Anthropic vložil do Claude Code tajný kód, který tiše identifikoval čínské uživatele: Příběh o špionáži, krádeži AI modelů a vládním zákazu

Úvod: Trojí krize v jednom týdnu

Dne 30. června 2026 zveřejnil vývojář a výzkumník AdnaneKhan ověřenou analýzu, která odhalila, že společnost Anthropic vložila do svého nástroje Claude Code skrytý, steganografický kód, který tiše identifikoval uživatele spojené s Čínou . Toto zjištění vyvolalo obrovský ohlas – první příspěvek na X od účtu @IntCyberDigest zaznamenal během 24 hodin přes 1,5 milionu zhlédnutí – a přinutilo Anthropic, aby funkci, kterou označil za "experiment proti zneužívání", uznal a stáhl. Skandál se skrytým kódem je však pouze jedním dílem mimořádného třífrontového konfliktu mezi Anthropicem a Čínou, který propukl během jediného červnového týdne roku 2026. Patří sem také obvinění Alibaby z masivní destilace modelu a vládní zákaz a následné povolení nejvýkonnějších AI modelů Anthropicu.

Tento článek přináší podrobný přehled toho, co se stalo, jak skrytý kód fungoval a proč jsou všechny tři události propojené.

Skrytý kód v Claude Code: Co dělal a jak fungoval

Skrytý mechanismus byl zaveden od verze v2.1.91 (vydáno 2. dubna 2026). Již dříve, 31. března 2026, došlo k neúmyslnému úniku zdrojového kódu ve verzi v2.1.88 – součástí balíčku byl debugovací .map soubor, který odhalil přibližně 512 000 řádků TypeScriptu a poukázal na existenci kompilačních příznaků jako ANTI_DISTILLATION_CC . Veřejný skandál propukl 30. června 2026, kdy byla analýza zveřejněna a nezávisle ověřena .

Mechanismus prováděl na straně klienta tři kroky, a to zcela bez vědomí uživatele :

1. Průzkum prostředí. Claude Code zkontroloval proměnnou prostředí ANTHROPIC_BASE_URL. Pokud ukazovala na neoficiální koncový bod – například na API relay třetí strany nebo proxy "China Transfer Station" – kód porovnal tento koncový bod s pevně daným, zakódovaným seznamem 147 domén čínských technologických společností: Baidu, Alibaba, Ant Group, ByteDance, Moonshot AI (Kimi), MiniMax, StepFun a dalších . Seznam domén byl maskován pomocí Base64 kódování a XOR obfuskace s klíčem 91, což znesnadňovalo jeho nalezení běžnými vyhledávacími nástroji .

2. Zakódování do systémové výzvy. Jakmile byla identifikována proxy spojená s Čínou, kód tiše změnil systémovou výzvu (system prompt) odesílanou na servery Anthropicu při každém následujícím požadavku. Změnil jediný, nudný řádek – "Today's date is 2026-06-30." – pomocí nenápadných záměn znaků a změn formátu data, aby zakódoval časové pásmo uživatele, cestu proxy a pravděpodobnou příslušnost k AI laboratoři . Jedná se o steganografickou metodu: data jsou ukryta na očích tak, že je model (a servery Anthropicu) může přečíst, ale uživatel nikoli.

3. Neviditelnost pro uživatele. Celý proces probíhal bez jakéhokoli uživatelského rozhraní, bez logování viditelného pro koncového uživatele a bez uvedení v poznámkách k vydání nebo dokumentaci . Několik nezávislých analytiků potvrdilo, že mechanismus je skutečný, a popsali jej jako "skrytý kanál" uvnitř systémové výzvy . Širší příznak ANTI_DISTILLATION_CC, který byl patrný v dřívějším úniku zdrojového kódu, instruoval API Anthropicu, aby do odpovědí tiše vkládalo vodoznaky proti destilaci, což naznačuje, že šlo o součást širšího rámce pro boj proti zneužívání .

Reakce Anthropicu: "Experiment proti zneužívání"

Poté, co skandál propukl, Anthropic funkci uznal a začal ji stahovat . Společnost ji charakterizovala jako "experiment proti zneužívání" (anti-abuse experiment), jehož cílem bylo bojovat proti rozšířeným API proxy na šedém trhu – v čínské vývojářské komunitě známým jako "Zhongzuanzhan" neboli "China Transfer Stations" – které umožňují čínským vývojářům přistupovat k Claudu za zhruba 10 % oficiální ceny prostřednictvím neautorizovaných relayů . Anthropic uvedl, že cílem bylo odhalit a blokovat destilaci a neautorizovaný přístup, nikoli špehovat uživatele. Kritici však kód označili za "spyware-like code" (kód podobný spywaru) a vznesli vážné obavy o soukromí, transparentnost a etiku skrytého otiskování uživatelů .

