Zugang zu Frontier-Modellen kostet genug, dass sich ein Markt darum gebildet hat, ihn billiger zu bekommen. Ein Teil dieses Marktes sind legitime Open-Source-Werkzeuge. Ein anderer Teil ist schlicht kriminell. Von außen können sie sich ähneln, denn beide sitzen zwischen Ihrem Programmieragenten und dem Modell.
Der Unterschied liegt nicht im Preis. Er liegt darin, ob die Maschine dazwischen Ihnen gehört.
Was die Forscher gefunden haben
Am 5. August 2026 berichtete The Hacker News über eine Okta-Analyse von Jeremy Kirk und Mathew Woodyard, die mehr als ein halbes Dutzend Dienste beschreibt, die in einschlägigen Foren illegalen Modellzugang anbieten.
Einer davon, Poison Claude, verkauft Zugang zu Anthropic-Modellen für 5 bis 15 Prozent des offiziellen Preises pro Token. Der Finanzierungsmechanismus ist ein Diebstahl bestimmter Art. Laut Okta nutzt der Dienst kostenlose Startguthaben aus, etwa das 100-Dollar-Bonusguthaben von AWS für Bedrock-Konten. Die Betreiber beschreiben das Vorgehen auf ihrer eigenen Seite: Sie nehmen solche Konten in einen Pool auf, die Anfrage des Kunden wird im Hintergrund auf eines davon geleitet, ohne dass er es sieht, und ihm wird dieser Bruchteil des Token-Preises berechnet.
Bezahlt wird in Kryptowährung. Der Kunde bekommt einen API-Schlüssel und setzt Umgebungsvariablen, damit sein Agent mit dem Dienst statt mit dem Modellanbieter spricht. Ein Konfigurationsfehler legte zeitweise einen Status-Endpunkt offen, der 881 Nutzer insgesamt und 872 aktive anzeigte, eine Momentaufnahme und kein gepflegter Wert. Derselbe Bericht beschreibt einen vergleichbaren Graumarktdienst, Ecomagent.in, und beziffert ihn auf knapp 970 Nutzer, ohne anzugeben, wer diese Schätzung erstellt hat.
Warum ein Gateway-Proxy alles sieht
Okta formuliert den strukturellen Punkt ohne Umschweife: Wenn ein Dienst als Gateway-Proxy konfiguriert ist, hat der Anbieter volle Sicht auf die Prompts, denn diese Prompts müssen an ein Modell weitergeleitet werden.
Das lohnt zweimal gelesen zu werden, denn es ist kein Vorwurf. Es ist eine Beschreibung der Leitungsführung. Wenn Ihr Prompt über den Server eines anderen laufen muss, um ein Modell zu erreichen, kann dieser andere ihn lesen. Dafür braucht es keine böse Absicht und keinen Einbruch. Sichtbarkeit ist der Normalzustand dieser Bauweise.
Daraus folgt die Sorge, die Okta benennt: Der Anbieter könnte die Daten versehentlich preisgeben oder verkaufen. Könnte. Weder Okta noch die Berichterstattung behaupten, man habe beobachtet, dass einer dieser Betreiber Kunden-Prompts sammelt oder verkauft. Dokumentiert ist die Möglichkeit, nicht die Tat, und genau an diesem Unterschied geht schlampige Berichterstattung vorbei.
Die Unterscheidung, auf die es wirklich ankommt
Es liegt nahe, jedes Werkzeug für billigen Zugang in dieselbe Schublade zu legen. Das wäre falsch, und der Gegensatz ist lehrreich.
Nehmen Sie Free Claude Code, ein Open-Source-Projekt auf GitHub unter MIT-Lizenz mit rund 47.000 Sternen. Auch es sitzt zwischen Ihrem Agenten und einem Modell, auch es existiert, um Kosten zu senken. Aber es läuft als lokaler Proxy auf Ihrer eigenen Maschine, gebunden an 127.0.0.1, mit API-Schlüsseln, die Sie selbst bei Anbietern Ihrer Wahl anlegen. Das Projekt bezeichnet seine Anbieter als konform mit deren Nutzungsbedingungen, entfernt nach eigener Aussage Integrationen, wenn sie nicht mehr zulässig sind, und stellt klar, dass es unabhängig und nicht von Anthropic unterstützt ist.
