Per chi usa un assistente AI tutti i giorni, il contatore dei token è diventato qualcosa di molto concreto: indica quanto si può ancora lavorare, quanto costa continuare e, nei piani più avanzati, quanto valore resta dentro un abbonamento. Per questo alcuni utenti di Claude si sono allarmati quando hanno visto il consumo crescere anche mentre non stavano utilizzando il servizio. Non era soltanto un problema di fatturazione. In almeno una parte dei casi, dietro quei numeri c’era un accesso non autorizzato.

TechCrunch ha raccolto diverse testimonianze di abbonati Claude Max che hanno registrato aumenti improvvisi dell’utilizzo senza attività riconducibile a loro. In un caso documentato, un consulente AI britannico ha visto il proprio consumo salire anche dopo aver sospeso task, disabilitato servizi collegati e smesso di lavorare con Claude. Dopo l’indagine, Anthropic gli avrebbe comunicato che una chiave di sessione compromessa era stata usata per generare token OAuth di Claude Code non autorizzati.

Non serve rubare la password se si riesce a rubare la sessione

Il punto tecnico è importante. Quando un utente accede a un servizio, il sistema non gli chiede la password a ogni singola azione. Dopo l’autenticazione vengono creati token e sessioni che permettono al browser, alle app o agli strumenti collegati di continuare a operare. Se uno di questi elementi viene sottratto, un attaccante può in alcuni casi riutilizzarlo per comportarsi come un utente già autenticato, senza dover necessariamente conoscere la password originale.

Secondo le comunicazioni di Anthropic riportate dagli utenti, alcuni degli episodi sarebbero collegati a comuni infostealer, malware progettati per raccogliere password salvate, cookie, dati di sessione e altre credenziali presenti sul computer. È una famiglia di minacce che esiste da anni, ma che diventa ancora più delicata quando l’account compromesso non dà accesso soltanto a una casella email o a un social: può aprire la porta a un agente AI capace di eseguire codice, usare strumenti, consultare file e consumare risorse costose.

Anthropic, secondo quanto ricostruito da TechCrunch, ha reagito in alcuni casi invalidando le sessioni, disconnettendo gli utenti, emettendo rimborsi e avvertendo della possibile presenza di malware. Il problema, però, non sembra ridursi alla semplice domanda “la password è stata rubata?”. L’ecosistema attorno a Claude comprende browser, app desktop, Claude Code, estensioni e autorizzazioni OAuth: ogni nuovo punto di integrazione rende il prodotto più utile, ma aumenta anche il numero di credenziali che devono essere gestite e revocate correttamente.

Il problema più serio è capire cosa sta consumando i token

Una delle criticità emerse dai racconti degli utenti è la scarsa granularità con cui viene mostrato l’utilizzo. Vedere che il consumo è salito non significa necessariamente capire quale sessione, dispositivo o autorizzazione abbia generato quell’attività. Per un utente normale è fastidioso; per chi usa Claude come strumento di lavoro può diventare un problema operativo serio.

Nel caso raccontato da TechCrunch, il professionista coinvolto ha chiesto un dettaglio dell’attività che spiegasse quali processi avessero consumato la quota. Non avrebbe ricevuto una ricostruzione completa. Questo crea una situazione paradossale: il sistema può accorgersi che c’è stato un utilizzo anomalo e prendere misure di sicurezza, ma l’utente può non avere gli strumenti per ricostruire autonomamente l’incidente.

Più gli agenti AI diventano autonomi, più questo tipo di tracciabilità diventa centrale. Non basta sapere che “Claude ha usato il 20% della quota”. Serve poter capire quale client ha operato, con quale autorizzazione, da quale dispositivo, quali strumenti ha invocato e in quale finestra temporale. È lo stesso principio che da anni guida i sistemi aziendali più maturi: log dettagliati, audit trail e possibilità di revoca selettiva.

