Claude Code da Anthropic incorporou secretamente marcadores ocultos para sinalizar usuários ligados a 147 domínios chineses e laboratórios de IA, revelaram desenvolvedores nesta semana.
Pontos principais
- Desenvolvedores descobriram que o Claude Code codificava detalhes de proxy e fuso horário em marcadores Unicode invisíveis escondidos em prompts de sistema
- O mecanismo verificava configurações em relação a 147 domínios chineses e onze palavras‑chave de laboratórios de IA antes de alterar uma linha de data no prompt
- A Anthropic afirmou que o código será removido na próxima versão do Claude Code após o alerta de desenvolvedores e pesquisadores
Marcadores ocultos em prompts
Um desenvolvedor que fazia engenharia reversa do Claude Code versão 2.1.196 enquanto restaurava um recurso desativado de controle remoto encontrou código ofuscado silenciosamente presente desde abril.
As descobertas surgiram no Reddit em 30 de junho sob um pseudônimo e foram confirmadas em um texto técnico publicado no GitHub.
Analistas examinaram três versões diferentes do Claude Code e constataram que o mecanismo funcionava de forma idêntica em todas, sem qualquer menção nas notas de versão, apesar de meses de atualizações. Ele só é ativado quando o usuário aponta o Claude Code para um endereço de servidor personalizado em vez da própria Anthropic. Uma vez acionada, a ferramenta lê o fuso horário do sistema e verifica se corresponde a duas cidades ligadas à China continental.
Em seguida, o endereço de proxy é comparado com uma lista oculta de 147 domínios, ofuscada para não aparecer em buscas em texto simples e incluindo Baidu, Alibaba, Ant Group e ByteDance, além de onze palavras‑chave relacionadas a laboratórios chineses de IA. Os resultados são incorporados na frase aparentemente comum “Today's date is...”, em que um hífen é trocado por uma barra para um fuso horário chinês e um apóstrofo padrão é substituído por um de três caracteres quase idênticos.
Leia também: BitMine desafia a correção com aposta de US$ 43 milhões em Ethereum, estratégia vacila
Abalo na confiança dos desenvolvedores
Desenvolvedores reagiram com alarme quando o mecanismo se tornou público, argumentando que uma ferramenta com acesso a código‑fonte e comandos de shell deve aos usuários um padrão de transparência mais elevado que uma janela de chat. Um relatório de bug registrado no repositório do projeto chamou a prática de identificação encoberta e questionou que outros sinais poderiam estar ocultos dos usuários. Comentários observaram que a checagem poderia ser contornada simplesmente alterando um hostname ou o relógio do sistema.
Isso significa que o mecanismo acaba principalmente marcando desenvolvedores comuns que usam proxies corporativos legítimos, em vez dos operadores sofisticados para os quais teria sido criado. A Anthropic já havia acusado laboratórios chineses, incluindo DeepSeek, Moonshot AI e MiniMax, de usarem mais de 24.000 contas fraudulentas e mais de 16 milhões de interações para copiar o raciocínio e o comportamento de programação do Claude no início deste ano.
Um engenheiro da Anthropic reconheceu o código nas redes sociais e afirmou que ele seria removido na versão do dia seguinte, embora a empresa ainda não tivesse emitido um comunicado formal por escrito. O episódio se soma a uma série de questões de segurança em torno do Claude Code neste ano.
Pesquisadores da Microsoft divulgaram em junho uma falha de injeção de prompt na integração com o GitHub, a Check Point apontou três vulnerabilidades distintas em fevereiro e o próprio código‑fonte da Anthropic foi brevemente vazado em abril.
Leia a seguir: CZ diz que a Binance estava a dias da aprovação da MiCA antes de interferência política