האקרים גונבים טוקנים מחשבונות קלוד של משתמשים

מה קרה?

לפי דיווח של TechCrunch, משתמשים בקלוד (Claude) של אנתרופיק (Anthropic) החלו לדווח על שימוש בלתי מורשה בטוקנים שלהם. חשבון אחד דיווח שנוצלו מאות דולרים בתוך שעות. אנתרופיק הוציאה הודעה רשמית המזהירה מפני שימוש בלתי מורשה של חשבונות.

לא מדובר בשגיאה של המערכת, אלא בהאקרים שחדרו לחשבונות משתמשים בדרכים שונות: סיסמה חלשה, הפרה של שירות אחר, או API key שנגנב.

למה זה משמעותי?

טוקנים של קלוד הם כמו כסף מזומן דיגיטלי. מי שיש בידיו את הסיסמה שלך או את ה-API key שלך יכול להריץ את דגם אופוס (Opus) או סונה (Sonnet) כמה שהוא רוצה, כל עוד אתה לא שם לב.

בניגוד לחשבון בנק שיש בו מנגנונים הגנה כגון חסימת כרטיס או כפתור חרום, חשבון קלוד אינו מנטר טוקנים בזמן אמת כברירת מחדל. רבים מהמשתמשים אינם בודקים את לוח הבקרה שלהם יום-יום. עד שהם שמים לב, התוקף כבר הוציא 50 עד 200 דולרים.

מה זה אומר לעסק הישראלי?

אם אתה משתמש בקלוד, ChatGPT או כלי בינה מלאכותית אחר, שים לב:

1. סיסמה חזקה (עכשיו)

אל תשתמש בסיסמה שכבר השתמשת בה בשירותים אחרים. כל הפרה של פייסבוק, לינקדאין או אתר קטן יכולה להיות נקודת כניסה. אם כתובת הדוא"ל שלך היא user@company.co.il ובחרת סיסמה שנדלפה מלינקדאין בשנת 2019, הוקר יכול להיכנס לחשבון קלוד שלך כיום.

2. אימות דו-שלבי (2FA)

אנתרופיק, OpenAI וגוגל כולן תומכות ב-2FA. הפעל אותה היום. זה לוקח שתי דקות ויכול לחסוך לך מאות דולרים.

3. API keys בזהירות

אם אתה משתמש בקלוד דרך ה-API, למשל כדי לבנות סוכן AI, שמור את ה-keys בטוח ולעולם אל תבדוק אותם ב-GitHub ציבורי. אם כבר עשית זאת, בטל את ה-key מיד וצור חדש. בוטים של סריקה מוצאים keys שנחשפו תוך דקות.

4. מעקב על לוח השימוש

בדוק את עמוד Usage שלך מידי פעם בשבוע. אם אתה רואה צריכה בשעות שלא התחברת, שנה את הסיסמה מיד.

מה לעשות אם נתקפת?

1. שנה סיסמה לקלוד.
2. הפעל 2FA באמצעות אפליקציית authenticator (Google Authenticator או Authy), ולא דרך SMS אם אפשר.
3. בטל API keys אם יש לך כזה ואתה בספק אם נתקף. בטל אותו ויצור חדש מלוח הבקרה.
4. צור קשר עם התמיכה של אנתרופיק עם הוכחות מלוח הבקרה. בדרך כלל הם מחזירים טוקנים עבור שימוש בלתי מורשה אם אתה מספק הוכחה שזה לא אתה.

שורה תחתונה

גניבת טוקנים היא בעיה אמיתית שכל חברה המשתמשת בסוכני AI צריכה להיות מודעת לה. אם אתה משלב בינה מלאכותית בארגון שלך, הוסף למדיניות הסייבר שלך: סיסמה חזקה, אימות דו-שלבי, ודיקות שגרתיות של API keys השמורים בטוח (Secret Manager או כלי דומה). זה לא בעיה עד שתגלה $500 בטוקנים שנצרכו בלילה בחודש שעברת בחו"ל.