Szary rynek Claude: chińskie proxy i tanie tokeny

Anthropic słynie z najbardziej rygorystycznych kontroli dostępu spośród wszystkich dużych dostawców AI. Firma weryfikuje numery telefonów, wymaga zagranicznych kart kredytowych i adresów rozliczeniowych, a wybranych użytkowników prosi nawet o potwierdzenie tożsamości za pomocą selfie. Mimo tych zabezpieczeń chiński rynek szarej strefy dla modeli Claude kwitnie w najlepsze. Jak to możliwe?

Z analizy Zilan Qian z Oxford China Policy Lab, opublikowanej przez ChinaTalk, wynika, że chińscy deweloperzy mogą kupować tokeny Claude za około 10 procent oficjalnej ceny. Sekret tkwi w tak zwanych „stacjach przekaźnikowych” – serwerach proxy hostowanych poza Chinami, które przyjmują zapytania API, przekazują je dalej, jakby pochodziły z dozwolonej lokalizacji, i odsyłają odpowiedzi do użytkownika. Płatności odbywają się w juanach przez WeChat lub Alipay. Żadnego VPN-u ani zagranicznej karty nie potrzeba.

Jak działają stacje przekaźnikowe i kto z nich korzysta

Popularne stacje przekaźnikowe są katalogowane w społecznościowych rejestrach, gdzie użytkownicy mogą je porównywać pod względem ceny i dostępności. Z ustaleń Qian wynika, że klientami są nie tylko chińskie laboratoria AI, które chcą destylować zachodnie modele (czyli uczyć swoje słabsze modele na wynikach silniejszych), ale także studenci, badacze, deweloperzy, pracownicy technologicznych firm, twórcy aplikacji i hobbyści.

Wbrew powszechnemu w USA postrzeganiu tych sieci proxy jako problemu bezpieczeństwa, Qian argumentuje, że stanowią one element znacznie szerszego, komercyjnego rynku dostępu do Claude w Chinach. To nie jest tylko szara strefa – to rozbudowany ekosystem biznesowy.

Modułowy łańcuch dostaw odporny na blokady

Analiza Qian opisuje stację przekaźnikową jako ogniwo pośrodku modułowego łańcucha dostaw. Na początku tego łańcucha działają brokerzy masowo rejestrujący konta Anthropic, platformy do weryfikacji SMS zapewniające zagraniczne numery telefonów oraz specjaliści od inżynierii wstecznej, którzy badają metody wykrywania stosowane przez Anthropic. Na końcu znajdują się deweloperzy, firmy i resellerzy oferujący dostęp na chińskich platformach e-commerce, takich jak Taobao.

Większość uczestników tego rynku prowadzi tylko jedno lub dwa ogniwa łańcucha, co czyni cały system niezwykle odpornym na zakłócenia. Gdy jeden dostawca zostanie zablokowany, pula kont na górze i klienci na dole pozostają nietknięci. Zastępczy serwer można uruchomić w ciągu kilku godzin.

Obejścia dla weryfikacji biometrycznej

Nawet nowsze kontrole tożsamości w stylu KYC (Know Your Customer), wymagające od wybranych użytkowników potwierdzenia tożsamości dokumentem i selfie, mają już swoje obejścia i dedykowaną infrastrukturę. Usługi AI potrafią generować realistyczne fałszywe dokumenty, a technologia deepfake służy do oszukiwania kontroli biometrycznych. Tam, gdzie to nie wystarcza, rekrutowani są prawdziwi ludzie z krajów o niskich dochodach, którzy za opłatą przechodzą weryfikację w tych ryzykownych systemach KYC.

Qian zwraca uwagę na precedens – czarny rynek wokół Worldcoin, którego system tożsamości weryfikuje użytkowników za pomocą skanów tęczówki. Skanowanie z Kambodży i Kenii było sprzedawane za mniej niż 30 dolarów.

Skąd biorą się tak niskie ceny

Operatorzy stacji przekaźnikowych obniżają ceny o 70-90 procent poniżej oficjalnego cennika, stosując mieszankę różnych metod. Wykorzystują darmowy kredyt 5 dolarów od Anthropic, korzystają ze zniżek dla przedsiębiorstw i instytucji edukacyjnych, albo dzielą jeden plan Max za 200 dolarów między wielu użytkowników za pomocą przydziałów tokenów. Do puli mogą też trafiać konta zasilane skradzionymi lub oszukańczo użytymi kartami kredytowymi, choć analiza nie precyzuje, jak duży jest ich udział.

