研究者披露Claude免费无限使用漏洞

安全研究者 ciarands 公开披露 Anthropic 的多个授权缺陷，称免费账户可调用全部公开前沿模型且不计费。核心问题是 /v1/code/sessions/{id}/bridge 对任意登录用户签发 worker JWT，而 /v1/messages/batches 缺少套餐校验。 据其描述，利用该漏洞需账户至少发送过一条消息，且 JWT 每 8 小时需刷新；被暂停的账户仍可访问 /v1/messages/ 免费使用全部模型，且没有批次接口的低优先级降速。 ciarands 称，批次接口问题已于 9 月被静默修复，未收到反馈。

AI 根据报道生成 · 1 小时前更新

还没有足够的连续观测数据，暂不绘制趋势。