Il logout globale non è sempre la fine della storia

Anthropic mette già a disposizione una funzione per disconnettere tutte le sessioni attive e permette di gestire separatamente i token di autorizzazione di Claude Code. In teoria sono proprio gli strumenti che un utente dovrebbe usare dopo un accesso sospetto.

Ma il tema si complica quando entrano in gioco integrazioni diverse. In un report pubblico su GitHub, un utente ha documentato un caso in cui l’estensione ufficiale Claude for Chrome sarebbe rimasta autenticata anche dopo il logout globale, mentre la relativa autorizzazione non risultava visibile tra i normali token di Claude Code. Il report non dimostra che questa sia stata la causa degli episodi di consumo non autorizzato, e va quindi trattato come un’ipotesi tecnica da verificare. Ma mostra bene il problema più generale: in un ecosistema pieno di token, estensioni e agenti, il concetto di “esci da tutti i dispositivi” deve davvero comprendere tutto.

Perché gli agenti AI alzano la posta

Con i chatbot tradizionali, un account rubato permetteva soprattutto di leggere conversazioni o generare nuove risposte. Con gli agenti di nuova generazione la superficie di rischio è diversa. Claude Code può lavorare dentro repository, modificare file ed eseguire comandi. Altri sistemi agentici possono collegarsi a email, calendari, documenti, browser e servizi aziendali. Il valore di una sessione autenticata cresce insieme alle capacità dell’agente.

Questo significa che la sicurezza non può più essere trattata come un accessorio dell’interfaccia. La gestione delle sessioni diventa parte del prodotto tanto quanto il modello. Revoca immediata, riconoscimento dei dispositivi, notifiche per nuove autorizzazioni, limiti di spesa, log leggibili e rilevamento delle anomalie dovranno diventare caratteristiche standard, soprattutto per gli utenti che affidano all’AI processi continui o semi-autonomi.

C’è anche un tema economico. I piani AI più costosi possono dare accesso a quantità molto elevate di calcolo. Se una credenziale viene sottratta, non viene rubato soltanto un account: viene sottratta capacità computazionale già pagata da qualcun altro. È una forma di abuso che assomiglia, per certi versi, al furto di crediti cloud o di chiavi API, ma resa più opaca dal fatto che l’utilizzo passa attraverso prodotti consumer e abbonamenti mensili.

Cosa può fare oggi un utente Claude

Chi nota un consumo inspiegabile dovrebbe considerarlo un possibile segnale di compromissione e non soltanto un bug del contatore. Disconnettere tutte le sessioni, revocare i token di Claude Code non più necessari, controllare estensioni e applicazioni collegate e verificare la presenza di malware sono le prime azioni sensate. È utile anche mettere in sicurezza l’account Google o l’email utilizzati per l’accesso, perché la protezione dell’AI dipende inevitabilmente dalla protezione dell’identità a monte.

La lezione, però, non può ricadere interamente sugli utenti. Se gli assistenti AI vogliono trasformarsi in infrastrutture quotidiane, devono offrire strumenti di sicurezza all’altezza del ruolo che stanno assumendo. Un agente capace di lavorare in autonomia deve essere anche estremamente facile da fermare, isolare e ispezionare.

La prossima battaglia dell’AI sarà anche sulla fiducia

Negli ultimi due anni la competizione tra OpenAI, Anthropic, Google e gli altri grandi laboratori si è concentrata su benchmark, capacità di ragionamento, velocità e autonomia. Ma più l’AI entra nei flussi di lavoro reali, più la differenza tra un prodotto interessante e uno affidabile si sposta verso dettagli apparentemente meno spettacolari: chi può accedere, quali autorizzazioni restano attive, quanto è semplice capire che cosa è successo e quanto velocemente si può bloccare un comportamento anomalo.

I casi di token consumati senza consenso sono quindi più di una curiosità tecnica. Sono un promemoria di ciò che succede quando l’AI smette di essere soltanto una finestra di chat e diventa un sistema operativo per il lavoro digitale. A quel punto proteggere la sessione significa proteggere anche tutto ciò che l’agente può fare al posto nostro.