Des chercheurs en cybersécurité alertent sur un service illégal baptisé Poison Claude, qui promet un accès à des modèles de langage à un prix réduit. Le dispositif circule dans des espaces de cybercriminalité, et repose sur un mécanisme de relais via des clés API et des configurations côté client. Si l’objectif affiché est de “payer moins”, les risques pour la confidentialité, l’intégrité des requêtes et la sécurité sont, eux, bien réels.
Dans cet article, nous expliquons ce que les analystes ont observé, comment le service fonctionne d’après leurs constats, et pourquoi ces offres “discount” ne se résument pas à une affaire de coût.
Qu’est-ce que Poison Claude ?
Selon les investigations rapportées, Poison Claude fait la promotion d’un accès à des modèles de langage de grande taille (LLM) commercialisés par Anthropic. L’annonce mentionne plusieurs versions, notamment Opus 4.8, Opus 4.7, Opus 4.6 et Sonnet 4.6.
Le service se présente comme un moyen d’obtenir des jetons (tokens) à moindre coût. Pour appuyer cette promesse, il s’appuierait sur des crédits bonus “gratuits” liés à des comptes de plateformes cloud.
Comment Poison Claude parvient à facturer moins
Les chercheurs d’Okta, Jeremy Kirk et Mathew Woodyard, indiquent que la logique financière du service est décrite dans des publicités et éléments associés à l’offre. L’idée centrale consiste à exploiter des crédits bonus, par exemple un crédit de 100 USD proposé par AWS pour certains comptes Bedrock.
Les analystes rapportent aussi une formulation explicite, selon laquelle le service regroupe des comptes, route la demande vers un compte spécifique “caché”, et facture ensuite une proportion inférieure du prix officiel par token. Le coût annoncé varie selon le modèle, avec une fourchette allant d’environ 5% à 15% du tarif officiel.
Autrement dit, le modèle économique revendiqué repose moins sur des remises classiques que sur un contournement de mécanismes de crédit.
Le paiement en cryptomonnaie et l’accès via une clé API
Le service Poison Claude accepte des paiements en cryptomonnaies. Une fois le paiement validé, le client reçoit une clé API destinée à une interface compatible avec l’écosystème d’Anthropic.
Ensuite, l’utilisateur est invité à ajuster son environnement de développement en définissant des variables spécifiques afin que son application (par exemple Claude Code) utilise le point d’entrée de Poison Claude plutôt que l’interface directe du fournisseur.
Cette étape est importante : elle ancre l’intégration dans un schéma où la requête du client ne “travaille” pas directement avec Anthropic, mais passe d’abord par l’intermédiaire.
Relais des prompts : visibilité pour l’opérateur
Les chercheurs décrivent que les prompts fournis en entrée sont transmis de l’API de Poison Claude vers Anthropic, puis que la réponse revient ensuite vers le client par le même chemin. Cette architecture implique une conséquence majeure : lorsque le service agit comme passerelle, l’opérateur dispose d’une visibilité sur les requêtes.
D’après Okta, cette capacité constitue un sujet de confidentialité. En effet, le prestataire peut, par erreur ou autrement, exposer, divulguer ou revendre des données puisque les prompts doivent être acheminés à un modèle pour produire la réponse.
En pratique, même si l’illusion “discount” attire, le contrôle des données n’est plus entre les mains de l’utilisateur.
Une exposition d’API corrigée après signalement
Le rapport mentionne qu’une erreur de configuration a rendu accessible un endpoint de statut : api.claudeopus[.]shop/api/status. En interrogeant cette URL, on pouvait obtenir le nombre d’utilisateurs totaux et actifs (indiqués comme 881 et 872 au moment observé).
Les chercheurs précisent que l’exposition a été corrigée par la suite. Même si cela réduit le risque immédiat lié à ce point précis, cela ne change pas le cœur du problème : l’existence d’un relais entre le client et le modèle, avec potentiellement une surface d’observation supplémentaire.
Hébergement masqué et protection anti-bots
Le domaine principal associé au service Poison Claude (notamment poison-claude.bitsender[.]top) serait hébergé derrière le CDN de Cloudflare, afin de dissimuler l’adresse IP d’origine.
Après divulgation responsable, Cloudflare aurait ajouté un avertissement de type phishing devant le site. En revanche, les constats indiquent que Cloudflare aurait, semble-t-il, refusé de prendre des mesures sur le domaine d’API, qui utiliserait Cloudflare Turnstile pour la protection contre les robots.
