Backdoor e spionaggio digitale: la Cina mette nel mirino Claude Code di Anthropic

Metodi di tracciamento steganografico scoperti

I ricercatori di sicurezza hanno scoperto che Claude Code utilizzava marcatori steganografici incorporati nei suoi prompt di sistema per tracciare e identificare silenziosamente gli utenti:

• Manipolazione della stringa della data: Claude Code alterava silenziosamente la riga della data nel prompt di sistema, passando da un apostrofo curvo a uno dritto in "Today's" e scambiando i separatori di data da trattini a barre, a seconda dell'URL di base dell'API configurato dall'utente . Queste variazioni Unicode quasi invisibili fungevano da marcatori di tracciamento.

• Fingerprinting del proxy e della posizione: Quando la variabile d'ambiente ANTHROPIC_BASE_URL era impostata su un endpoint non Anthropic, lo strumento codificava il nome host del proxy confrontandolo con un'offuscata lista XOR di concorrenti . I marcatori nascosti verificavano se il traffico passava attraverso laboratori AI cinesi, rivenditori di proxy o era comunque riconducibile alla Cina .

• Rilevamento di utenti cinesi (versione 2.1.91): La versione 2.1.91 di Claude Code, rilasciata il 2 aprile 2026, nascondeva una logica di rilevamento degli utenti cinesi tramite steganografia nei prompt di sistema, scoperta dall'utente Reddit LegitMichel777 . La tecnica prevedeva lo scambio di apostrofi e formati di data per codificare dati sulla posizione non visibili agli utenti .

• Portata e durata: Il codice di fingerprinting era presente in oltre 90 versioni di Claude Code senza alcuna comunicazione , per un periodo di almeno tre mesi prima dell'esposizione pubblica avvenuta il 30 giugno 2026 .

Il Washington Post ha riferito che l'obiettivo apparente di Anthropic era "smascherare i rivali cinesi che l'azienda sospettava di aver dirottato la sua tecnologia per rendere più intelligenti i propri strumenti AI" — cioè, rilevare la distillazione di modelli o l'uso non autorizzato delle API da parte di aziende cinesi .

La risposta di Anthropic

La reazione di Anthropic si è articolata in due fasi:

1. Sulla steganografia (inizio luglio 2026): Dopo che la scoperta è diventata pubblica il 30 giugno, Anthropic ha confermato che avrebbe rimosso il codice di steganografia nascosto e ritirato la funzionalità di tracciamento . L'azienda ha descritto il tutto come un "esperimento anti-abuso" volto a rilevare l'uso non autorizzato delle API e la distillazione di modelli da parte di concorrenti cinesi . Anthropic ha dichiarato che il tracciamento non era finalizzato alla sorveglianza degli utenti, ma alla protezione contro il furto di proprietà intellettuale.

2. Sull'allarme della NVDB (8-9 luglio 2026): In risposta all'avvertimento formale di Pechino, Anthropic ha contrattaccato dichiarando che gli utenti in Cina non sono mai stati autorizzati a utilizzare Claude Code e stavano accedendo allo strumento violando i termini di servizio . L'azienda ha di fatto sostenuto che il presunto "backdoor" era una contromisura contro utenti non autorizzati che non avrebbero dovuto avere accesso al software .

Contesto chiave: L'incidente ha innescato una reazione aziendale più ampia: Alibaba ha vietato Claude Code in tutta la sua forza lavoro il 10 luglio 2026, citando il codice di tracciamento nascosto . L'episodio è ampiamente considerato un nuovo fronte nelle tensioni USA-Cina nel campo dell'AI, incentrate sulla proprietà intellettuale, sulla sicurezza dei modelli e sulla fiducia nella catena di fornitura .