Dieselbe Form im Diagramm, die entgegengesetzte Datenschutzlage. Im lokalen Fall ist überhaupt kein Dritter im Weg, weil der Proxy auf Ihrer Hardware und unter Ihren Zugangsdaten läuft. Im gehosteten Fall überquert jeder Prompt Infrastruktur, die jemandem gehört, dessen Geschäftsmodell auf gestohlenen Guthaben beruht.
Die nützliche Frage bei einem Angebot für billigeren Zugang lautet also nicht, ob ein Proxy im Spiel ist. Sie lautet: Wem gehört der Rechner, und wessen Konto bezahlt den Anbieter?
Was Sie ein Fehler kostet
Für einen einzelnen Entwickler bedeutet der Weg über ein unbekanntes Gateway, dass er hergibt, was in diesen Prompts steht. Wer mit unveröffentlichten Produktplänen, Kundendaten oder internem Code arbeitet, hat damit eine Offenlegung ohne Vertrag dahinter und ohne Möglichkeit zu prüfen, was danach passiert ist.
Die Forscher nennen weitere Risiken. Anbieter können betrügerische Konten sperren, dann verschwindet der Dienst. Und ein Dienst kann ein Frontier-Modell bewerben und im Hintergrund etwas Billigeres, Schwächeres ausliefern, denn der Kunde hat keine Möglichkeit zu prüfen, welches Modell tatsächlich geantwortet hat.
Der Marketing-Aspekt ist kleiner, aber real. Wenn Ihr Team Wettbewerbsrecherche, Positionierungsentwürfe oder unveröffentlichtes Kampagnenmaterial durch einen Assistenten schickt, ist die Frage, wer das sonst noch lesen kann, eine geschäftliche Frage, bevor sie eine Sicherheitsfrage ist.
Was Sie prüfen sollten
Finden Sie heraus, wo der Proxy läuft. Wenn die Einrichtungsanleitung auf eine Adresse Ihrer eigenen Maschine zeigt und Ihre eigenen Anbieterschlüssel verlangt, ist niemand sonst im Weg. Wenn man Ihnen einen Schlüssel für einen entfernten Endpunkt gibt, schon.
Finden Sie heraus, wessen Konto belastet wird. Ein Dienst, der einen kleinen Bruchteil des Listenpreises verlangt, subventioniert Sie entweder, liefert etwas Schwächeres, oder gibt Guthaben aus, das ihm nicht gehört.
Und fragen Sie sich, was in Ihren Prompts steht, bevor Sie entscheiden, dass es egal ist. Die meisten Teams unterschätzen das, weil das Heikle selten im ersten Prompt steht. Es steht im nächsten, wenn Sie die eigentliche Datei einfügen.
Quellen
- The Hacker News, “Poison Claude Sells Discounted Claude Access While Its Operator Sees Every Customer Prompt”, 5. August 2026: https://thehackernews.com/2026/08/poison-claude-sells-discounted-claude.html (abgerufen am 25. August 2026). Quelle der Okta-Befunde, des Preis- und Guthabenmechanismus, der zitierten Betreiberaussage, der Nutzerzahlen und der Formulierung zum Gateway-Proxy. Die Quelle existiert nur auf Englisch: Die Zitate sind eigene Übersetzung.
- Repository von Free Claude Code, https://github.com/Alishahryar1/free-claude-code (abgerufen am 25. August 2026). Quelle der Lizenz, der Sternzahl, der lokalen Proxy-Adresse und der Aussagen des Projekts zu den Bedingungen der Anbieter und zu seiner Unabhängigkeit von Anthropic.
