El acceso a los modelos de frontera cuesta lo suficiente como para que haya nacido un mercado alrededor de conseguirlo más barato. Una parte de ese mercado son herramientas legítimas de código abierto. Otra parte es directamente delictiva. Desde fuera pueden parecerse, porque ambas se colocan entre tu agente de programación y el modelo.
La diferencia no está en el precio. Está en si la máquina del medio es tuya.
Qué encontraron los investigadores
El 5 de agosto de 2026, The Hacker News informó sobre un análisis de Okta, firmado por Jeremy Kirk y Mathew Woodyard, que describe más de media docena de servicios anunciando acceso ilegal a modelos en foros clandestinos.
Uno de ellos, Poison Claude, vende acceso a modelos de Anthropic por entre el 5 y el 15 % del precio oficial por token. El mecanismo de financiación es un robo muy concreto. Según Okta, el servicio se aprovecha de créditos promocionales gratuitos, como los 100 dólares de bonificación de AWS en cuentas de Bedrock. Los operadores explican el funcionamiento en su propia web: añaden esas cuentas a un fondo común, la petición del cliente se enruta por debajo hacia una de ellas sin que él lo vea, y se le cobra esa fracción del precio por token según el modelo.
El pago es en criptomoneda. El cliente recibe una clave de API y configura variables de entorno para que su agente hable con el servicio en lugar de con el proveedor del modelo. Un error de configuración dejó expuesto durante un tiempo un endpoint de estado que mostraba 881 usuarios totales y 872 activos, una foto puntual y no una cifra mantenida. El mismo reportaje describe un servicio comparable del mercado gris, Ecomagent.in, y lo sitúa en casi 970 usuarios, sin indicar quién produjo esa estimación.
Por qué un proxy de pasarela lo ve todo
Okta formula el punto estructural sin rodeos: cuando un servicio está configurado como proxy de pasarela, el proveedor del servicio tiene visibilidad completa de los prompts, porque esos prompts tienen que reenviarse a un modelo.
Merece la pena leerlo dos veces, porque no es una acusación. Es una descripción de cómo funciona la fontanería. Si tu prompt tiene que viajar por el servidor de otro para llegar a un modelo, ese otro puede leerlo. No hace falta mala intención ni que ocurra ninguna brecha. La visibilidad es el estado por defecto de esa arquitectura.
De ahí sale la preocupación que Okta formula: el proveedor del servicio podría filtrar o vender esos datos. Podría. Ni Okta ni el reportaje afirman que se haya observado a ninguno de estos operadores recolectando o vendiendo prompts de clientes. Lo documentado es la capacidad, no el acto, y la diferencia entre ambas cosas es exactamente donde se tuerce la cobertura descuidada.
La distinción que de verdad importa
Es tentador meter cualquier herramienta de acceso barato en el mismo saco. Sería un error, y el contraste resulta instructivo.
Fíjate en Free Claude Code, un proyecto de código abierto en GitHub con licencia MIT y unas 47.000 estrellas. También se coloca entre tu agente y un modelo, y también existe para bajar el coste. Pero corre como proxy local en tu propia máquina, escuchando en 127.0.0.1, con claves de API que creas tú con los proveedores que elijes. El proyecto describe a sus proveedores como compatibles con sus condiciones de servicio, dice que retira integraciones si dejan de estar permitidas, y aclara que es independiente y que no está afiliado ni respaldado por Anthropic.
La misma forma en un diagrama, la postura de privacidad opuesta. En el caso local no hay ningún tercero en el camino, porque el proxy corre en tu hardware y con tus credenciales. En el caso alojado, cada prompt cruza infraestructura controlada por alguien cuyo modelo de negocio se apoya en créditos robados.
Así que la pregunta útil cuando alguien te ofrece acceso más barato no es si hay un proxy de por medio. Es: de quién es el ordenador, y qué cuenta le paga al proveedor.
Qué te cuesta equivocarte
Para un desarrollador individual, enrutar prompts por una pasarela desconocida significa entregar lo que haya en esos prompts. Para quien trabaje con planes de producto sin publicar, datos de clientes o código interno, eso es una divulgación sin contrato detrás y sin forma de auditar qué pasó después.
Los investigadores enumeran riesgos de segundo orden. Los proveedores pueden cortar el acceso a cuentas fraudulentas, con lo que el servicio desaparece. Y un servicio puede anunciar un modelo de frontera mientras sirve por debajo algo más barato y menos capaz, porque el cliente no tiene manera de verificar qué modelo respondió.
El ángulo de marketing es más pequeño pero real. Si tu equipo pasa investigación de competencia, borradores de posicionamiento o material de campaña sin publicar por un asistente, quién más puede leer ese material es una pregunta de negocio antes que de seguridad.
Qué comprobar
Averigua dónde corre el proxy. Si las instrucciones apuntan a una dirección de tu propia máquina y te piden tus claves, no hay nadie más en el camino. Si te entregan una clave para un endpoint remoto, sí lo hay.
Averigua qué cuenta se factura. Un servicio que cobra una fracción pequeña del precio de lista o te está subvencionando, o te sirve algo más flojo, o gasta créditos que no son suyos.
Y pregúntate qué contienen tus prompts antes de decidir que da igual. Casi todos los equipos lo subestiman, porque el material sensible rara vez está en el primer prompt. Está en el siguiente, cuando pegas el archivo de verdad.
Fuentes
- The Hacker News, “Poison Claude Sells Discounted Claude Access While Its Operator Sees Every Customer Prompt”, 5 de agosto de 2026: https://thehackernews.com/2026/08/poison-claude-sells-discounted-claude.html (consultado el 25 de agosto de 2026). Origen de los hallazgos de Okta, el mecanismo de precios y créditos promocionales, la declaración citada de los operadores, los recuentos de usuarios y la formulación sobre el proxy de pasarela. La fuente existe solo en inglés: las citas son traducción propia.
- Repositorio de Free Claude Code, https://github.com/Alishahryar1/free-claude-code (consultado el 25 de agosto de 2026). Origen de la licencia, el número de estrellas, la dirección local del proxy y las declaraciones del propio proyecto sobre condiciones de los proveedores y su independencia respecto de Anthropic.
