Anthropic's Claude Code heeft in het geheim verborgen markeringen ingebouwd om gebruikers te flaggen die gelinkt zijn aan 147 Chinese domeinen en AI-labs, zo maakten ontwikkelaars deze week bekend.
Belangrijkste punten
- Claude Code codeerde proxy- en tijdzonegegevens in onzichtbare Unicode-markeringen die in systeemprompts waren verborgen, ontdekten ontwikkelaars
- Het mechanisme controleerde configuraties met 147 Chinese domeinen en elf AI-lab-trefwoorden voordat het een regel met de datum in de prompt aanpaste
- Anthropic zei dat de code zal worden verwijderd in de volgende release van Claude Code, nadat ontwikkelaars en onderzoekers alarm sloegen
Verborgen prompt-markeringen
Een ontwikkelaar die Claude Code versie 2.1.196 aan het reverse engineeren was terwijl hij een uitgeschakelde remote-controlfunctie herstelde, ontdekte geobfusceerde code die stilletjes aanwezig was sinds april.
De bevindingen doken op Reddit op 30 juni op onder een schermnaam en werden bevestigd in een technische uiteenzetting die op GitHub werd geplaatst.
Analisten onderzochten drie afzonderlijke releases van Claude Code en ontdekten dat het mechanisme in elke versie identiek werkte, zonder dat het in release-opmerkingen werd vermeld, ondanks maanden aan updates. Het wordt alleen geactiveerd wanneer een gebruiker Claude Code naar een aangepast serveradres wijst in plaats van naar dat van Anthropic zelf. Zodra het wordt geactiveerd, leest de tool de tijdzone van het systeem en controleert of die overeenkomt met twee steden die gekoppeld zijn aan het vasteland van China.
Het proxy-adres wordt vervolgens vergeleken met een verborgen lijst van 147 domeinen, geobfusceerd om te voorkomen dat ze opduiken in een gewone tekstzoekopdracht, waaronder Baidu, Alibaba, Ant Group en ByteDance, plus elf trefwoorden die gekoppeld zijn aan Chinese AI-labs. De resultaten worden verwerkt in de ogenschijnlijk gewone zin „Today's date is...”, waarbij een koppelteken wordt vervangen door een slash voor een Chinese tijdzone en een standaardapostrof wordt omgewisseld voor een van drie bijna identieke tekens.
Ook lezen: BitMine trotseert de sell-off met een Ethereum-inzet van $43M, strategie knippert
Vertrouwensbreuk bij ontwikkelaars
Ontwikkelaars reageerden geschokt toen het mechanisme openbaar werd, en stelden dat een tool met toegang tot broncode en shell-opdrachten gebruikers een hogere standaard van transparantie verschuldigd is dan een chatvenster. Een bugrapport dat werd ingediend in de code-repository van het project noemde de praktijk heimelijke fingerprinting en vroeg welke andere signalen mogelijk voor gebruikers verborgen waren. Commentatoren merkten op dat de controle eenvoudig omzeild kon worden door een hostname of systeemtijd aan te passen.
Dat betekent dat het vooral gewone ontwikkelaars tagt die legitieme bedrijfsproxies gebruiken, in plaats van de geavanceerde actoren waarvoor het bedoeld was. Anthropic heeft eerder Chinese labs, waaronder DeepSeek, Moonshot AI en MiniMax, ervan beschuldigd meer dan 24.000 frauduleuze accounts en meer dan 16 miljoen interacties te hebben gebruikt om het redeneer- en codeergedrag van Claude eerder dit jaar te kopiëren.
Een Anthropic-ingenieur erkende de code op sociale media en zei dat deze in de release van de volgende dag zou worden verwijderd, hoewel het bedrijf nog geen formele schriftelijke verklaring had afgelegd. De episode voegt zich bij een reeks beveiligingsvragen rond Claude Code dit jaar.
Onderzoekers bij Microsoft maakten bekend dat er in juni een prompt-injection-kwetsbaarheid zat in de GitHub-integratie, Check Point markeerde drie afzonderlijke kwetsbaarheden in februari, en Anthropic’s eigen broncode lektte kortstondig in april.
Lees verder: CZ zegt dat Binance dagen verwijderd was van MiCA-goedkeuring voordat politiek ingreep