warnung geschaltet. Beim API-Domainnamen habe der Anbieter laut Okta jedoch offenbar „es abgelehnt, Maßnahmen zu ergreifen“. Diese Domain nutzt Cloudflare Turnstile als Bot-Schutz.
Okta nennt außerdem einen ähnlichen Dienst aus dem Graumarkt: Ecomagent.in soll schätzungsweise fast 970 Nutzer haben und verbilligten Zugriff auf Anthropic Opus 4.8, Opus 4.6, Sonnet 4.6 sowie OpenAIs GPT Codex 5.5 über einen eigenen API-Endpunkt anbieten.
Die Untersuchung ordnet sich in einen breiteren Markt ein. Laut dem Quellmaterial wächst in China die Nachfrage nach US-amerikanischen großen Sprachmodellen, die entweder ausdrücklich verboten sind – wie ChatGPT – oder wegen der Großen Firewall nicht erreichbar sind. Solche Dienste treten dort als Relay- oder Proxy-Plattformen auf, über die lokale Entwickler auf die Modelle zugreifen können.
Bereits früher in diesem Jahr hatte Anthropic drei chinesische Unternehmen – DeepSeek, Moonshot AI und MiniMax – beschuldigt, „Kampagnen im industriellen Maßstab“ organisiert zu haben, um Fähigkeiten von Claude illegal zu extrahieren und damit eigene Modelle zu verbessern. Reuters berichtete zudem noch in der vergangenen Woche, dass chinesische Militärforscher KI-Modelle von OpenAI und Anthropic genutzt haben, um inländische KI-Systeme für den Ausbau eigener Verteidigungsfähigkeiten zu trainieren.
Okta verweist darüber hinaus auf Hinweise, dass böswillige Akteure kostenlose Testzugänge von KI-Diensten missbrauchen, um im großen Stil synthetische Identitäten mit Wegwerf-Domains wie dakaka[.]org, emailinbo[.]live und ratixq[.]com zu erzeugen. Zugleich steige die Bot-Aktivität im Internet, insbesondere mit der zunehmenden Verbreitung von KI-Agenten. Betreiber von Botnetzen hätten heute mehr Auswahl bei der Umgehung von Bot-Erkennung, etwa durch Residential Proxies, die schädlichen Datenverkehr über unauffällige IP-Verbindungen von Verbrauchern leiten.