Proxy AI del mercato grigio ("Poison Claude")
- Cos'è davvero Poison Claude — e perché lo sconto è reale, non un'esca
- La modifica di una sola variabile d'ambiente che trasforma Claude Code in una tubatura per fughe di dati
- Come rilevare un collega (o te stesso in passato) che già instrada i prompt attraverso uno di questi proxy
- I segnali che distinguono un gateway AI legittimo da un rivenditore del mercato grigio
- Perché «non mettiamo segreti nei prompt» non è una difesa qui
Il 4 agosto 2026, Okta Threat Intelligence ha pubblicato Free tokens for sale: How fake signups drive AI fraud, documentando un servizio attivo chiamato Poison Claude che rivendeva accesso a Opus 4.8, Opus 4.7, Opus 4.6 e Sonnet 4.6 di Anthropic tramite forum underground — al 5–15% del prezzo ufficiale per token, pagabile in criptovaluta. Un endpoint /api/status esposto mostrava 881 utenti, 872 attivi al 3 luglio 2026.
La parte interessante non è la frode. È il design: Poison Claude ti dà una vera chiave API compatibile con Anthropic, e Claude Code funziona normalmente quando la punti a quel servizio. Prompt, chiamate a strumenti, file e output prendono soltanto una deviazione attraverso il server dell'operatore prima di arrivare ad Anthropic. L'operatore vede tutto.
Questa pagina è il complemento di Verificare le Skill degli agenti e Rivedere codice di terze parti per un diverso vettore di supply-chain: non il codice che installi, ma l'endpoint con cui parli.
Da dove viene lo sconto
Poison Claude non ruba chiavi API — è la versione facile da raccontare ed è sbagliata. Fa arbitraggio su larga scala dei crediti per nuovi account dei cloud provider. Il write-up di Okta documenta il meccanismo:
- I nuovi account AWS ricevono ~US$100 in crediti usabili su Bedrock (che intermedia Claude). L'operatore crea un pool di account AWS usa-e-getta con identità sintetiche.
- Le iscrizioni arrivavano da reti proxy/VPN in Libano, Indonesia e Thailandia, usando domini email usa-e-getta come
dakaka.org,emailinbo.live,ratixq.com. - I prompt dei clienti paganti vengono bilanciati sul pool di account trial. Ogni richiesta cliente è una vera chiamata Bedrock finanziata dai crediti gratuiti di AWS — finché AWS non se ne accorge e revoca.
- L'operatore intasca il margine. Il 5–15% del listino è un margine comodo perché la gran parte del costo di input è sussidiato.
Un servizio parallelo, Ecomagent (ecomagent.in, ~1.000 utenti), usava lo stesso schema per Opus 4.8, Opus 4.6, Sonnet 4.6 e GPT Codex 5.5 — con indicatori di Google Vertex AI nel mix.
La sostanza: lo sconto è tecnicamente reale. Nessuno sta truffando te sui soldi. La truffa è l'effetto di secondo ordine.
Il problema della visibilità del proxy non è un bug
Quando il tuo client punta a https://poison-claude.bitsender.top (con Cloudflare davanti; il percorso API era su api.claudeopus.shop, Hostinger Mumbai), la tua richiesta deve essere leggibile da quel server per poter essere inoltrata ad Anthropic. TLS termina al proxy, non ad Anthropic. Non è un difetto di Poison Claude — è la definizione stessa di gateway proxy:
«Quando i servizi sono configurati come gateway proxy, il fornitore del servizio ha piena visibilità sui prompt, poiché quei prompt devono essere inoltrati a un modello.» — Okta Threat Intelligence, agosto 2026
Quindi l'operatore vede, in chiaro:
| Tipo di dato | Perché finisce nella richiesta | Impatto se registrato |
|---|---|---|
| Prompt di sistema | Il tuo CLAUDE.md, playbook aziendali, gergo interno | Rivela la tua architettura, l'IP di prompt-engineering, nomi dei dipendenti |
| Contenuto dei file | Codice letto dall'agente, documenti passati, screenshot | Esfiltrazione completa del codice sorgente, una PR alla volta |
| Argomenti degli strumenti | Query DB, comandi cURL, nomi di file, path | URL interni, nomi tabelle, ID di risorse cloud |
| Memoria a lungo termine | Tutto ciò che hai chiesto a Claude di «ricordare» | Fuga persistente — anni di contesto in un solo dump |
| Output del modello | Qualsiasi cosa Claude scriva in risposta | Il tuo codice generato, decisioni, bozze |
«Non mettiamo segreti nei prompt» non è una difesa. Il dato interessante non sono le chiavi API — sono il codice, le decisioni e il contesto interno che scorrono nella giornata di un agente.
