Der Claude-Fälschungsdetektor ist jetzt eine Open-Source-Bibliothek

Im April haben wir die Zahlen zu gefälschten Claude-Wiederverkäufern veröffentlicht: 183 Kanäle bei 8 Anbietern, die als Kiro, Codeium oder ein anderes Modell mit Claude-Namensschild antworteten. Die Sonden, die sie erwischt haben, lebten in unserer Sync-Pipeline. Jetzt leben sie in einem Paket, das jeder installieren kann.

ai-model-verifier gibt es auf npm und GitHub unter AGPL-3.0. Es nimmt eine Basis-URL, einen API-Schlüssel und einen Modellnamen entgegen und liefert eines von drei Urteilen, genuine, suspicious oder unverified, zusammen mit der ausgelösten Regel und den rohen Antworten der Sonden daneben.

Warum eine Bibliothek

Dieselben Prüfungen laufen jetzt an drei Orten: in deinem Browser im Modell-Tester, auf unseren Servern für die öffentlichen Rankings und in der Sync-Pipeline, die entscheidet, welche Upstream-Kanäle UnoRouter überhaupt anbietet. Drei Kopien einer Musterliste driften auseinander. Ein Paket nicht.

Es ist absichtlich isomorph. Nur Web-Standard-APIs, keine node:-Importe, null Laufzeitabhängigkeiten. Der HTTP-Aufruf wird injiziert, sodass ein Browser CORS umgehen und ein Server über einen SSRF-sicheren Fetch routen kann. Anbieter und Detektoren sind getrennte Einstiegspunkte, sodass eine Anthropic-Prüfung nie die Gemini-Konfiguration mitbündelt.

Was seit April neu ist

Die vier Verhaltenssonden aus dem ersten Beitrag sind weiterhin der Kern: die Kätzchengeschichte, das Haiku, die Identitätsfrage und die Frage nach dem Modellnamen, jetzt für Endpunkte im Anthropic-, OpenAI- und Gemini-Format. Drumherum sitzen Prüfungen, die nicht davon abhängen, das Modell zu fragen, wer es ist.

Thinking-Signatur. Claude hängt an jeden Thinking-Block eine serverseitig erzeugte Signatur. Ein Relay, das ein anderes Modell ausliefert, kann keine erzeugen. Identitätssonden lassen sich mit einem System-Prompt coachen; eine Signatur nicht.
Token-Abrechnung. Ein Relay kann echtes Claude weiterleiten und trotzdem bei jedem Aufruf input_tokens aufblähen. Zwei Prompts, die sich um einen festen Textblock unterscheiden, müssen sich in den abgerechneten Tokens um ein bekanntes Band unterscheiden, count_tokens muss mit der Abrechnung übereinstimmen, und die Ausgabe muss unter max_tokens bleiben. Opus 4.7 und 4.8 verwenden einen anderen Tokenizer, also ist das Band zugleich eine Stufenprüfung.
Stufenabweichung und Substitution. Opus abgerechnet, Sonnet geliefert rutscht an Verhaltenssonden vorbei, weil Sonnet eine tadellose Kätzchengeschichte schreibt. Die Modellnamen-Sonde erwischt eine Antwort, die die günstigere Stufe nennt, und die Umschlagprüfung erwischt einen Endpunkt, der eine andere Modell-ID zurückgibt als die angeforderte.
Antwortvermischung und Sprachlecks. Jeder Prompt trägt eine Nonce. Eine Antwort, die die Nonce eines anderen zurückgibt, bedeutet, dass der Proxy Antworten zwischen Nutzern vermischt. CJK-Zeichen in der Antwort auf einen englischen Prompt deuten auf ein untergeschobenes chinesisches Modell hin.
Umschlag-Metadaten. Eine chatcmpl--ID in einer Antwort im Anthropic-Format oder OpenAI-Usage-Schlüssel in einer Messages-Antwort bedeuten, dass eine Übersetzungsschicht zwischen dir und dem Modell sitzt. Gemeldet als Beobachtung, nicht als Urteil: Unser eigenes Gateway ist genau so eine Schicht.
Durchsatz. Größere Modelle sind pro Token langsamer, also lohnt sich ein Blick auf einen als Opus abgerechneten Kanal, der mit Sonnet-Geschwindigkeit läuft. Gemessen, nie mit Schwellenwert: Der nützliche Vergleich läuft über Kanäle, die dasselbe Modell ausliefern, und den kann nur der Aufrufer zusammenstellen.

Was es nicht beweist

Eine gültige Signatur beweist, dass ein echter Anthropic-Pfad geantwortet hat. Sie beweist nicht, welche Stufe: Sonnet liefert eine einwandfreie Signatur, wenn es als Opus verkauft wird, also braucht ein Bestehen dort weiterhin die Stufenprüfungen. Den Thinking-Block zurückzuspielen, damit Anthropic die Signatur erneut validiert, klingt nach dem endgültigen Test. Wir haben ihn gebaut, und er funktioniert nicht über ein Relay. Zwei Live-Upstreams lieferten 200 für einen echten Block und für denselben Block mit 308 Bytes zufälligem Base64 anstelle der Signatur. Ein Relay stellt den Zug bei seinem eigenen Backend neu, also validiert nie etwas. Die Option ist standardmäßig aus und so dokumentiert.

Die Signatur- und Token-Prüfungen sind von veridrop portiert, ebenfalls AGPL, dessen Toleranzen gegen die offizielle API kalibriert wurden. Wir haben die locker wirkenden Grenzen behalten, weil echte Anthropic-Antworten nahe daran lagen.

So nutzt du es

Der Modell-Tester führt den vollen Satz in deinem Browser aus, Signatur- und Token-Prüfung inklusive, und nichts verlässt deinen Rechner außer den Aufrufen an deinen Anbieter. Die Rankings-Seite veröffentlicht Ergebnisse, die Leute teilen wollten. Für deine eigene Pipeline:

typescript

import { runVerification } from "ai-model-verifier";

const result = await runVerification({
  provider: "anthropic",
  baseUrl: "https://YOUR-PROVIDER",
  apiKey: process.env.YOUR_KEY,
  model: "claude-opus-4-8",
  mode: "server",
  checkSignature: true,
  checkTokenTruth: true,
});

console.log(result.verdict, result.reasons);
// "suspicious" [ "tier-mismatch: requested claude-opus-4-8, served sonnet" ]

Aktiviere, was du brauchst. checkSignature und checkTokenTruth kosten jeweils zusätzliche Anfragen und bleiben deshalb aus, solange sie nicht angefordert werden. Umschlag-Metadaten und Durchsatz werden aus Antworten gelesen, die der Lauf ohnehin gemacht hat, und kosten nichts.

Teste einen Anbieter, lies den April-Beitrag für die Zahlen, mit denen alles begann, oder eröffne ein Issue auf GitHub, wenn ein echter Endpunkt ein falsches Urteil bekommt.