Anthropic ha nascosto un codice spia in Claude Code per marcare gli utenti cinesi: tutta la verità

Il 30 giugno 2026, lo sviluppatore e ricercatore AdnaneKhan ha pubblicato un'analisi verificata che dimostrava come Anthropic avesse inserito un codice di riconoscimento nascosto e steganografico in Claude Code, in grado di identificare silenziosamente gli utenti collegati alla Cina . La scoperta ha scatenato un putiferio: il post iniziale su X di @IntCyberDigest ha raccolto oltre 1,5 milioni di visualizzazioni in 24 ore e ha costretto Anthropic a riconoscere e ritirare la funzionalità, da loro definita un "esperimento anti-abuso". Ma lo scandalo del codice nascosto è solo un tassello di uno scontro straordinario su tre fronti tra Anthropic e la Cina, esploso in una sola settimana del giugno 2026, che ha coinvolto anche una grave accusa di distillazione contro Alibaba e il divieto (poi revocato) del governo USA sui modelli di IA più potenti di Anthropic.

Ecco cosa è successo, come funzionava il codice nascosto e perché tutti e tre gli eventi sono collegati.

Il codice nascosto in Claude Code: cosa faceva e come funzionava

Il meccanismo nascosto è stato introdotto a partire dalla versione 2.1.91 (rilasciata il 2 aprile 2026). Una precedente fuga di codice sorgente accidentale nella versione 2.1.88 (31 marzo 2026) — un file .map di debug dimenticato che esponeva circa 512.000 righe di TypeScript — aveva già rivelato flag di compilazione come ANTI_DISTILLATION_CC, suggerendo l'esistenza di un sistema del genere . La controversia pubblica è esplosa il 30 giugno 2026, quando l'analisi è stata pubblicata e verificata in modo indipendente .

Il meccanismo eseguiva tre passaggi interamente lato client, senza alcuna notifica all'utente :

1. Sondaggio dell'ambiente. Claude Code controllava la variabile d'ambiente ANTHROPIC_BASE_URL. Se puntava a un endpoint non ufficiale — per esempio, un relay API di terze parti o un proxy "China Transfer Station" — il codice confrontava l'endpoint con un elenco codificato e offuscato di 147 domini di aziende tecnologiche cinesi: Baidu, Alibaba, Ant Group, ByteDance, Moonshot AI (Kimi), MiniMax, StepFun e altre . L'elenco dei domini era camuffato con codifica Base64 e offuscamento XOR con chiave 91, rendendone difficile la scoperta con i normali strumenti di ricerca di stringhe .

2. Codifica nel prompt di sistema. Una volta identificato un proxy legato alla Cina, il codice modificava silenziosamente il prompt di sistema inviato ai server di Anthropic ad ogni richiesta successiva. Alterava una singola riga banale — "Today's date is 2026-06-30." — attraverso sottili sostituzioni di caratteri e modifiche al formato della data, per codificare il fuso orario dell'utente, la rotta del proxy e la probabile affiliazione a un laboratorio di IA . Questo è un metodo steganografico: nasconde i dati in bella vista, in modo che il modello (e i server di Anthropic) possano leggerli, ma l'utente no.

3. Invisibile all'utente. L'intero processo avveniva senza alcuna indicazione nell'interfaccia utente, nessun log visibile all'utente finale e nessuna divulgazione nelle note di rilascio o nella documentazione . Molti analisti indipendenti hanno confermato la realtà del meccanismo, descrivendolo come un "canale nascosto" all'interno del prompt di sistema . Il flag ANTI_DISTILLATION_CC, più ampio e visibile nella precedente fuga di codice sorgente, istruiva l'API di Anthropic a iniettare silenziosamente filigrane anti-distillazione nelle risposte, suggerendo che questo faceva parte di un quadro anti-abuso più ampio .

La risposta di Anthropic: un "esperimento anti-abuso"

Dopo lo scoppio della polemica, Anthropic ha riconosciuto la funzionalità e ha iniziato a rimuoverla . L'azienda l'ha caratterizzata come un "esperimento anti-abuso" pensato per contrastare i diffusi proxy API del mercato grigio — noti nella comunità degli sviluppatori cinesi come "Zhongzuanzhan" o "China Transfer Stations" — che permettono agli sviluppatori cinesi di accedere a Claude a circa il 10% del prezzo ufficiale tramite relay non autorizzati . Anthropic ha dichiarato che l'obiettivo era rilevare e bloccare la distillazione e l'accesso non autorizzato, non spiare gli utenti. I critici, tuttavia, l'hanno definito "codice spyware" e hanno sollevato seri dubbi su privacy, trasparenza ed etica del riconoscimento occulto degli utenti .

