L’accès aux modèles de pointe coûte assez cher pour qu’un marché se soit formé autour de l’idée de l’obtenir moins cher. Une partie de ce marché relève d’outils open source légitimes. Une autre partie est purement criminelle. Vus de l’extérieur, ils peuvent se ressembler, car les deux se placent entre votre agent de développement et le modèle.
La différence n’est pas le prix. C’est de savoir si la machine au milieu vous appartient.
Ce que les chercheurs ont trouvé
Le 5 août 2026, The Hacker News a rapporté une analyse d’Okta signée Jeremy Kirk et Mathew Woodyard, décrivant plus d’une demi-douzaine de services proposant un accès illégal à des modèles sur des forums clandestins.
L’un d’eux, Poison Claude, vend l’accès aux modèles d’Anthropic entre 5 et 15 % du prix officiel par jeton. Le mécanisme de financement est un vol bien précis. Selon Okta, le service exploite des crédits promotionnels gratuits, comme les 100 dollars offerts par AWS sur les comptes Bedrock. Les opérateurs décrivent eux-mêmes le procédé sur leur site : ces comptes sont versés dans un pool commun, la requête du client est routée en arrière-plan vers l’un d’eux sans qu’il le voie, et on lui facture cette fraction du prix par jeton selon le modèle.
Le paiement se fait en cryptomonnaie. Le client reçoit une clé d’API et configure des variables d’environnement pour que son agent parle au service plutôt qu’au fournisseur du modèle. Une erreur de configuration a laissé exposé un point d’état affichant 881 utilisateurs au total et 872 actifs, un instantané et non une valeur maintenue. Le même reportage décrit un service comparable du marché gris, Ecomagent.in, qu’il situe à près de 970 utilisateurs, sans préciser qui a produit cette estimation.
Pourquoi un proxy passerelle voit tout
Okta formule le point structurel sans détour : lorsqu’un service est configuré en proxy passerelle, le fournisseur du service a une visibilité complète sur les prompts, puisque ces prompts doivent être transmis à un modèle.
Cela mérite deux lectures, car ce n’est pas une accusation. C’est une description de la plomberie. Si votre prompt doit traverser le serveur de quelqu’un d’autre pour atteindre un modèle, cette personne peut le lire. Aucune malveillance n’est nécessaire, aucune brèche non plus. La visibilité est l’état par défaut de cette architecture.
D’où l’inquiétude qu’Okta formule : le fournisseur du service pourrait divulguer ou vendre ces données. Pourrait. Ni Okta ni le reportage n’affirment qu’un de ces opérateurs a été observé en train de collecter ou de vendre des prompts clients. Ce qui est documenté, c’est la capacité, pas l’acte, et c’est exactement sur cette différence que la couverture négligente dérape.
La distinction qui compte vraiment
Il est tentant de ranger tout outil d’accès bon marché dans la même case. Ce serait une erreur, et le contraste est instructif.
Prenez Free Claude Code, un projet open source sous licence MIT sur GitHub, avec environ 47 000 étoiles. Lui aussi se place entre votre agent et un modèle, lui aussi existe pour réduire les coûts. Mais il tourne comme proxy local sur votre propre machine, en écoute sur 127.0.0.1, avec des clés d’API que vous créez vous-même chez les fournisseurs de votre choix. Le projet décrit ses fournisseurs comme conformes à leurs conditions d’utilisation, indique retirer les intégrations qui cessent d’être autorisées, et précise qu’il est indépendant et non affilié à Anthropic ni approuvé par lui.
La même forme sur un schéma, la posture inverse en matière de confidentialité. Dans le cas local, aucun tiers ne se trouve sur le chemin, puisque le proxy tourne sur votre matériel avec vos identifiants. Dans le cas hébergé, chaque prompt traverse une infrastructure contrôlée par quelqu’un dont le modèle économique repose sur des crédits volés.
La bonne question, quand on vous propose un accès moins cher, n’est donc pas de savoir s’il y a un proxy. C’est : à qui appartient la machine, et quel compte paie le fournisseur ?
Ce que l’erreur vous coûte
Pour un développeur seul, faire transiter ses prompts par une passerelle inconnue revient à céder ce qu’ils contiennent. Pour qui travaille sur des plans produits non publiés, des données clients ou du code interne, c’est une divulgation sans contrat derrière et sans moyen d’auditer ce qui s’est passé ensuite.
Les chercheurs citent d’autres risques. Les fournisseurs peuvent couper l’accès aux comptes frauduleux, et le service disparaît alors. Et un service peut annoncer un modèle de pointe tout en servant discrètement quelque chose de moins cher et de moins capable, puisque le client n’a aucun moyen de vérifier quel modèle a répondu.
L’angle marketing est plus modeste mais réel. Si votre équipe fait passer de la veille concurrentielle, des projets de positionnement ou du matériel de campagne non publié par un assistant, savoir qui d’autre peut lire ce matériel est une question d’affaires avant d’être une question de sécurité.
Ce qu’il faut vérifier
Cherchez où tourne le proxy. Si les instructions d’installation pointent vers une adresse de votre propre machine et réclament vos propres clés, personne d’autre n’est sur le chemin. Si l’on vous remet une clé pour un point de terminaison distant, quelqu’un l’est.
Cherchez quel compte est facturé. Un service qui facture une petite fraction du prix affiché vous subventionne, vous sert quelque chose de plus faible, ou dépense des crédits qui ne sont pas les siens.
Et demandez-vous ce que contiennent vos prompts avant de décider que cela n’a pas d’importance. La plupart des équipes le sous-estiment, parce que le sensible se trouve rarement dans le premier prompt. Il est dans le suivant, celui où vous collez le vrai fichier.
Sources
- The Hacker News, « Poison Claude Sells Discounted Claude Access While Its Operator Sees Every Customer Prompt », 5 août 2026 : https://thehackernews.com/2026/08/poison-claude-sells-discounted-claude.html (consulté le 26 août 2026). Source des conclusions d’Okta, du mécanisme de tarification et de crédits promotionnels, de la déclaration citée des opérateurs, du nombre d’utilisateurs et de la formulation sur le proxy passerelle. La source n’existe qu’en anglais : les citations sont une traduction propre.
- Dépôt de Free Claude Code, https://github.com/Alishahryar1/free-claude-code (consulté le 26 août 2026). Source de la licence, du nombre d’étoiles, de l’adresse locale du proxy et des déclarations du projet sur les conditions des fournisseurs et son indépendance vis-à-vis d’Anthropic.
