黑客窃取会话密钥：Claude Max 用户遭遇"静默耗尽"
一位英国 AI 顾问的 Claude Max 20x 账号在数小时内耗尽了大量 token，却非本人操作。Anthropic 调查后确认，系 infostealer 木马窃取用户会话密钥所致。此案暴露出 Claude 账号在会话管理上的重大安全隐患。
事件经过：未使用账号，token 却持续攀升
2025 年 8 月 4 日，英国东萨塞克斯郡独立 AI 顾问 Grant De Swardt 发现异常：他在当日并未使用 Claude，但其 token 用量却持续增长。
次日，他禁用了所有附加在 Claude 上的功能，并停止一切操作。然而 token 消耗依旧上升。他向 TechCrunch 描述了一次最清晰的受控观察："在我未执行任何任务、已暂停/完成所有 Cowork 任务、已禁用 Dispatch/cloud execution、本地无活跃 Claude Code 任务的情况下，用量仍从 45% 上升至 55%。" 他随后联系 Anthropic 要求提供详细的用量清单，但 Anthropic 未予提供，仅确认"确实存在问题"。公司随即暂停了他的付费账号、作废所有会话及服务端 Claude Code token，并退还了 £44.49（按其每月 $200 订阅的剩余时间折算）。
这给 De Swardt 的业务造成了严重冲击——他的工作是为中小型企业搭建 AI 代理（相当于一种按需部署的工程师），负责将邮件中的采购订单数据自动录入会计软件等任务。作为独资企业主，他的整个业务链都依赖代理运行：日常行政、网站设计、编码工作。"现在几乎所有事情都跑在 AI 上了。"他说。
根因确认：会话密钥被盗用于生成未授权 OAuth Token
Anthropic 调查后告知 De Swardt，事件起因是：一个被解锁的 Claude 会话密钥被用来生成了未授权的 Claude Code OAuth token。公司表示，该账号"似乎被一个可疑第三方服务用于处理他人活动，但无法确定其如何获得访问权限"。Anthropic 称，现有证据"既可能指向凭据/会话数据在用户不知情的情况下被窃取，也可能指向账号曾连接过某个外部服务"。
也就是说，有黑客获取了 De Swardt 的账号访问权限，悄悄消耗他的 token 配额。由于账号仅追踪总用量、而不提供逐项明细，即便用户主动索要也无法获得，这种盗用可能持续数月都难以被发现。
绝非个例：多名用户报告相同遭遇
De Swardt 在 Reddit 发帖后，80 条评论中涌现了大量相似经历。一位用户称其账号"未经同意被自动升级，信用卡被扣费，用量从 0% 自动跳到 100%，我根本没有任何操作"。另一位用户仅使用了几个 prompt 和一次网页搜索，用量就在 12 分钟内从 0 飙升至 49%。
有用户的账号在三天内每天都把 max token 耗尽，而他们本人从未触碰过账号。他们随后在 GitHub 创建了问题报告，评论区同样有其他用户反映类似情况。
其中两名用户公开了 Anthropic 发来的邮件——公司主动识别并警告了他们的 token 正在被盗用。邮件内容写道：
"我们最近发现，有恶意行为者正利用常见的 infostealer 木马窃取用户电脑上的 Claude 登录会话，并利用这些会话访问 Claude 账号、消耗其用量。"
Infostealer 是一种木马恶意软件，会在用户电脑上植入后门，窃取保存的密码、会话数据和登录凭据。Anthropic 发现可疑活动后，执行了以下操作：强制登出用户、作废现有授权、发放部分退款，并警告用户可能已感染木马。
Anthropic 同时指出，该木马并非来自 Claude 本身。此类恶意软件来源广泛，包括下载带毒软件或点击感染广告等。
值得注意的是，De Swardt 并未收到 Anthropic 的预警邮件。他坚称自己电脑未发现被入侵的证据，至今仍不清楚黑客如何获得访问权限。
后续影响：账号恢复，但用户已弃用 Claude
约两周后，De Swardt 的 Claude 账号恢复了，但整个沟通过程的低效、加上缺少用量明细工具，使他对 Claude 彻底失望。他最终取消订阅，转向 Cursor——后者支持同时使用多个模型，包括成本更低的开源选项。
在他看来，这些替代模型与 Claude 体验差异不大："并没有好那么多。"他表示，除非 Anthropic 真正解决这一安全问题，否则看不到回归的理由。他指出，Anthropic 至今缺乏让用户自主查看 token 消耗来源的工具，"没办法保护自己。" TechCrunch 就"用户如何识别账号滥用"向 Anthropic 求证，对方拒绝置评。
评论