Claude Code от Anthropic тайно встраивал скрытые маркеры для пометки пользователей, связанных со 147 китайскими доменами и ИИ‑лабораториями, как сообщили разработчики на этой неделе.
Ключевые моменты
- Разработчики обнаружили, что Claude Code кодировал данные о прокси и часовом поясе во «вневидимые» маркеры Unicode, скрытые в системных промптах
- Механизм сверял конфигурации со списком из 147 китайских доменов и одиннадцатью ключевыми словами, связанными с ИИ‑лабораториями Китая, прежде чем изменить строку с датой в промпте
- Anthropic заявила, что этот код будет удалён в следующем релизе Claude Code после того, как разработчики и исследователи подняли тревогу
Скрытые маркеры в промптах
Разработчик, проводивший реверс‑инжиниринг Claude Code версии 2.1.196 при восстановлении отключённой функции удалённого управления, обнаружил обфусцированный код, тихо присутствовавший с апреля.
Находки появились на Reddit 30 июня под псевдонимом и были подтверждены в техническом разборе, опубликованном на GitHub.
Аналитики изучили три разных релиза Claude Code и выяснили, что механизм работал одинаково во всех версиях, при этом о нём не упоминалось ни в одном из релиз‑нотов, несмотря на месяцы обновлений. Он активируется только тогда, когда пользователь направляет Claude Code на пользовательский адрес сервера вместо собственного сервера Anthropic. После срабатывания инструмент считывает часовой пояс системы и проверяет, совпадает ли он с двумя городами, связанными с материковым Китаем.
Затем адрес прокси сравнивается со скрытым списком доменов из 147 записей, обфусцированных так, чтобы не находиться простым текстовым поиском, — туда входят Baidu, Alibaba, Ant Group и ByteDance, а также одиннадцать ключевых слов, связанных с китайскими ИИ‑лабораториями. Результаты встраиваются в обычное на вид предложение «Today's date is...», где дефис меняется на слэш для китайского часового пояса, а стандартная апостроф заменяется одним из трёх почти неотличимых символов.
Также читайте: BitMine противостоит распродаже, делая ставку $43 млн на Ethereum, стратегия даёт сбой
Утрата доверия разработчиков
Разработчики отреагировали с тревогой, когда механизм стал публичным, утверждая, что инструмент с доступом к исходному коду и shell‑командам обязан обеспечивать пользователям более высокий стандарт прозрачности, чем обычное окно чата. В отчёте об ошибке, поданном в репозиторий проекта, практика была названа скрытой цифровой «снятием отпечатков», и авторы спросили, какие ещё сигналы могут быть скрыты от пользователей. Комментаторы отметили, что проверку можно обойти, просто изменив имя хоста или системные часы.
Это означает, что в основном помечаются обычные разработчики, использующие легитимные корпоративные прокси, а не те изощрённые операторы, против которых механизм якобы направлен. Ранее Anthropic обвиняла китайские лаборатории, включая DeepSeek, Moonshot AI и MiniMax, в использовании более 24 000 поддельных аккаунтов и свыше 16 миллионов сессий для копирования манеры рассуждений и стиля программирования Claude в этом году.
Инженер Anthropic признал существование этого кода в соцсетях и заявил, что он будет удалён в релизе следующего дня, хотя компания не выпускала официального письменного заявления. Этот эпизод дополняет череду вопросов безопасности вокруг Claude Code в этом году.
Исследователи из Microsoft раскрыли уязвимость инъекции промптов в интеграции с GitHub в июне, Check Point выявила три отдельные уязвимости в феврале, а собственный исходный код Anthropic ненадолго утёк в апреле.
Читайте далее: CZ говорит, что Binance была в нескольких шагах от одобрения MiCA, пока не вмешалась политика