Claude Code di Anthropic ha segretamente incorporato marcatori nascosti per segnalare gli utenti collegati a 147 domini cinesi e laboratori di IA, hanno rivelato questa settimana alcuni sviluppatori.
Punti chiave
- Gli sviluppatori hanno scoperto che Claude Code codificava i dettagli di proxy e fuso orario in marcatori Unicode invisibili nascosti nei prompt di sistema
- Il meccanismo confrontava le configurazioni con 147 domini cinesi e undici parole chiave di laboratori di IA prima di modificare una riga di data nel prompt
- Anthropic ha dichiarato che il codice sarà rimosso nella prossima release di Claude Code dopo che sviluppatori e ricercatori hanno lanciato l’allarme
Marcatori nascosti nel prompt
Uno sviluppatore che stava effettuando il reverse engineering di Claude Code versione 2.1.196 mentre ripristinava una funzione di controllo remoto disabilitata ha trovato codice offuscato silenziosamente presente da aprile.
I risultati sono emersi su Reddit il 30 giugno sotto uno pseudonimo e sono stati confermati in un’analisi tecnica pubblicata su GitHub.
Gli analisti hanno esaminato tre diverse release di Claude Code e hanno scoperto che il meccanismo funzionava in modo identico in ciascuna, senza alcun riferimento nelle note di rilascio nonostante mesi di aggiornamenti. Si attiva solo quando un utente punta Claude Code a un indirizzo server personalizzato invece di quello di Anthropic. Una volta attivato, lo strumento legge il fuso orario di sistema e verifica se corrisponde a due città collegate alla Cina continentale.
L’indirizzo del proxy viene poi confrontato con una lista nascosta di 147 domini, offuscata per evitare che compaia in una ricerca in testo semplice e che include Baidu, Alibaba, Ant Group e ByteDance, oltre a undici parole chiave legate a laboratori di IA cinesi. I risultati vengono incorporati nella frase apparentemente ordinaria «La data di oggi è...», dove un trattino viene sostituito da una barra per un fuso orario cinese e un apostrofo standard viene sostituito da uno di tre caratteri quasi identici.
Leggi anche: BitMine sfida il selloff con una scommessa da 43 milioni di dollari su Ethereum, la strategia tentenna
Crollo della fiducia degli sviluppatori
Gli sviluppatori hanno reagito con preoccupazione quando il meccanismo è diventato pubblico, sostenendo che uno strumento con accesso al codice sorgente e ai comandi della shell deve agli utenti uno standard di trasparenza più elevato rispetto a una semplice finestra di chat. Una segnalazione di bug presentata nel repository del progetto ha definito la pratica un fingerprinting nascosto e ha chiesto quali altri segnali potessero essere celati agli utenti. Alcuni commentatori hanno osservato che il controllo poteva essere aggirato semplicemente cambiando un hostname o l’orologio di sistema.
Ciò significa che in gran parte etichetta normali sviluppatori che usano proxy aziendali legittimi, piuttosto che gli operatori sofisticati che avrebbe dovuto individuare. Anthropic ha precedentemente accusato laboratori cinesi, tra cui DeepSeek, Moonshot AI e MiniMax, di aver usato più di 24.000 account fraudolenti e oltre 16 milioni di scambi per copiare il comportamento di ragionamento e di scrittura di codice di Claude all’inizio di quest’anno.
Un ingegnere di Anthropic ha riconosciuto il codice sui social media e ha dichiarato che sarebbe stato rimosso nella release del giorno seguente, anche se l’azienda non aveva ancora pubblicato una dichiarazione scritta formale. L’episodio si aggiunge a una serie di interrogativi sulla sicurezza che coinvolgono Claude Code quest’anno.
I ricercatori di Microsoft hanno rivelato a giugno una vulnerabilità di prompt injection nella sua integrazione con GitHub, Check Point ha segnalato tre diverse vulnerabilità a febbraio e il codice sorgente di Anthropic è brevemente trapelato ad aprile.
Da leggere dopo: CZ afferma che Binance era a pochi giorni dall’approvazione MiCA prima che intervenisse la politica