Как в Китае обходят самую жёсткую защиту Anthropic и покупают Claude по цене кофе

Anthropic строит вокруг Китая едва ли не самую строгую систему проверок среди всех крупных AI-компаний: паспорта, живые селфи, проверка платёжных адресов. И всё равно китайские разработчики покупают токены Claude примерно за 10% официальной цены — через WeChat и Alipay, без единой заблокированной транзакции. Об этом рассказывает исследование Zilan Qian из Oxford China Policy Lab, опубликованное изданием ChinaTalk.

Что за «transfer station» и как это работает

Схема называется «transfer station» (перевалочная станция) — это прокси-серверы, размещённые за пределами Китая. Они принимают запрос от китайского пользователя, пересылают его к Anthropic так, будто он пришёл из разрешённого региона, а затем возвращают ответ обратно.

Для пользователя всё выглядит буднично: платишь юанями через привычные WeChat Pay или Alipay, никакого VPN и иностранной карты не нужно. Сами сервисы каталогизированы в закрытых сообществах — их сравнивают по цене и доступности, как обычные подписки на стриминг.

По оценке Qian, клиентами часто выступают китайские AI-лаборатории, которые используют дистилляцию — процесс, когда более слабую модель обучают на ответах сильной, чтобы быстрее подтянуть её качество. Но одними лабораториями дело не ограничивается: студенты, разработчики, стартапы, обычные энтузиасты — рынок явно шире, чем просто «утечка технологий».

Почему это не одна лазейка, а целая экономика

Главный вывод исследования — то, что выглядит как единичная уязвимость, на деле оказалось модульной цепочкой поставок с разделением труда.

Наверху цепочки — брокеры аккаунтов, массово регистрирующие профили Anthropic, и площадки, продающие иностранные номера для SMS-верификации. В середине — реверс-инженеры, изучающие, как именно Anthropic вычисляет подозрительную активность. Внизу — разработчики и перекупщики, которые продают доступ на Taobao как обычный товар.

Каждый участник отвечает только за свой узкий сегмент, и именно это делает систему живучей. Забанили одного оператора прокси — пул аккаунтов наверху и клиенты внизу никуда не делись, а замену находят за считанные часы.

Даже относительно новые меры Anthropic — верификация по документу и живому селфи для части пользователей — уже обходятся. По данным Qian, в ход идут сгенерированные ИИ поддельные документы и дипфейки для биометрии. Там, где технологии не хватает, находят живых людей в странах с низким доходом, готовых пройти проверку за небольшую плату — по аналогии с уже известным чёрным рынком вокруг Worldcoin, где сканы радужки из Камбоджи и Кении продавались менее чем за 30 долларов.

Откуда берётся скидка в 70-90%

Дешевизна не берётся из воздуха — операторы прокси используют сразу несколько приёмов, чтобы уронить цену.

Один способ — фарм бесплатных кредитов: Anthropic даёт новым пользователям 5 долларов на старте, и эти лимиты собирают массово через множество аккаунтов. Другой — злоупотребление корпоративными и образовательными скидками, а также деление одной подписки Max за 200 долларов между несколькими пользователями через квоты токенов.

Третий, более грубый метод — использование карт, оплаченных мошенническим путём; насколько велика эта доля в общем объёме, исследование установить не смогло.

Отдельная и, пожалуй, самая коварная практика — подмена модели, которую в китайском сообществе называют «дилюцией» (разбавлением). Поскольку прокси стоит между пользователем и Anthropic, он может незаметно подменить запрос к дорогой модели, например Opus 4.7, на более дешёвую Sonnet или вовсе на китайский Qwen. Исследователи из немецкого CISPA Helmholtz Center проверили 17 таких прокси и нашли массовую подмену моделей: один сервис, выдававший себя за «Gemini-2.5», показал результат всего в 37% на медицинском бенчмарке вместо официальных 83,82%.

Где здесь настоящий риск — не в дешёвых токенах

Самый тревожный вывод исследования касается не цены, а того, что происходит с данными, которые проходят через прокси.

Каждый запрос, отправленный через transfer station, потенциально виден оператору сервиса — включая сами промпты, ответы модели, вызовы инструментов и промежуточные итерации. Если через прокси работает кодинг-агент, то оператор видит ещё и фрагменты кодовой базы, и логику рабочего процесса пользователя.

По словам Qian, в китайском сообществе разработчиков прямо говорят: продажа токенов — это просто способ привлечь клиентов, а настоящая маржа — в логах. На HuggingFace уже встречаются датасеты с выводами рассуждений Claude Opus 4.6 без внятного происхождения — то есть непонятно, откуда именно они получены и с чьего согласия.

Пока нет прямых доказательств, что операторы прокси системно собирают и продают эти данные — и тем более неясно, кто мог бы стать покупателем. Но сам факт, что рынок с рентабельностью на грани нуля продолжает расти, намекает: монетизация может происходить не на токенах, а на том, что через них проходит.

Что дальше

Anthropic может закручивать гайки сколько угодно — блокировать номера, требовать селфи, банить компании с китайскими совладельцами. Но пока спрос на доступ к сильным западным моделям в Китае превышает предложение легальных путей, модульная структура серого рынка позволяет ему пересобираться быстрее, чем компании успевают реагировать.

Для индустрии это сигнал шире, чем просто «Anthropic обходят». Любая система геоблокировки и KYC-проверок (verification процедуры — «знай своего клиента») упирается в тот же предел: пока прокси и фейковая идентификация дешевле, чем стоимость легального доступа, рынок обхода будет расти вместе с самой моделью.

Источники

• The Decoder: How China's gray market sells Claude tokens at a fraction of the price