Perché Anthropic l'ha costruito: l'accusa di distillazione ad Alibaba

Appena una settimana prima che la fuga di notizie su Claude Code diventasse pubblica, Anthropic aveva inviato una lettera al Congresso degli Stati Uniti sostenendo che Alibaba e il suo laboratorio di IA Qwen avevano condotto il più grande attacco di "distillazione" mai visto contro Claude. Secondo la lettera, esaminata da diverse testate giornalistiche, operatori affiliati ad Alibaba avevano utilizzato circa 25.000 account fraudolenti per effettuare circa 28,8 milioni di interazioni con Claude dal 22 aprile al 5 giugno 2026, estraendo sistematicamente le capacità del modello per addestrare i propri modelli rivali . Anthropic ha descritto questa operazione come una campagna "sfacciata" e "illegale" . Questa accusa spiega direttamente il motivo per cui Anthropic ha costruito il riconoscimento steganografico: era una misura difensiva contro il tipo esatto di estrazione di massa che stava contemporaneamente accusando Alibaba di aver messo in atto.

Non era la prima accusa di distillazione da parte di Anthropic contro aziende cinesi. Nel febbraio 2026, Anthropic aveva accusato DeepSeek, Moonshot AI e MiniMax di aver creato oltre 24.000 account falsi e generato più di 16 milioni di scambi con Claude . L'accusa ad Alibaba è stata la più grande finora.

Embargo USA su Fable 5 e Mythos 5 — e poi revocato

Il 12 giugno 2026, il Dipartimento del Commercio statunitense, in base alle Export Administration Regulations (EAR), ha ordinato ad Anthropic di disabilitare immediatamente i suoi due modelli più avanzati — Claude Fable 5 e Claude Mythos 5 — lanciati appena tre giorni prima. Il governo ha citato problemi di sicurezza nazionale legati a un presunto jailbreak . Anthropic ha ottemperato, sospendendo entrambi i modelli in tutto il mondo perché non poteva distinguere in modo affidabile in tempo reale tra cittadini stranieri e utenti nazionali .

Poi, il 30 giugno 2026 — lo stesso giorno dello scoppio della polemica su Claude Code — l'amministrazione Trump ha revocato le restrizioni all'esportazione e Anthropic ha iniziato a ripristinare Fable 5 e Mythos 5 .

Il quadro d'insieme

Questi eventi formano uno schema coerente in un'unica settimana straordinaria:

• Anthropic stava combattendo un ecosistema di proxy API del mercato grigio in Cina, dove gli sviluppatori accedevano a Claude a circa il 10% del prezzo ufficiale tramite "China Transfer Stations" . Aveva anche precedentemente rivelato una campagna di cyber-spionaggio sponsorizzata dallo stato cinese che utilizzava Claude Code nel settembre 2025, sventata nel novembre 2025 .
• Ha costruito il riconoscimento steganografico in Claude Code v2.1.91 come contromisura anti-distillazione occulta, codificando le informazioni degli utenti nei prompt di sistema per rilevare e bloccare l'accesso non autorizzato .
• Ha accusato pubblicamente Alibaba del più grande attacco di distillazione di modelli mai condotto contro di essa (24-25 giugno) .
• Il governo USA ha prima vietato e poi riabilitato i modelli più potenti di Anthropic (12-30 giugno), creando una finestra in cui i modelli premium di Anthropic non erano disponibili, proprio mentre l'azienda combatteva l'estrazione cinese dei suoi modelli di generazione corrente .
• La scoperta del codice nascosto (30 giugno) e la revoca delle restrizioni all'esportazione (30 giugno) sono avvenute simultaneamente, producendo un unico ciclo di notizie in cui Anthropic è stata contemporaneamente accusata di spionaggio, ha accusato Alibaba di furto e ha visto sbloccare i suoi modelli di punta.

L'amministratore delegato di Anthropic, Dario Amodei, ha più volte segnalato l'accesso cinese ai modelli di IA americani all'avanguardia come una minaccia esistenziale per la sicurezza nazionale degli Stati Uniti , e la controversia sul codice nascosto suggerisce che l'azienda è stata disposta a spingersi fino a misure straordinarie — in modo occulto e senza il consenso degli utenti — per difendersi.