Kolejną warstwą oszustwa jest podmienianie modeli. Ponieważ proxy znajduje się między użytkownikiem a Anthropic, może po cichu przekierować zapytanie przeznaczone dla Opus 4.7 do tańszego Sonneta, a nawet do chińskich modeli, takich jak Qwen. Badacze z niemieckiego CISPA Helmholtz Center for Information Security przeanalizowali 17 proxy API i wykryli powszechne podmienianie modeli. Jeden z rzekomych endpointów „Gemini-2.5” uzyskał zaledwie 37 procent w medycznym benchmarku, zamiast oficjalnych 83,82 procent. Chińska społeczność nazywa tę praktykę „rozcieńczaniem”.

Dane użytkowników jako prawdziwy zysk

Najważniejszym mechanizmem zarabiania może być jednak monetyzacja danych o użyciu. Każde zapytanie przechodzące przez proxy jest potencjalnie widoczne dla jego operatora – w tym prompty, odpowiedzi, wywołania narzędzi i iteracje. Agenci kodowania mogą ujawnić jeszcze więcej kontekstu z bazy kodu i przepływu pracy. Te logi mogą zawierać cenne dane do trenowania lub destylacji modeli.

Na HuggingFace krążą już zbiory danych z wynikami rozumowania Claude Opus 4.6 o niejasnym pochodzeniu. Chińscy deweloperzy ostrzegają, że biznes tokenowy to tylko pozyskiwanie klientów, a prawdziwa marża kryje się w logach. Qian podkreśla jednak, że nie ma jeszcze dowodów na to, iż operatorzy stacji przekaźnikowych systematycznie zbierają i sprzedają te dane. Jej argument brzmi: tak niskie ceny mogą być opłacalne właśnie dzięki dodatkowej monetyzacji logów. W tym scenariuszu użytkownicy byliby jednocześnie płacącymi klientami i nieopłacanymi producentami danych.

Restrykcje tworzą rynki, które miały zapobiegać

Qian dochodzi do wniosku, że konsekwencje tych praktyk wykraczają daleko poza rywalizację technologiczną USA-Chiny. Metody, których używa zablokowany geograficznie deweloper, są strukturalnie identyczne z tymi, których mógłby użyć złośliwy aktor, aby uzyskać dostęp do zaawansowanych modeli bez śladu. Gdy zapytanie przechodzi przez proxy, Anthropic początkowo widzi konto i adres IP proxy, a nie faktycznego użytkownika końcowego.

To osłabia systemy monitorowania, takie jak Clio, zaprojektowane do wykrywania skoordynowanych wzorców nadużyć na kontach i w rozmowach – zwłaszcza gdy aktywność jest rozproszona na wiele kont proxy i podzielona na pojedyncze, niepozorne podzapytania. Infrastruktura do omijania zabezpieczeń zasila też przestępcze rynki poza AI. Dane biometryczne zbierane do obejść KYC mogą być odsprzedawane do oszustw finansowych lub deepfake’ów, a masowa rejestracja kont wspiera spam, phishing i oszustwa kart kredytowych.

Anthropic, OpenAI i Google od miesięcy walczą z destylacją. Anthropic wykrył wcześniej zakrojone na szeroką skalę ataki destylacyjne ze strony Deepseek, Moonshot i MiniMax – ponad 24 tysiące fałszywych kont wygenerowało ponad 16 milionów zapytań. Firma odcięła usługi dla firm pod chińską kontrolą i zamknęła lukę z filiami. Alibaba zakazała swoim pracownikom używania Claude Code po wykryciu ukrytego kodu identyfikującego chińskich użytkowników.

Branża jest jednak podzielona w kwestii tego, czy destylacja w ogóle stanowi problem. Mark Zuckerberg nazwał uczenie się z obserwowalnych danych, w tym destylację konkurencyjnych modeli, zasadą wartą ochrony. W lipcu 2026 roku 25 firm, w tym Nvidia, Microsoft i Meta, ostrzegło przed przedwczesnymi restrykcjami dotyczącymi destylacji. To sprawia, że amerykański rząd raczej nie wprowadzi regulacji dotyczących samej destylacji, choć może działać z powodów cyberbezpieczeństwa lub aby spowolnić Chiny.

Na razie laboratoria AI muszą bronić się same i egzekwować własne warunki korzystania z usług. Jak pokazuje raport Qian, ich zabezpieczenia wciąż nie są wystarczające – można je pokonać wprawdzie nielegalnymi, ale skutecznymi metodami, które wciąż dostarczają dane do destylacji. Pytanie brzmi: czy jakiekolwiek restrykcje dostępowe mają sens, skoro nieuchronnie tworzą rynki, które mają zapobiegać?