Cette combinaison (masquage de l’origine et mécanismes anti-bots) vise à maintenir la disponibilité du service tout en compliquant l’identification des infrastructures.
Des services similaires sur le “marché gris”
Ce cas ne serait pas isolé. Le rapport évoque un service apparent dans l’espace “gray market” : Ecomagent.in. D’après les estimations, il compterait près de 970 utilisateurs et annoncerait un accès à des modèles comme Opus 4.8, Opus 4.6, Sonnet 4.6 et aussi GPT Codex 5.5 via une API personnalisée.
Le schéma général reste comparable : fournir un point d’entrée permettant d’utiliser des capacités de modèles, tout en s’écartant des circuits officiels.
Pourquoi ces offres représentent un risque
Les chercheurs rappellent qu’il existe de multiples raisons qui poussent certains utilisateurs à chercher des services proposant des accès “moins chers” ou plus facilement accessibles : budget, restrictions d’accès, et parfois recherche d’un certain niveau de confidentialité ou d’anonymat.
Mais ces motivations entrent en collision avec plusieurs risques inhérents :
- Risque de suppression d’accès : les fournisseurs de modèles peuvent couper l’accès à des comptes frauduleux.
- Risque de “modèle de façade” : un service peut attirer avec un modèle “performant” puis délivrer en réalité une alternative moins capable.
- Risque de confidentialité : en tant que passerelle, le prestataire peut voir et potentiellement mal gérer les prompts et données transférées.
- Risque d’abus et d’exploitation : des infrastructures peuvent être utilisées par des acteurs malveillants pour d’autres objectifs en parallèle.
Autrement dit, la différence de prix peut refléter une différence de garanties — et pas dans le bon sens.
Contexte géopolitique et montée des usages détournés
Les conclusions s’inscrivent dans un contexte où le marché asiatique (notamment chinois) pour des modèles américains connaît une croissance, avec des contraintes liées à des restrictions ou à l’accessibilité. Le rapport mentionne aussi l’existence de modèles explicitement interdits ou inaccessibles à cause de limitations de réseau.
Dans ce cadre, certains services s’apparentent à des plateformes de relais ou de proxy permettant à des développeurs locaux d’accéder à ces modèles. Mais le même mécanisme peut servir à des abus.
Le rapport cite également des accusations antérieures : Anthropic a reproché à plusieurs entreprises chinoises (DeepSeek, Moonshot AI et MiniMax) d’orchestrer des campagnes à grande échelle pour extraire illégalement des capacités de Claude afin d’améliorer leurs propres modèles. Par ailleurs, une autre information relayée indique que des chercheurs militaires chinois auraient utilisé des modèles développés par OpenAI et Anthropic pour entraîner des systèmes domestiques en vue de renforcer des capacités de défense.
Enfin, les chercheurs évoquent l’industrialisation d’attaques via des essais gratuits : des acteurs malveillants exploiteraient ces périodes pour créer des identités synthétiques à grande échelle, en s’appuyant sur des domaines jetables et des boîtes mail temporaires.
Les bots et les proxys compliquent la détection
Okta souligne que l’activité bot augmente à mesure que les déploiements d’agents d’IA se multiplient. Dans ce contexte, les réseaux malveillants disposent d’un arsenal plus large pour contourner les mécanismes de détection.
Par exemple, des résidential proxies (proxys résidentiels) peuvent faire apparaître un trafic malveillant comme s’il provenait de connexions “grand public”, avec peu ou pas d’historique d’activité suspecte. Cela rend le blocage plus risqué : bloquer au hasard peut toucher des utilisateurs légitimes, tandis que laisser passer augmente l’exposition.
Conclusion : un “discount” qui coûte cher en risques
Poison Claude illustre comment des offres d’accès à des modèles d’IA à prix réduit peuvent masquer un fonctionnement de passerelle, une visibilité accrue sur les prompts, et des signaux de contournement de crédits et d’infrastructures. Même si l’accès semble pratique et moins cher, la balance penche vite vers un risque de confidentialité et de fiabilité.
Si vous cherchez à utiliser des capacités de modèles, le plus sûr reste de s’en tenir aux circuits officiels, afin de réduire l’incertitude sur l’acheminement des données, la conformité et la robustesse du service.
Source: https://thehackernews.com/2026/08/poison-claude-sells-discounted-claude.html
