La société Anthropic a récemment mis fin de manière forcée à des sessions authentifiées sur son assistant conversationnel Claude, après avoir identifié une série de détournements massifs de comptes légitimes. Selon nos confrères de Numerama, l’objectif était de priver des acteurs malveillants d’un accès gratuit aux ressources payantes, exploitées à des fins commerciales ou frauduleuses. Cette mesure intervient après que des utilisateurs aient reçu des courriels les informant que leurs tokens Claude – les unités de calcul consommées lors des interactions avec l’IA – étaient détournés vers un marché noir en ligne.

Ce qu'il faut retenir

  • Anthropic a désactivé des comptes Claude compromis après avoir détecté des détournements massifs de sessions authentifiées.
  • Les acteurs malveillants exploitaient gratuitement les ressources payantes des utilisateurs légitimes.
  • Des utilisateurs ont reçu des e-mails les informant que leurs tokens servaient à alimenter un marché parallèle.
  • Cette mesure vise à protéger l’écosystème payant de l’entreprise contre les abus.

D’après les informations transmises par Numerama, la faille exploitée permettait aux pirates d’utiliser les crédits des utilisateurs sans leur consentement. Le système de détection d’Anthropic a repéré une augmentation anormale des requêtes simultanées provenant de ces comptes compromis, déclenchant une enquête interne. Une fois la compromission confirmée, l’entreprise a choisi de couper l’accès à ces sessions pour limiter les pertes financières et sécuriser son infrastructure.

Les utilisateurs concernés ont reçu un message automatique expliquant la situation. L’un d’eux, cité par Numerama, a réagi avec ironie sur les réseaux sociaux : « Merci, Anthropic, vraiment », a-t-il écrit, soulignant l’absurdité de la situation. Son compte, initialement payant, se retrouvait en effet utilisé pour générer des revenus via la revente de tokens sur une plateforme tierce. Ce cas illustre les risques associés aux modèles d’abonnement dans le domaine de l’intelligence artificielle générative, où les ressources consommées peuvent être monétisées de manière opaque.

« Nous avons identifié des activités suspectes sur plusieurs comptes et avons pris la décision de les désactiver pour protéger nos utilisateurs et notre infrastructure. Les tokens consommés frauduleusement étaient redirigés vers des services non autorisés. »
— Porte-parole d’Anthropic

Cette affaire soulève des questions sur la sécurité des comptes dans l’écosystème des IA génératives. Les utilisateurs de services comme Claude, ChatGPT ou Gemini doivent-ils craindre que leurs abonnements soient exploités à leur insu ? Selon Numerama, Anthropic n’a pas encore communiqué sur les mesures supplémentaires mises en place pour prévenir de futures intrusions. Les experts en cybersécurité interrogés par le média recommandent de renforcer l’authentification à deux facteurs (2FA) et de surveiller régulièrement les activités suspectes sur ses comptes.

Et maintenant ?

Anthropic devrait publier un rapport détaillé sur les failles exploitées et les correctifs appliqués d’ici la fin du mois de septembre. L’entreprise pourrait également introduire des seuils d’alerte automatique pour limiter les consommations anormales de tokens. D’ici là, les utilisateurs sont invités à vérifier leurs historiques de connexion et à signaler toute activité inhabituelle. La question de la responsabilité en cas de détournement reste en suspens : qui doit couvrir les pertes financières engendrées par ces abus – l’utilisateur ou le fournisseur du service ?

Pour l’heure, Anthropic n’a pas confirmé si d’autres comptes avaient été compromis avant la mise en place de cette contre-mesure. Reste à savoir si cette affaire incitera d’autres acteurs du secteur à revoir leurs protocoles de sécurité. Une chose est sûre : dans un marché où les tokens valent de l’or, les risques de piratage et de revente illégale ne feront que croître.