Kinas sårbarhedsdatabase advarer om sikkerhedsbrist i Anthropics Claude Code

Steganografiske sporingsmetoder opdaget

Sikkerhedsforskere opdagede, at Claude Code havde brugt steganografiske markører indlejret i sine systemprompter til stille og roligt at spore og fingeraftrykke brugere:

• Dato-streng-manipulation: Claude Code ændrede lydløst systempromptens datolinje – ved at skifte mellem en krum apostrof og en lige apostrof i "Today's" og ved at ændre datoseparatorer fra bindestreger til skråstreger – afhængigt af den API-base-URL, brugeren havde konfigureret . Disse næsten usynlige Unicode-variationer fungerede som sporingsmarkører.

• Proxy- og lokationsfingeraftryk: Når miljøvariablen ANTHROPIC_BASE_URL var sat til et ikke-Anthropic-endpoint, kodede værktøjet proxy-værtsnavnet mod en XOR-obfuscated liste over konkurrenter . De skjulte markører kontrollerede, om trafikken blev dirigeret gennem kinesiske AI-laboratorier, proxy-forhandlere eller på anden måde var Kina-relateret .

• Kinesisk brugerdetektion (version 2.1.91): Claude Code version 2.1.91, udgivet den 2. april 2026, indeholdt hemmeligt kinesisk brugerdetektionslogik via steganografi i sin systemprompt, afsløret af Reddit-brugeren LegitMichel777 . Teknikken involverede at bytte apostroffer og datoformater for at kode lokalitetsdata, som ikke var synlige for brugerne .

• Omfang og varighed: Fingeraftrykskoden var til stede i over 90 versioner af Claude Code uden offentliggørelse , og den strakte sig over mindst tre måneder, før den blev offentligt eksponeret den 30. juni 2026 .

Washington Post rapporterede, at Anthropics tilsyneladende mål var "at afsløre de kinesiske rivaler, som virksomheden mistænkte for at kapre dens teknologi for at gøre deres egne AI-værktøjer smartere" – dvs. at opdage modeldestillation eller uautoriseret API-brug fra kinesiske virksomheder .

Anthropics svar

Anthropics svar havde to faser:

1. Om steganografien (tidligt i juli 2026): Efter opdagelsen blev offentlig den 30. juni bekræftede Anthropic, at de fjernede den skjulte steganografikode og tilbagerullede sporingsfunktionen . Virksomheden beskrev det som et "anti-misbrugseksperiment" beregnet til at opdage uautoriseret API-brug og modeldestillation fra kinesiske konkurrenter . Anthropic sagde, at sporingen ikke var beregnet til brugerovervågning, men til at beskytte mod intellektuel ejendomsretstyveri.

2. Om NVDB's bagdørsadvarsel (8.-9. juli 2026): Som svar på Kinas formelle sikkerhedsadvarsel slog Anthropic tilbage ved at udtale, at brugere i Kina aldrig var autoriserede til at bruge Claude Code i første omgang og havde fået adgang til værktøjet i strid med dets servicevilkår . Virksomheden hævdede i realiteten, at den påståede "bagdør" var en modforanstaltning mod uautoriserede brugere, som ikke burde have haft adgang til softwaren .

Nøglekontekst: Hændelsen udløste en bredere virksomhedsrespons – Alibaba forbød Claude Code på tværs af sin arbejdsstyrke den 10. juli 2026 med henvisning til den skjulte sporingskode . Episoden ses bredt som en ny front i USA-Kina AI-spændingerne omkring intellektuel ejendom, modelsikkerhed og tillid til forsyningskæden .