Компания Anthropic зафиксировала критическую ошибку в биллинговой системе Claude Code, которая привела к несанкционированному списанию $200 сверх тарифа Max 20x. Инцидент произошёл из-за строки HERMES.md, указанной в коммите репозитория.
Пострадавший пользователь, чья квота была израсходована всего на 13%, столкнулся с неожиданными расходами, так как система обходила лимиты подписки и направляла запросы в pay-as-you-go. Баг срабатывал исключительно при точном совпадении строки HERMES.md в верхнем регистре. Другие варианты — HERMES без расширения или HERMES.txt — не провоцировали ошибку. Проблема заключалась в том, что Claude Code автоматически подмешивает сообщение коммита из git log в системный промпт, и абьюз-система Anthropic сверяла этот текст со строкой.
Таким образом, даже случайное упоминание HERMES.md в коммите приводило к обходу квот. Специалисты Anthropic локализовали баг методом бинарного поиска: сначала клонировали репозиторий и тестировали изолированные ветки, затем сужали диапазон коммитов.
В итоге им удалось выйти на конкретную строку, ставшую триггером. Другой пользователь независимо воспроизвёл проблему и написал скрипт для автоматического дебага. Глава Claude Code Борис Черный подтвердил инцидент, и баг был устранён в тот же день.
Однако после устранения ошибки начался скандал с возвратом средств. Служба поддержки Anthropic изначально отказалась компенсировать ущерб, мотивируя это тем, что компания не отвечает за технические ошибки маршрутизации биллинга.
История попала на Hacker News, что привело к общественной огласке. Позднее представитель команды Claude Code заявил, что все затронутые пользователи получат полный возврат и эквивалентную компенсацию в кредитах, но неясно, повлияла ли огласка на это решение. Инцидент поднимает вопросы о надёжности биллинговых систем в AI-сервисах и прозрачности компенсаций для пользователей. Ошибки такого рода могут приводить к значительным финансовым потерям, особенно при использовании дорогостоящих тарифных планов.
Anthropic пообещала усилить контроль за абьюз-системами, но остаётся неясным, какие меры будут приняты для предотвращения подобных инцидентов в будущем.