Il pivot di una riga: ANTHROPIC_BASE_URL
Claude Code (e l'SDK Anthropic sottostante) è progettato apposta per essere gateway-friendly — casi d'uso legittimi come layer di osservabilità aziendali, ponti regionali o routing LiteLLM/Portkey/OpenRouter dipendono tutti da questo. Le manopole:
export ANTHROPIC_BASE_URL="https://gateway.example/anthropic"
export ANTHROPIC_AUTH_TOKEN="sk-…"
Una volta impostate, ogni richiesta della CLI — la conversazione principale, i sub-agent, la compattazione in background, le chiamate agli strumenti — va a quel base URL. Basta un singolo .envrc, una riga in ~/.zshrc o un profilo shell che un tutorial «utile» ha convinto qualcuno a incollare. Vengono lette all'avvio del processo e mai più ricontrollate, quindi nulla ti spinge a riconsiderare a metà sessione. Vedi variabili d'ambiente di Claude Code per l'elenco completo.
Le variabili equivalenti esistono per altri client (gli SDK in stile OpenAI leggono OPENAI_BASE_URL; i client Google leggono override di regione). Il vettore è generico.
Cerca override silenziosi di base-URL — esegui una volta per macchina
# what environment variables are actively pointing your AI clients elsewhere? env | grep -Ei 'ANTHROPIC_|OPENAI_|GOOGLE_|GEMINI_|BASE_URL|_ENDPOINT|AUTH_TOKEN' # where are they SET? — check the usual suspects grep -RIn --color \ -e 'ANTHROPIC_BASE_URL' -e 'ANTHROPIC_AUTH_TOKEN' \ -e 'OPENAI_BASE_URL' -e 'OPENAI_BASE_API' \ ~/.zshrc ~/.bashrc ~/.profile ~/.zshenv ~/.envrc \ ~/.config/fish/config.fish ~/.config/claude 2>/dev/null # any project-level overrides? find ~ -name '.envrc' -o -name '.env' -o -name '.env.local' 2>/dev/null \ | xargs grep -l 'BASE_URL\|AUTH_TOKEN' 2>/dev/null
Gli IOC da verificare (ago 2026)
Se stai facendo un audit, questi sono gli indicatori concreti pubblicati da Okta. Non visitarli.
- poison-claude.bitsender.top (con Cloudflare davanti; Cloudflare in seguito ha piazzato un avviso di phishing); api.claudeopus.shop (Hostinger Mumbai; Cloudflare ha rifiutato azioni su questo sotto-dominio API). Servizio correlato: ecomagent.in.
- Cerca con grep quegli hostname — e le stringhe 'claudeopus', 'poison-claude', 'bitsender', 'ecomagent' — in ~/.zsh_history, ~/.bash_history, file .env* e qualsiasi segreto d'ambiente in CI. Controlla anche ~/.config/claude/settings.json.
- Nei log di firewall/EDR, cerca HTTPS verso domini che risolvono su piccoli hoster (Hostinger, Contabo, provider di server dedicati) *e* che accettano traffico verso l'API Messages di Anthropic. Il traffico verso api.anthropic.com dovrebbe essere diretto; traffico verso host sconosciuti su /v1/messages è il segnale.
- Iscrizioni da nodi VPN in Libano/Indonesia/Thailandia, domini email usa-e-getta (dakaka.org, emailinbo.live, ratixq.com) e creazione massiva di account con la stessa impronta di carta di pagamento sono i segnali principali di Okta. Se gestisci un prodotto AI con crediti trial, sei il bersaglio a monte.
Gateway legittimo vs rivenditore del mercato grigio
I gateway AI aziendali esistono per buoni motivi — osservabilità, DLP, controllo dei costi, routing cross-provider. Confondere i due è ciò che rende in primo luogo praticabili i servizi del mercato grigio. Segnali che li distinguono:
| Segnale | Gateway legittimo (LiteLLM, Portkey, OpenRouter, aziendale) | Rivenditore mercato grigio |
|---|---|---|
| Prezzo | ≥ listino upstream, spesso + margine | 5–15% del listino — niente di legale rende i prompt 10× più economici |
| Azienda | Entità legale, indirizzo pubblicato, funding, team LinkedIn | Anonimo, solo crypto, supporto solo su Telegram/forum |
| Pagamento | Carta / fattura / SSO-billing | Monero, USDT, solo crypto |
| T&C | DPA nominato, addendum sul trattamento dati, controlli di regione | Nessun DPA, nessuna policy di retention, nessun impegno di incident-response |
| Distribuzione | Docs sul sito del fornitore, pacchetti npm/pip, PR a Claude Code | Forum underground, canali su invito, script di installazione mirror |
| Età e postura del dominio | Pluriennale, HSTS, WHOIS coerente, record MX | TLD nuovo (.shop, .top, suffisso DNS dinamico), maschera CDN su nome imitativo |
Se il motivo per passare è «è sospettosamente economico», hai la tua risposta. Ogni prompt che un operatore può decrittare ha vie di monetizzazione oltre ai token — corpora per fine-tuning di modelli economici, per esempio.
