研究者披露 Anthropic 授权缺陷：免费账号可无计费调用付费模型，厂商认定不属漏洞

安全研究者公开披露 Anthropic Claude 的两处授权缺陷（CWE-863），免费账号可凭 session bridge 取得的 worker JWT，在 /v1/messages/batches 上无计划限制地调用付费模型。作者称 POST /v1/code/sessions/{id}/bridge 会向任何已登录 claude.ai 的用户签发 sk-ant-si-* worker JWT，不检查账号能力；batches 端点没有任何计划门槛，单批最多 100,000 个请求且不计入用量。作者还发现暂停订阅的账号仍可免费访问 /v1/messages，构成第三处 CWE-863。