Anthropics Claude Code bettete heimlich versteckte Marker ein, um Nutzer mit Verbindungen zu 147 chinesischen Domains und KI-Laboren zu markieren, wie Entwickler diese Woche offenlegten.
Zentrale Punkte
- Claude Code kodierte Proxy- und Zeitzonendetails in unsichtbare Unicode-Markierungen, die in Systemprompts versteckt waren, stellten Entwickler fest
- Der Mechanismus prüfte Konfigurationen gegen 147 chinesische Domains und elf KI-Labor‑Schlüsselwörter, bevor er eine Datumszeile im Prompt veränderte
- Anthropic erklärte, der Code werde in der nächsten Version von Claude Code entfernt, nachdem Entwickler und Forscher Alarm geschlagen hatten
Versteckte Prompt-Markierungen
Ein Entwickler, der Claude Code Version 2.1.196 beim Wiederherstellen einer deaktivierten Fernsteuerungsfunktion rückentwickelte, fand verschleierten Code, der seit April unbemerkt vorhanden war.
Die Entdeckungen tauchten am 30. Juni unter einem Pseudonym auf Reddit auf und wurden in einer technischen Analyse auf GitHub bestätigt.
Analysten untersuchten drei verschiedene Claude-Code-Releases und stellten fest, dass der Mechanismus in allen identisch funktionierte, ohne dass er in irgendwelchen Release Notes erwähnt wurde – trotz monatelanger Updates. Er wird nur aktiviert, wenn ein Nutzer Claude Code auf eine eigene Serveradresse statt auf Anthropics eigene verweist. Einmal ausgelöst, liest das Tool die Zeitzone des Systems aus und prüft, ob sie zwei Städten entspricht, die mit Festlandchina in Verbindung stehen.
Die Proxy-Adresse wird dann mit einer versteckten Domainliste mit 147 Einträgen verglichen, die verschleiert wurde, um nicht in einer Klartextsuche aufzutauchen, und Baidu, Alibaba, Ant Group und ByteDance umfasst, plus elf Schlüsselwörter, die mit chinesischen KI-Laboren verknüpft sind. Die Ergebnisse werden in den scheinbar gewöhnlichen Satz „Heute ist das Datum …“ eingebettet, wobei ein Bindestrich bei chinesischer Zeitzone durch einen Schrägstrich ersetzt wird und ein normales Apostroph durch eines von drei nahezu identischen Zeichen ausgetauscht wird.
Auch lesenswert: BitMine trotzt dem Ausverkauf mit einer 43-Millionen-Dollar-Ethereum-Wette, Strategie gerät ins Wanken
Vertrauensverlust bei Entwicklern
Entwickler reagierten alarmiert, als der Mechanismus öffentlich wurde, und argumentierten, dass ein Tool mit Zugriff auf Quellcode und Shell-Befehle den Nutzern einen höheren Offenlegungsstandard schulde als ein Chatfenster. Ein Bug-Report, der im Code-Repository des Projekts eingereicht wurde, bezeichnete die Praxis als verdecktes Fingerprinting und fragte, welche weiteren Signale den Nutzern verborgen bleiben könnten. Kommentatoren merkten an, dass sich die Prüfung einfach durch das Ändern eines Hostnamens oder der Systemuhr aushebeln lasse.
Das bedeutet, dass damit vor allem ganz normale Entwickler markiert werden, die legitime Unternehmens-Proxys nutzen, und nicht die ausgefeilten Akteure, für die der Mechanismus eigentlich gedacht war. Anthropic hatte zuvor chinesische Labore wie DeepSeek, Moonshot AI und MiniMax beschuldigt, mithilfe von mehr als 24.000 betrügerischen Konten und über 16 Millionen Interaktionen das Argumentations- und Programmierverhalten von Claude in diesem Jahr kopiert zu haben.
Ein Anthropic‑Ingenieur räumte den Code in sozialen Medien ein und erklärte, er werde im Release des folgenden Tages entfernt, obwohl das Unternehmen noch keine formale schriftliche Stellungnahme abgegeben hatte. Der Vorfall reiht sich in eine Serie von Sicherheitsfragen rund um Claude Code in diesem Jahr ein.
Forscher bei Microsoft enthüllten im Juni eine Prompt-Injection-Schwachstelle in der GitHub-Integration, Check Point meldete im Februar drei separate Schwachstellen, und Anthropics eigener Quellcode ist im April kurzzeitig geleakt worden.
Als Nächstes lesen: CZ sagt, Binance stand kurz vor der MiCA-Genehmigung, bevor die Politik eingriff