Cosa fare questa settimana
- Allow esplicito: api.anthropic.com, più qualsiasi gateway procurato (istanza LiteLLM, proxy aziendale, endpoint Bedrock sotto il tuo account). Tutto il resto è negato. Mettilo nei docs del team per Claude Code / Cursor / Codex, dove un nuovo assunto lo vedrà davvero.
- Il grep sopra, lanciato via MDM o come one-liner in un canale del team. Qualsiasi cosa punti fuori dalla tua allow-list è un evento di rotate-and-remove.
- Su endpoint gestiti, al firewall o via EDR. Ti serve un record duraturo di quale host ogni processo agente ha contattato. Economico ora, prezioso se un giorno devi dimostrare che nulla ha varcato il confine.
- Tratta ogni prompt di quel periodo come divulgato. Ruota tutto ciò che l'agente poteva leggere e che era a lunga vita (token di deploy, credenziali DB, chiavi SSH prelevate dal repo). Cancella i file di memoria dell'agente scritti in quella finestra.
- Le persone che usano questi servizi non sono malintenzionate — hanno colpito un rate limit alle 2 di notte o volevano provare Opus senza budget. Dai loro un percorso legittimo (una chiave org condivisa, un aumento di budget, un gateway self-serve) o ritroveranno quello losco.
Chiedi all'agente di diffare la propria config effettiva contro la tua allow-list
Read all of the following and tell me if any AI client on this machine is pointed at a base URL, endpoint, or auth token that is NOT one of: - https://api.anthropic.com - <PASTE YOUR CORPORATE GATEWAY URL(S) HERE> Sources to check: 1. `env | grep -Ei 'ANTHROPIC|OPENAI|GEMINI|BASE_URL|AUTH_TOKEN'` 2. ~/.zshrc, ~/.bashrc, ~/.profile, ~/.zshenv, ~/.envrc 3. ~/.config/claude/settings.json and any project .claude/settings.json 4. .env, .env.local, .envrc in any repo under ~/code (or your work dir) 5. Shell history: grep 'BASE_URL\|claudeopus\|bitsender\|poison' ~/.*history For each finding: full path, exact line, and whether the target host is in the allow-list. Do NOT contact any of the URLs. Report only.
Prova di comprensione
Check yourself
0/4Correlati
- Verificare le Skill degli agenti che installi — problema di supply-chain per il codice che installi
- Rivedere codice di terze parti — la checklist generale «può eseguire»
- Cosa carica il tuo agente — cosa c'è davvero in un prompt quando lascia la tua macchina
- Mettere in sicurezza i server MCP — confine di fiducia per gli strumenti, rispecchia il problema dell'endpoint
- Gateway AI: LiteLLM, OpenRouter, Portkey — usi legittimi dello stesso meccanismo di routing
- Impostazioni di Claude Code — le variabili d'ambiente che controllano dove parla Claude
Fonti e letture aggiuntive
- Okta Threat Intelligence — Free tokens for sale: How fake signups drive AI fraud (Jeremy Kirk e Mathew Woodyard, 4 ago 2026) — fonte primaria con IOC, conteggi utenti e metodologia della frode
- The Hacker News — Poison Claude Sells Discounted Claude Access While Its Operator Sees Every Customer Prompt (ago 2026)
- Cyberpress — Poison Claude Abuses Fake Accounts and Free Credits to Sell Discounted AI Access Tokens
- GBHackers — Hackers Abuse Cloud Startup Credits to Resell Claude and Gemini AI Access
- Anthropic — Claude Code settings reference — docs ufficiali su
ANTHROPIC_BASE_URLe variabili d'ambiente correlate - AWS — Free tier e crediti per nuovi account per Amazon Bedrock — il sussidio oggetto dell'arbitraggio