TechCrunch 통신에 따르면 영국의 한 AI 컨설턴트가 Anthropic의 인공지능 서비스 Claude를 사용하지 않는 동안에도 유료 계정의 토큰 사용량이 급격히 증가하는 일을 겪은 것으로 나타났다. 조사 결과 탈취된 Claude 세션 키를 이용한 무단 사용 가능성이 확인되면서 AI 서비스 계정의 보안과 사용량 추적 체계가 새로운 문제로 떠올랐다.TechCrunch에 따르면 영국 East Sussex에서 독립 AI 컨설턴트로 활동하는 Grant de Swardt는 지난 8월 4일 자신의 Claude Max 20x 계정에서 이상한 사용량 증가를 발견했다.

당시 De Swardt는 업무를 하지 않았지만 계정의 토큰 사용량은 계속 늘어났다. 그는 다음 날 Claude와 연결된 기능들을 비활성화하고 작업도 중단한 채 사용량을 관찰했지만 같은 현상이 반복됐다고 밝혔다.De Swardt는 TechCrunch에 "가장 명확하게 통제된 구간에서는 내가 아무것도 하지 않았는데도 사용량이 45%에서 55%로 증가했다"고 설명했다. 당시 예약된 Cowork 작업은 일시정지됐거나 완료됐고, Dispatch 및 클라우드 실행도 비활성화됐으며 이에 대응하는 활성 로컬 Claude Code 작업도 없었다고 주장했다.De Swardt는 자신의 토큰이 어디에서 사용되고 있는지 확인하기 위해 Anthropic에 사용량을 항목별로 공개해 달라고 요청했다. Anthropic은 세부 목록을 제공하지 않았지만 계정에서 이상 현상이 발생했다는 점에는 동의한 것으로 전해졌다.

이후 그의 유료 계정은 일시 정지됐으며 모든 세션과 서버 측 Claude Code 토큰이 무효화됐다. Anthropic은 월 200달러 규모의 구독 서비스에서 남은 이용기간에 대해 44.49파운드를 부분 환불했다.조사 이후 Anthropic은 De Swardt에게 침해된 Claude 세션 키가 무단 Claude Code OAuth 토큰을 발행하는 데 이용됐다고 설명했다.Anthropic은 TechCrunch에 해당 계정이 "무단으로 보이는 제3자 서비스에서 다른 사람들의 활동을 처리하는 데 사용된 것으로 보인다"고 밝혔다. 회사는 정확히 어떤 방식으로 접근이 이뤄졌는지는 확인하지 못했지만, 이용자 동의 없이 인증정보나 세션 데이터가 탈취됐거나 계정이 외부 서비스와 연결됐을 가능성과 일치하는 증거가 있다고 설명했다.결과적으로 공격자가 De Swardt의 계정 접근권한을 확보한 뒤 그의 Claude 사용량을 소비했을 가능성이 제기된 것이다.

문제는 이용자가 이러한 비정상적인 사용을 구체적으로 파악하기 어렵다는 점이다. TechCrunch 보도에 따르면 계정 지원 시스템에서는 전체 사용량을 추적하지만 세부적인 항목별 사용량을 이용자에게 제공하지 않아 이와 같은 무단 사용이 장기간 발견되지 않을 가능성이 있다.De Swardt가 자신의 경험을 Reddit에 공개한 이후 다른 Claude 사용자들도 유사한 경험을 주장했다.한 이용자는 동의 없이 계정이 자동 업그레이드되고 신용카드 결제가 발생했으며, 서비스를 사용하지 않았는데도 사용량이 0%에서 100%까지 급격하게 증가했다고 주장했다.다른 이용자는 몇 차례의 프롬프트와 웹 검색만 수행했는데 약 12분 만에 사용 가능량의 49%가 소비됐다고 밝혔다.또 다른 Claude 이용자는 서비스를 전혀 이용하지 않았음에도 3일 연속으로 매일 최대 토큰 사용량이 소진됐다고 주장하며 Anthropic의 Claude Code GitHub에 관련 문제를 보고했다. 해당 보고서에서도 다른 사용자들이 비슷한 현상을 경험했다는 의견을 남겼다.

