L’accesso ai modelli di frontiera costa abbastanza da aver fatto nascere un mercato attorno all’idea di averlo a meno. Una parte di quel mercato sono strumenti open source legittimi. Un’altra parte è apertamente criminale. Da fuori possono somigliarsi, perché entrambi si mettono tra il tuo agente di sviluppo e il modello.
La differenza non è il prezzo. È se la macchina in mezzo è tua.
Cosa hanno trovato i ricercatori
Il 5 agosto 2026 The Hacker News ha riportato un’analisi di Okta firmata da Jeremy Kirk e Mathew Woodyard, che descrive più di una mezza dozzina di servizi che offrono accesso illegale ai modelli su forum clandestini.
Uno di questi, Poison Claude, vende l’accesso ai modelli di Anthropic al 5-15 % del prezzo ufficiale per token. Il meccanismo di finanziamento è un furto ben preciso. Secondo Okta, il servizio sfrutta i crediti promozionali gratuiti, come i 100 dollari di bonus AWS sugli account Bedrock. Gli operatori descrivono il funzionamento sul proprio sito: quegli account finiscono in un pool comune, la richiesta del cliente viene instradata dietro le quinte verso uno di essi senza che lui lo veda, e gli viene addebitata quella frazione del prezzo per token a seconda del modello.
Si paga in criptovaluta. Il cliente riceve una chiave API e imposta variabili d’ambiente perché il suo agente parli con il servizio invece che con il fornitore del modello. Un errore di configurazione ha lasciato esposto per un periodo un endpoint di stato che mostrava 881 utenti totali e 872 attivi, una fotografia istantanea e non un valore mantenuto. Lo stesso servizio giornalistico descrive un servizio analogo del mercato grigio, Ecomagent.in, e lo colloca a quasi 970 utenti, senza indicare chi abbia prodotto quella stima.
Perché un proxy gateway vede tutto
Okta formula il punto strutturale senza giri di parole: quando un servizio è configurato come proxy gateway, il fornitore del servizio ha piena visibilità sui prompt, perché quei prompt devono essere inoltrati a un modello.
Vale la pena rileggerlo, perché non è un’accusa. È la descrizione di come funziona l’idraulica. Se il tuo prompt deve attraversare il server di un altro per arrivare a un modello, quell’altro può leggerlo. Non serve cattiva intenzione e non serve alcuna violazione. La visibilità è lo stato predefinito di quell’architettura.
Da lì nasce la preoccupazione che Okta esprime: il fornitore del servizio potrebbe far trapelare o vendere quei dati. Potrebbe. Né Okta né il servizio giornalistico affermano che qualcuno di questi operatori sia stato osservato mentre raccoglieva o vendeva i prompt dei clienti. Ciò che è documentato è la possibilità, non il fatto, e la differenza tra le due cose è esattamente il punto in cui la copertura frettolosa sbaglia.
La distinzione che conta davvero
Viene voglia di mettere ogni strumento per l’accesso a basso costo nello stesso cassetto. Sarebbe sbagliato, e il contrasto è istruttivo.
Prendi Free Claude Code, un progetto open source su GitHub con licenza MIT e circa 47.000 stelle. Anche lui si mette tra il tuo agente e un modello, anche lui esiste per abbassare i costi. Ma gira come proxy locale sulla tua macchina, in ascolto su 127.0.0.1, con chiavi API che crei tu presso i fornitori che scegli tu. Il progetto descrive i suoi fornitori come conformi ai rispettivi termini di servizio, dichiara di rimuovere le integrazioni quando smettono di essere consentite, e chiarisce di essere indipendente e non affiliato né sostenuto da Anthropic.
Stessa forma su uno schema, postura opposta sulla privacy. Nel caso locale non c’è alcun terzo lungo il percorso, perché il proxy gira sul tuo hardware con le tue credenziali. Nel caso ospitato ogni prompt attraversa infrastruttura controllata da qualcuno il cui modello di business si regge su crediti rubati.
La domanda utile, quando qualcuno ti offre un accesso più economico, non è quindi se ci sia di mezzo un proxy. È: di chi è il computer, e quale account paga il fornitore?
Quanto ti costa sbagliare
Per uno sviluppatore singolo, far passare i prompt da un gateway sconosciuto significa consegnare ciò che quei prompt contengono. Per chi lavora su piani di prodotto non pubblicati, dati dei clienti o codice interno, è una divulgazione senza contratto dietro e senza modo di verificare cosa sia successo dopo.
I ricercatori elencano altri rischi. I fornitori possono chiudere gli account fraudolenti, e allora il servizio sparisce. E un servizio può pubblicizzare un modello di frontiera mentre serve di nascosto qualcosa di più economico e meno capace, perché il cliente non ha modo di verificare quale modello abbia risposto.
L’aspetto marketing è più piccolo ma reale. Se il tuo team fa passare ricerca sui concorrenti, bozze di posizionamento o materiale di campagna non pubblicato attraverso un assistente, chi altro può leggere quel materiale è una domanda di business prima ancora che di sicurezza.
Cosa controllare
Scopri dove gira il proxy. Se le istruzioni puntano a un indirizzo della tua macchina e ti chiedono le tue chiavi, non c’è nessun altro nel percorso. Se ti consegnano una chiave per un endpoint remoto, c’è.
Scopri quale account viene addebitato. Un servizio che chiede una piccola frazione del prezzo di listino o ti sta sovvenzionando, o ti serve qualcosa di più debole, o spende crediti che non sono suoi.
E chiediti cosa contengono i tuoi prompt prima di decidere che non importa. Quasi tutti i team lo sottovalutano, perché il materiale sensibile raramente sta nel primo prompt. Sta in quello dopo, quando incolli il file vero.
Fonti
- The Hacker News, “Poison Claude Sells Discounted Claude Access While Its Operator Sees Every Customer Prompt”, 5 agosto 2026: https://thehackernews.com/2026/08/poison-claude-sells-discounted-claude.html (consultato il 26 agosto 2026). Origine dei risultati di Okta, del meccanismo di prezzi e crediti promozionali, della dichiarazione citata degli operatori, dei conteggi utenti e della formulazione sul proxy gateway. La fonte esiste solo in inglese: le citazioni sono traduzione propria.
- Repository di Free Claude Code, https://github.com/Alishahryar1/free-claude-code (consultato il 26 agosto 2026). Origine della licenza, del numero di stelle, dell’indirizzo locale del proxy e delle dichiarazioni del progetto sui termini dei fornitori e sulla propria indipendenza da Anthropic.
