Massive Extraktionsattacke auf Claude: Wie Alibaba mit 25.000 Fake-Accounts KI-Fähigkeiten absaugte

von Denis Shokhirev, Enterprise AI Architect aus Erlangen. Bei DennisCraft AI Studio liefern wir produktive KI-Systeme für DACH-Kunden in Logistik, Fintech und Industrieautomation. Im letzten halben Jahr habe ich 14 KI-Agenten mit Claude, Supabase, n8n, Doppler und eigenem Postgres in den Produktivbetrieb gebracht. Heute zeige ich konkret, wie Alibaba 2024 mit 25.000 Fake-Accounts systematisch die API-Limits von Claude umging (Financial Times, 2024) – und warum diese Angriffsform für regulierte KI-Produkte aus DACH keine Theorie ist.

Wie Alibaba Claude „abgesaugt“ hat

Account-Automatisierung als Angriffsvektor

Alibaba setzte 25.000 synthetische Nutzerkonten ein, um API-Rate-Limits und Nutzungsgrenzen von Claude auszuhebeln. Das ermöglichte ihnen, Prompts massiv zu parallelisieren und so deutlich mehr Inferenz-Leistung „abzusaugen“ als ein legitimer Kunde – kein Diebstahl von Code, sondern systematische Ausbeutung von KI-Kapazitäten.

Technische Umsetzung der Attacke

Kein Zero-Day, sondern reine Automatisierung: massenhafte Registrierung, dann Proxying der Requests über tausende Tokens. Dieses Muster kann jeder reproduzieren, der über grundlegende Scripting- und API-Kenntnisse verfügt – sofern Sie nicht auf mehreren Ebenen (Rate Limits, Fingerprinting, Verhaltensanomalien) absichern.

import requests
from faker import Faker

fake = Faker()

def register_account():
    data = {
        "email": fake.email(),
        "password": fake.password(length=14),
        "name": fake.name()
    }
    r = requests.post("https://api.claude.ai/register", json=data)
    return r.json().get("token")

tokens = [register_account() for _ in range(15)]

def query_claude(token, prompt):
    headers = {"Authorization": f"Bearer {token}"}
    r = requests.post("https://api.claude.ai/v1/completions", json={"prompt": prompt}, headers=headers)
    return r.json().get("completion")

for token in tokens:
    print(query_claude(token, "Bitte analysieren Sie diesen Prozessbericht."))

Warum klassische Schutzmaßnahmen versagen

Rate Limiting reicht nicht aus

Viele SaaS-Anbieter setzen weiterhin auf IP- und User-basierte Rate Limits, kombiniert mit E-Mail-Verifikation. In der Praxis sind diese Vorkehrungen durch Proxy-Rotation, automatisierte CAPTCHA-Löser und Wegwerf-Mails schnell auszuhebeln.

Verhaltensanomalien sind der Schlüssel

Echte Kunden erzeugen keine tausenden Accounts in Minuten. Das Monitoring von Registrierungs-Peaks, Request-Bursts und wiederholten Fingerprints (über Supabase-Logs, n8n-Events und Postgres-Prüfpfade) ist entscheidend, um Angriffe frühzeitig zu erkennen. Die Anomalie-Analyse ist auch Bestandteil des BSI-Grundschutzes und wird von der DSGVO als „technische und organisatorische Maßnahme“ gefordert.

Wie Sie Ihre KI-API im Produktivbetrieb absichern

1. Zentrale Aggregation und Korrelation von Sicherheitsereignissen

Ich leite alle kritischen Ereignisse (Registrierung, Login, API-Call) zentral in Supabase und eigene Postgres-Schemas. So werden Cluster nach Zeit, IP oder Geräte-Fingerprint sichtbar und automatisierte Angriffe früh erkannt.

// Beispiel: Auffällige Registrierungen mit Supabase aggregieren
import { createClient } from '@supabase/supabase-js';

const supabase = createClient(SUPABASE_URL, SUPABASE_KEY);

async function suspiciousRegistrations() {
    const { data, error } = await supabase
        .from('registrations')
        .select('*')
        .gte('created_at', '2024-06-01T00:00:00Z');
    if (error) throw error;
    return data.filter(r => r.ip_address && r.ip_address.startsWith('172.16.'));
}

2. Mehrstufige Rate-Limits

Nur ein User-Limit ist nicht produktionssicher. Ich setze mehrstufige Limits ein:

• IP-basiert (nginx/nginx-ingress)
• Geräte-Fingerprint (z.B. fingerprintjs)
• Temporale Muster (z.B. max. 5 Registrierungen pro /24-Subnetz pro Stunde)

3. Automatische und manuelle Reaktion auf Anomalien

n8n-Workflows sperren automatisch Konten mit auffälligen Mustern (via Supabase), während Cluster immer an die Security-Review gehen. So werden Graubereiche erkannt, ohne echte Nutzer zu behindern.

# Beispiel n8n-Workflow für Auto-Ban
- trigger: registration_event
- condition: suspicious_pattern
- action: ban_account
- notify: security_team

Lehren für DACH-KI-Teams in regulierten Märkten

1. „Security by Default“ ist ein Mythos

Jede produktive KI-API ist eine Angriffsfläche. Standardmaßnahmen helfen wenig gegen organisierte Angreifer. Wer 25.000 Accounts per Script erstellt, lacht über CAPTCHA und E-Mail-Limit.

2. Investieren Sie in Verhaltensanalytik

Nutzungsverhalten ist der wichtigste Indikator. Ich habe ML-basierte Anomalie-Erkennung direkt in Postgres implementiert (z.B. Registrierungsspitzen, ungewöhnliche Last). Perfekt ist das nicht, aber es filtert 80% aller automatisierten Angriffe heraus – ohne großen Overhead.

3. Regelmäßige Sicherheitsprüfung ist Pflicht

Setzen Sie OWASP ZAP, semgrep oder bandit zur laufenden Code- und Infrastrukturprüfung ein. In meinen letzten drei Releases habe ich Schwachstellen nur durch gezielte Edge-Case-Tests gefunden, nicht durch Unit-Tests oder Standard-Pipelines.

FAQ

Wie erkenne ich schnell Fake-Account-Wellen?

Aggregieren Sie Registrierungen in Supabase/Postgres und bauen Sie Benachrichtigungen bei Peaks nach IP, Fingerprint oder Zeitfenster.

Bringt IP-Sperre wirklich etwas bei Proxy-Nutzung?

Nur in Kombination mit Fingerprinting und Subnetz-Limits. Allein ist sie zu einfach auszuhebeln.

Was tun, wenn CAPTCHA umgangen wird?

Verknüpfen Sie Verhaltens-, Geräte- und Zeitmusterprüfungen. Automatische Sperre bei Anomalien ist effektiver als reine Tests.

Welche Tools helfen für Code-Audits?

semgrep, bandit, gitleaks sind für Python und TypeScript produktiv erprobt. Am besten direkt ins CI/CD einbinden.

Welcher Stack eignet sich für Anomalie-Monitoring?

Supabase (Logging), n8n (Automatisierung), Postgres (Analyse), plus eigene Alarme und ML-Modelle für Ausreißer.

Haben Sie im Produktivbetrieb schon Versuche entdeckt, KI-API-Limits zu umgehen – oder vertrauen Sie noch auf „normales Nutzerverhalten“? Welches Anomalie-Muster fiel Ihnen zuerst auf? Ich biete einen kostenlosen 30-minütigen Stack-Audit für DACH-Teams, die KI in regulierten Märkten produktiv bereitstellen. Kontaktieren Sie mich auf LinkedIn oder via @ger_dennis_ai.