Havedev
Token AI yang Hilang Bukan Sekadar Masalah Kuota
The Core Update
Seorang konsultan AI independen di East Sussex, Grant De Swardt, melihat sesuatu yang aneh pada akun Claude Max 20x miliknya. Ia tidak sedang bekerja hari itu, tetapi penggunaan token Claude tetap naik.
Keesokan harinya, ia menonaktifkan semua hal yang terhubung ke Claude dan tidak memakai layanan tersebut. Konsumsi token tetap bertambah. Dalam interval yang ia anggap paling bersih, penggunaan naik dari 45% ke 55% ketika tidak ada pekerjaan aktif, task terjadwal sudah berhenti atau selesai, eksekusi cloud dimatikan, dan tidak ada task Claude Code lokal yang berjalan.
Ia meminta Anthropic memberikan rincian penggunaan token. Anthropic tidak memberikan daftar itemized usage, tetapi mengakui ada hal yang tidak beres. Akunnya ditangguhkan, sesi dan token Claude Code server-side dibatalkan, lalu ia menerima refund sebagian.
Setelah investigasi, Anthropic menyebut ada session key Claude yang kompromi dan dipakai untuk membuat token OAuth Claude Code tanpa izin. Dengan kata lain, seseorang mendapatkan akses ke akun tersebut dan memakai kuota tokennya secara diam-diam.
Kasus ini kemudian dibagikan di Reddit. Beberapa pengguna lain mengaku mengalami pola serupa: penggunaan token naik cepat, akun mencapai batas pemakaian, bahkan ada yang menyebut akunnya auto-upgrade dan kartu kreditnya terkena charge.
Anthropic juga mengirim email ke sebagian pengguna lain. Dalam email itu, Anthropic menyebut adanya bad actor yang memakai infostealer malware untuk mencuri sesi login Claude dari komputer pengguna, lalu memakai sesi tersebut untuk mengakses akun dan menghabiskan usage.
Infostealer bukan hal baru. Malware jenis ini mencuri password tersimpan, session data, dan kredensial login dari perangkat korban. Yang membuat kasus ini penting adalah konteksnya: sekarang yang dicuri bukan hanya akses email, media sosial, atau akun finansial, tetapi juga kapasitas kerja AI.
The Reality Check
Banyak bisnis mulai melihat AI sebagai alat produktivitas harian. AI dipakai untuk menulis, membuat kode, membaca dokumen, merapikan data, membuat ringkasan, membalas pesan, sampai menjalankan automation.
Itu masuk akal. AI memang bisa menghemat waktu.
Tetapi ada sisi yang sering belum ikut naik kelas: cara bisnis mengelola akses AI.
Selama ini token sering diperlakukan seperti kuota biasa. Kalau habis, berarti pemakaian tinggi. Kalau naik, diasumsikan tim sedang bekerja. Kalau limit tercapai, solusinya upgrade paket atau tunggu reset.
Kasus Claude ini menunjukkan asumsi itu terlalu sederhana.
Token AI sekarang lebih mirip budget operasional. Ia punya nilai uang, punya nilai produktivitas, dan bisa disalahgunakan kalau aksesnya bocor. Ketika token dipakai tanpa izin, kerugiannya bukan hanya biaya langganan. Pekerjaan bisa terhenti, automation bisa gagal, proses bisnis bisa terganggu, dan tim bisa kehilangan kepercayaan pada sistem yang dipakai setiap hari.
Masalahnya, banyak platform AI belum memberi visibilitas yang cukup detail untuk pengguna bisnis kecil. Total usage terlihat, tetapi rincian siapa memakai apa, dari perangkat mana, lewat integrasi mana, dan untuk task apa sering belum cukup jelas.
Di sinilah risiko operasional muncul.
Jika sebuah bisnis memakai AI untuk admin harian, coding, website, customer support, atau proses sales, maka akun AI bukan lagi akun pribadi biasa. Ia sudah menjadi bagian dari infrastruktur kerja.
Dan infrastruktur kerja tidak cukup diamankan dengan perasaan aman.
Ada beberapa pertanyaan dasar yang sering belum dijawab:
- siapa yang punya akses ke akun AI?
- perangkat mana yang pernah login?
- integrasi apa saja yang terhubung?
- token API atau OAuth mana yang masih aktif?
