কৃত্রিম বুদ্ধিমত্তাভিত্তিক চ্যাটবট ক্লডের কয়েকজন গ্রাহকের অ্যাকাউন্ট থেকে অনুমতি ছাড়াই ব্যবহারের কোটা বা ‘টোকেন’ খরচ হওয়ার অভিযোগ উঠেছে। অনুসন্ধানে দেখা গেছে, কিছু ক্ষেত্রে ব্যবহারকারীর লগইন সেশন হাতিয়ে নিয়ে সেই অ্যাকাউন্টের সুবিধা অন্যরা ব্যবহার করেছে। এ ধরনের ঘটনার পেছনে তথ্য চুরির ম্যালওয়্যার বা ‘ইনফোস্টিলার’-এর সংশ্লিষ্টতার কথাও জানিয়েছে ক্লডের নির্মাতা প্রতিষ্ঠান অ্যানথ্রপিক।

প্রযুক্তিবিষয়ক সংবাদমাধ্যম টেকক্রাঞ্চের এক প্রতিবেদনে এসব তথ্য উঠে এসেছে।

প্রতিবেদন অনুযায়ী, যুক্তরাজ্যের ইস্ট সাসেক্সের স্বাধীন এআই পরামর্শক গ্র্যান্ট ডি সোয়ার্ট গত ৪ আগস্ট তার Claude Max 20x অ্যাকাউন্টে অস্বাভাবিক ব্যবহার লক্ষ্য করেন। সেদিন তিনি কাজ না করলেও তার নির্ধারিত টোকেন ব্যবহারের পরিমাণ বাড়তে থাকে।

বিষয়টি যাচাই করতে পরদিন ক্লডের সঙ্গে যুক্ত বিভিন্ন সেবা বন্ধ রেখে তিনি অ্যাকাউন্ট ব্যবহার করা থেকে বিরত থাকেন। এরপরও টোকেন খরচ বাড়তে থাকে। এক পর্যায়ে কোনো কাজ না করা অবস্থাতেই তার ব্যবহারের হার ৪৫ শতাংশ থেকে বেড়ে ৫৫ শতাংশে পৌঁছায় বলে তিনি জানান।

এরপর অ্যানথ্রপিকের সহায়তা বিভাগের সঙ্গে যোগাযোগ করেন ডি সোয়ার্ট। কোন কাজের জন্য কত টোকেন ব্যবহৃত হয়েছে, তার বিস্তারিত হিসাব চাইলেও সেটি তিনি পাননি। তবে অ্যানথ্রপিক তার অ্যাকাউন্টে অস্বাভাবিকতার বিষয়টি আমলে নেয়। প্রতিষ্ঠানটি সাময়িকভাবে তার অর্থপ্রদত্ত অ্যাকাউন্ট স্থগিত করে এবং সক্রিয় সেশন ও সার্ভার-সাইড Claude Code টোকেন বাতিল করে। পাশাপাশি সাবস্ক্রিপশনের অবশিষ্ট সময়ের জন্য তাকে আংশিক অর্থ ফেরত দেওয়া হয়।

পরবর্তী তদন্তে অ্যানথ্রপিক জানায়, তার একটি Claude session key অননুমোদিতভাবে ব্যবহৃত হয়েছিল। ওই সেশন থেকে অনুমোদনহীন Claude Code OAuth টোকেন তৈরি করা হয়। প্রতিষ্ঠানটির পর্যবেক্ষণে অ্যাকাউন্টটি এমন একটি তৃতীয় পক্ষের সেবায় ব্যবহৃত হওয়ার আলামত পাওয়া যায়, যেখান থেকে অন্যদের হয়ে কার্যক্রম পরিচালিত হচ্ছিল।

তবে ডি সোয়ার্টের অ্যাকাউন্টে কীভাবে অননুমোদিত প্রবেশ ঘটেছে, তা নিশ্চিতভাবে শনাক্ত করা যায়নি।

