研究者披露Claude免费账号可调全部模型漏洞

2026年10月21日，一名安全研究者在Hacker News公开对Anthropic的漏洞挖掘记录，称免费claude.ai账号可通过/v1/code/sessions/{id}/bridge获取worker JWT，并在/v1/messages/batches上无计划限制地调用全部公开模型。该研究者表示，披露遵循90天负责任披露惯例；相关JWT被用于OpenCode。研究者还称，自9月起该问题已被悄然修复但未获反馈，且仍存在若干相关问题，若进行适当复测本可发现；其尽力后部分所述问题仍未修复。目前报道未说明Anthropic的进一步回应，也未给出漏洞影响范围或修复细节。

AI 根据报道生成 · 1 小时前更新

还没有足够的连续观测数据，暂不绘制趋势。