- kapan terakhir usage naik di luar jam kerja?
- apakah ada alert saat pola pemakaian berubah?
- apakah ada cara cepat memutus semua sesi dan token?
Tanpa jawaban itu, bisnis hanya tahu masalah setelah kuota habis, invoice naik, atau pekerjaan berhenti.
Ini bukan berarti bisnis harus berhenti memakai AI. Justru sebaliknya: semakin penting AI untuk kerja harian, semakin perlu ia dikelola seperti aset operasional yang serius.
The Havedev Way
Dari sudut pandang Havedev, pelajaran utama dari kasus ini bukan hanya soal Claude, Anthropic, atau satu vendor AI tertentu.
Pelajarannya lebih besar: bisnis tidak bisa hanya mengejar automation tanpa merapikan kontrol akses dan monitoring penggunaan.
AI yang dipakai untuk workflow bisnis sebaiknya punya tiga lapis kedisiplinan.
Pertama, pisahkan akun pribadi dan akun kerja. Jika AI dipakai untuk proses bisnis, aksesnya perlu lebih terkontrol. Jangan semua pekerjaan penting bergantung pada satu akun personal yang login di banyak perangkat, browser, extension, dan eksperimen integrasi.
Kedua, audit koneksi secara berkala. Banyak kebocoran tidak terjadi karena satu aksi besar, tetapi karena akumulasi akses yang pernah diberikan lalu dilupakan. Tool lama, extension browser, eksperimen automation, token CLI, dan session aktif bisa menjadi titik lemah jika tidak pernah dibersihkan.
Ketiga, pantau pola penggunaan, bukan hanya total biaya. Kenaikan usage di luar jam kerja, lonjakan token mendadak, atau pemakaian dari integrasi yang tidak dikenal seharusnya menjadi sinyal risiko. Jika platform belum menyediakan detail yang cukup, bisnis perlu membuat batasan operasional sendiri: siapa boleh memakai apa, kapan usage dianggap wajar, dan kapan akses harus diputus.
Untuk bisnis kecil dan menengah, langkah awal tidak perlu rumit.
Mulai dari daftar sederhana:
- akun AI apa saja yang dipakai tim
- siapa pemilik tiap akun
- perangkat apa yang login
- integrasi apa yang terhubung
- token atau API key apa yang masih aktif
- pekerjaan bisnis apa yang bergantung pada akun tersebut
- prosedur apa yang dilakukan kalau usage terlihat aneh
Daftar ini terlihat sederhana, tetapi sering tidak ada.
Padahal saat akun AI bermasalah, bisnis perlu bergerak cepat. Logout semua sesi. Cabut token lama. Ganti password. Periksa perangkat dari malware. Cek extension browser. Tinjau integrasi pihak ketiga. Hubungi vendor. Siapkan jalur kerja cadangan.
Tanpa daftar awal, semua itu berubah menjadi kepanikan.
Ada juga pelajaran penting untuk automation. Jangan membuat bisnis terlalu bergantung pada satu model, satu akun, atau satu vendor tanpa rencana cadangan. Jika AI menjadi bagian dari proses invoice, customer support, coding, atau admin harian, maka fallback perlu dipikirkan sejak awal.
Fallback tidak harus mewah. Bisa berupa model alternatif, provider kedua, proses manual sementara, atau pembatasan agar automation penting tidak berhenti total ketika satu akun ditangguhkan.
AI membuat banyak pekerjaan lebih cepat. Tetapi kecepatan tanpa kontrol membuat bisnis lebih rapuh.
Kasus pencurian token Claude ini sebaiknya dibaca sebagai tanda bahwa era AI operasional sudah masuk fase baru. Yang perlu diamankan bukan hanya data, tetapi juga akses, sesi login, token, usage, dan dependency kerja harian.
Sebelum menambah automation baru, cek dulu satu hal sederhana: kalau akun AI utama tiba-tiba dipakai orang lain, ditangguhkan, atau tokennya habis tanpa alasan jelas, apakah bisnis Anda masih bisa bekerja besok pagi?
Kalau jawabannya belum jelas, mulai dari sana.
Dapatkan Audit Teknis Gratis untuk meninjau penggunaan AI, automation, dan akses digital yang mulai menjadi bagian penting dari operasional bisnis Anda.
Sumber referensi berita: TechCrunch