ঘটনাটি প্রকাশ্যে আসার পর আরও কয়েকজন ক্লড ব্যবহারকারী একই ধরনের অভিজ্ঞতার কথা জানান। কারও দাবি, ব্যবহার না করেও অল্প সময়ের মধ্যে তার টোকেন ব্যবহারের হার ব্যাপকভাবে বেড়ে যায়। আবার কেউ কয়েক দিন ধরে অ্যাকাউন্ট ব্যবহার না করেও দৈনিক সর্বোচ্চ সীমা পর্যন্ত টোকেন খরচ হওয়ার অভিযোগ করেন।

কিছু ব্যবহারকারীকে পাঠানো অ্যানথ্রপিকের সতর্কবার্তায় বলা হয়, একটি ক্ষতিকর চক্র প্রচলিত ‘ইনফোস্টিলার’ ম্যালওয়্যার ব্যবহার করে কম্পিউটার থেকে ক্লডের লগইন সেশন চুরি করছে। পরে সেই সেশন ব্যবহার করে সংশ্লিষ্ট অ্যাকাউন্টে প্রবেশ করে ব্যবহারকারীর বরাদ্দ করা সুবিধা বা টোকেন ব্যবহার করা হচ্ছে।

ইনফোস্টিলার এমন একধরনের ক্ষতিকর সফটওয়্যার, যা আক্রান্ত ডিভাইস থেকে সংরক্ষিত পাসওয়ার্ড, লগইন তথ্য ও সেশন ডেটার মতো সংবেদনশীল তথ্য চুরি করতে পারে। সংক্রমিত সফটওয়্যার ডাউনলোড কিংবা ক্ষতিকর বিজ্ঞাপন বা লিংকে ক্লিক করাসহ বিভিন্ন উৎস থেকে এ ধরনের ম্যালওয়্যার ডিভাইসে প্রবেশ করতে পারে।

সন্দেহজনক কার্যক্রম শনাক্ত হওয়ার পর কয়েকজন ব্যবহারকারীকে অ্যাকাউন্ট থেকে লগআউট করে দেয় অ্যানথ্রপিক এবং বিদ্যমান অনুমোদন বাতিল করে। কিছু ক্ষেত্রে অর্থ ফেরত দেওয়ার পাশাপাশি ব্যবহারকারীর ডিভাইসে ম্যালওয়্যার থাকার সম্ভাবনা সম্পর্কেও সতর্ক করা হয়।

অ্যানথ্রপিকের ভাষ্য অনুযায়ী, ক্লড ব্যবহারের কারণে সংশ্লিষ্ট ম্যালওয়্যার ব্যবহারকারীর কম্পিউটারে প্রবেশ করেছে—এমন নয়।

ডি সোয়ার্টের অ্যাকাউন্ট প্রায় দুই সপ্তাহ পর পুনরায় চালু করা হয়। তবে দ্রুত সহায়তা না পাওয়া এবং কোন খাতে টোকেন ব্যবহৃত হয়েছে তার বিস্তারিত তথ্য দেখার সুবিধা না থাকায় তিনি শেষ পর্যন্ত ক্লডের সাবস্ক্রিপশন বাতিল করেন।

ঘটনাটি এআই সেবার ব্যবহারকারীদের অ্যাকাউন্ট নিরাপত্তার পাশাপাশি সেশন ও টোকেন ব্যবহারের বিস্তারিত তথ্য দেখার সুযোগ নিয়েও নতুন প্রশ্ন তুলেছে। বিশেষ করে ব্যবহারকারীর অজান্তে অ্যাকাউন্ট ব্যবহৃত হলে তা দ্রুত শনাক্ত করার জন্য আরও কার্যকর পর্যবেক্ষণ ও নিরাপত্তাব্যবস্থার প্রয়োজনীয়তা সামনে এসেছে।

টোকেনের অপব্যবহার কীভাবে একজন ব্যবহারকারী নিজে শনাক্ত করতে পারেন—এ বিষয়ে টেকক্রাঞ্চের প্রশ্নের জবাব দিতে অ্যানথ্রপিক অস্বীকৃতি জানিয়েছে।