일부 이용자가 공개한 Anthropic의 안내 이메일에서는 악성코드를 이용한 Claude 로그인 세션 탈취 공격이 실제로 파악됐다는 내용도 확인됐다.Anthropic은 해당 이메일에서 일반적으로 사용되는 '인포스틸러(infostealer)' 악성코드를 이용해 사용자의 컴퓨터에서 Claude 로그인 세션을 탈취한 뒤 해당 계정의 사용량을 소비하는 악의적인 행위자를 인지하고 있다고 밝혔다.인포스틸러는 감염된 컴퓨터에서 저장된 비밀번호와 로그인 정보, 세션 데이터 등을 빼내는 악성코드다. 공격자가 비밀번호 자체를 알지 못하더라도 유효한 세션 정보를 확보할 경우 서비스에 접근할 가능성이 있다는 점에서 계정 보안의 위험 요소로 꼽힌다.De Swardt의 사례에서는 공격자가 어떤 방식으로 세션 정보에 접근했는지가 명확하게 확인되지 않았다.

그는 자신의 컴퓨터가 악성코드 등에 의해 침해됐다는 증거를 발견하지 못했다고 주장했다. Anthropic 역시 구체적인 접근 경로를 확인하지 못한 것으로 전해졌다.De Swardt의 Claude 계정은 약 2주 뒤 복구됐다. 그러나 그는 문제 발생 당시 신속하게 지원받기 어려웠고 토큰이 구체적으로 어디에서 사용됐는지를 확인할 수 있는 기록도 부족했다며 결국 Claude 구독을 취소했다.그는 이후 Cursor를 사용하면서 여러 AI 모델과 상대적으로 저렴한 오픈소스 모델을 선택할 수 있는 환경으로 옮겼다고 밝혔다. De Swardt는 다른 모델들도 자신의 업무에서는 Claude와 비교해 큰 차이 없이 작동하고 있다고 평가했다.

De Swardt는 중소기업을 대상으로 AI 에이전트 구축을 지원하고 있으며 이메일에 포함된 구매 주문 데이터를 회계 소프트웨어로 자동 입력하는 등의 업무를 수행하고 있다. 개인사업자인 만큼 일상적인 행정 업무부터 웹사이트 디자인과 코딩까지 사업 전반에서 AI 에이전트에 의존해 왔다고 설명했다.그는 이번 사건의 핵심 문제로 사용자가 자신의 토큰이 실제로 어디에서 소비되고 있는지 확인할 수 있는 수단이 부족하다는 점을 지적했다.

Anthropic은 TechCrunch가 이용자들이 계정 오용 여부를 어떻게 식별할 수 있는지 묻자 구체적인 답변을 내놓지 않았다.AI 에이전트와 코딩 도구가 사용자의 계정 권한을 이용해 장시간 자율적으로 작동하는 사례가 증가하면서 토큰 사용량을 단순히 총량으로 보여주는 것을 넘어 세션·기기·서비스별 사용 기록을 확인할 수 있는 보안 기능의 필요성도 커질 것으로 보인다.Anthropic은 의심스러운 활동이 확인된 일부 계정의 사용자를 로그아웃시키고 기존 인증을 무효화했으며, 일부 이용자에게 환불과 함께 악성코드 감염 가능성을 경고한 것으로 전해졌다.다만 회사는 이러한 악성코드 감염이 Claude 자체를 사용했기 때문에 발생한 것은 아니라고 밝혔다. 인포스틸러는 감염된 소프트웨어를 설치하거나 악성 광고를 클릭하는 등 다양한 경로를 통해 사용자 기기에 침투할 수 있다.