Proč to Anthropic postavil: Obvinění Alibaby z destilace

Jen týden předtím, než se informace o skrytém kódu v Claude Code dostala na veřejnost, zaslal Anthropic dopis americkému Kongresu, v němž obvinil Alibabu a její AI laboratoř Qwen z největšího známého "destilačního" útoku proti Claudu. Podle dopisu, který přezkoumala řada médií, použili operátoři napojení na Alibabu přibližně 25 000 podvodných účtů k provedení zhruba 28,8 milionu interakcí s Claudem od 22. dubna do 5. června 2026, přičemž systematicky extrahovali schopnosti modelu k trénování svých vlastních konkurenčních modelů . Anthropic tuto kampaň označil za "drzou" a "protiprávní" . Toto obvinění přímo vysvětluje, proč Anthropic vybudoval steganografické otiskování – byl to obranný mechanismus proti přesně tomu typu masivní extrakce, z jaké zároveň obvinil Alibabu.

Nebylo to první obvinění Anthropicu z čínské destilace. V únoru 2026 obvinil Anthropic společnosti DeepSeek, Moonshot AI a MiniMax z toho, že zřídily více než 24 000 falešných účtů a vygenerovaly více než 16 milionů výměn s Claudem . Obvinění Alibaby bylo dosud největší.

Americká exportní omezení na Fable 5 a Mythos 5 – a jejich zrušení

Dne 12. června 2026 nařídilo americké Ministerstvo obchodu na základě Export Administration Regulations (EAR) společnosti Anthropic, aby okamžitě zablokovala své dva nejpokročilejší modely – Claude Fable 5 a Claude Mythos 5 – uvedené na trh jen o tři dny dříve. Vláda se odvolávala na obavy o národní bezpečnost kvůli údajnému jailbreaku . Anthropic uposlechl a pozastavil oba modely celosvětově, protože nebyl schopen v reálném čase spolehlivě rozlišit cizí státní příslušníky od domácích uživatelů .

Poté 30. června 2026 – ve stejný den, kdy propukl skandál s Claude Code – Trumpova administrativa exportní omezení zrušila a Anthropic začal obnovovat přístup k modelům Fable 5 a Mythos 5 .

Propojený obraz

Tyto události vytvářejí konzistentní obraz, který se odehrál během jediného mimořádného týdne:

• Anthropic dlouhodobě bojoval s ekosystémem API proxy na šedém trhu v Číně, kde vývojáři přistupovali k Claudu za zhruba 10 % oficiální ceny prostřednictvím "China Transfer Stations" . Již dříve, v září 2025, odhalil čínskou státem sponzorovanou kyberšpionážní kampaň využívající Claude Code, kterou v listopadu 2025 narušil .
• Vybudoval steganografické otiskování v Claude Code v2.1.91 jako skryté proti-destilační opatření, které kódovalo informace o uživateli do systémové výzvy k detekci a blokování neautorizovaného přístupu .
• Veřejně obvinil Alibabu z největšího známého destilačního útoku proti sobě (24.–25. června) .
• Americká vláda nejprve zakázala a poté povolila nejvýkonnější modely Anthropicu (12.–30. června), čímž vzniklo okno, kdy prémiové modely nebyly k dispozici, zatímco společnost bojovala proti čínské extrakci svých současných modelů .
• Odhalení skrytého kódu (30. června) a zrušení exportních omezení (30. června) nastaly současně, čímž vznikl jediný zpravodajský cyklus, v němž byl Anthropic zároveň obviněn ze špionáže, obviňoval Alibabu z krádeže a získával zpět své špičkové modely.

Generální ředitel Anthropicu Dario Amodei opakovaně označil čínský přístup k americkým špičkovým AI modelům za existenční hrozbu pro národní bezpečnost USA a kontroverze kolem skrytého kódu naznačuje, že společnost byla ochotna zajít do extrémních délek – tajně a bez souhlasu uživatele – aby se proti tomu bránila .