‑$200 за 40 минут: как я прошла принудительный экспресс‑курс по security для вайбкодинга

Значимый прорыв формирует отрасль ИИ: JuliaYu 3 минуты назад ‑$200 за 40 минут: как я прошла принудительный экспресс‑курс по security для вайбкодинга Простой 7 мин 73 Искусственный интеллект Информационная безопасность * IT-стандарты * Туториал Из песочницы Я дизайнер и продакт, но как и многие из вас — последний год самостоятельно разрабатываю проекты с Claude Code. И, как многие, была уверена, что соблюдаю базовые правила безопасности. Но два дня назад, меньше чем за час, злоумышленники потратили около $200, воспользовавшись моими API‑ключами Anthropic и OpenAI.

И расследование этого инцидента превратилось для меня в очень быстрый и очень дорогой курс по безопасности AI‑разработки. Этот текст в первую очередь для тех, кто, как и я, собирает продукты быстро, с ИИ‑ассистентом, и не является security‑инженером. Пусть эта статья станет вашим бесплатным экспресс‑курсом по безопасности.

Технические детали

Как все началосьНеспешно завтракая, ловлю пуш‑уведомление с почты:Your organization has been disabled due to an outstanding balance. Письмо о приостановке доступа к API ClaudeЗа день до этого я пополнила баланс на $20. Перехожу в консоль Anthropic — и вижу баланс ‑$85.

При этом Auto Reload у меня отключен, а Spend Limit стоит на $100 в месяц. Первый раз при входе в Консоль баланс был ‑$85Первая мысль — где‑то зациклился мой код. Я тут же отзываю API‑ключ и вместе с Claude Code начинаю искать зависший процесс внутри приложения.

Пока Клод проверяет сервер, я обновляю страницу консоли: минус уже больше $120. То есть одновременно произошло сразу несколько вещей — Anthropic остановил workspace, я отозвала ключ, а деньги продолжали списываться. Минусовой баланс в АнтропикТем временем Клод пишет, что кто‑то перебирает пароли от сервера, потом его подозрение падает на какой‑то зависший процесс.

Отраслевые последствия

Он сканирует логи, отправленные ему отчеты из консоли и так далее. Полтора часа продолжалась гадание на Claude. Он уверенно выдавал версии одну за другой — сначала перебор паролей к серверу, потом зависший процесс, который он даже «нашел» и «остановил».

Ни одна из них не подтвердилась: деньги продолжают списываться. Первые гипотезы Claude выдает уверенно и искать дальше не хочетПока он гадал, я параллельно проверяла остальные аккаунты и балансы и чувствовала себя человеком с открытым кошельком, из которого на глазах исчезают деньги, — без понимания, почему и как это остановить. По OpenAI на балансе тоже обнаружился минус, но он, лапочка, ушёл в −$5 и все списания заморозил.

Почему деньги продолжали списываться после отзыва ключа и почему лимит расходов не спасЯ была уверена, что отключенное автопополнение плюс Spend Limit — это жесткое финансовое ограничение.

Этот прогресс даёт важные сигналы о будущем отрасли, и технологический мир внимательно наблюдает.