発見されたステガノグラフィー追跡手法

セキュリティ研究者らによる解析で、Claude Codeはシステムプロンプトにステガノグラフィー（隠し書き込み）マーカーを埋め込み、ユーザーを密かに追跡・識別（フィンガープリント）していたことが明らかになりました。

• 日付文字列による操作: Claude Codeは、ユーザーが設定したAPIベースURLに応じて、システムプロンプト内の日付行（例：「Today's」）のアポストロフィを「Curly Apostrophe（' ）」と「Straight Apostrophe（' ）」で切り替えたり、日付の区切り文字をダッシュ（-）からスラッシュ（/）に変更するなど、視覚的にほぼ判別できないUnicode文字のバリエーションを利用した追跡マーカーを埋め込んでいました。

• プロキシ・ロケーションフィンガープリント: ANTHROPIC_BASE_URL環境変数がAnthropic以外のエンドポイントに設定されている場合、ツールはプロキシホスト名をXOR難読化された競合他社リストと照合。中国のAIラボやプロキシ再販業者を経由したトラフィック、中国関連の接続を検出しました。

• 中国ユーザー検出ロジック（バージョン2.1.91）: 2026年4月2日にリリースされたClaude Codeバージョン2.1.91には、Redditユーザー「LegitMichel777」によって暴露された、ステガノグラフィーを用いた中国ユーザー検出ロジックが密かに組み込まれていました。この手法は、アポストロフィと日付形式の交換により、ユーザーには見えない形で位置情報をエンコードしていました。

• 対象範囲と期間: このフィンガープリンティングコードは、少なくとも3ヶ月間にわたり90以上のバージョンで開示なしに存在し、2026年6月30日に公開されるまで継続していました。

ワシントン・ポストは、Anthropicの真の狙いは「自社の技術を不正に利用して自社のAIツールをより賢くしようとしている中国の競合他社を特定すること」、すなわち中国企業によるモデル蒸留（distillation）や不正API利用の検出だったと報じています。

Anthropicの対応

Anthropicの対応は2段階に分かれています。

1. ステガノグラフィー問題への対応（2026年7月初旬）: 6月30日に問題が表面化した後、Anthropicは隠しステガノグラフィーコードを削除し、追跡機能をロールバックすることを認めました。同社はこれを「不正利用対策の実験」と説明し、中国の競合他社による不正API使用やモデル蒸留を検出することを目的としていたとしました。ユーザー監視ではなく、知的財産権侵害からの保護が目的だと主張しました。

2. NVDB警告への反論（2026年7月8日～9日）: 中国の公式セキュリティ警告に対して、Anthropicは「中国のユーザーは当初からClaude Codeの利用を許可されておらず、利用規約に違反してアクセスしていた」と反論しました。つまり、問題の「バックドア」は、そもそもソフトウェアにアクセスすべきでない不正ユーザーに対する対抗措置に過ぎないと主張した形です。

波及と背景

この事件は、米中間のAI覇権競争における新たな火種となりました。Alibabaは2026年7月10日付で、全従業員を対象にClaude Codeの使用を全面禁止する異例の措置を発表し、「ハイリスクソフトウェア」に分類しました。本件は、知的財産保護、モデルセキュリティ、そしてサプライチェーン上の信頼をめぐる米中AI対立の新たな局面として広く認識されています。

発見されたステガノグラフィー追跡手法

セキュリティ研究者らによる解析で、Claude Codeはシステムプロンプトにステガノグラフィー（隠し書き込み）マーカーを埋め込み、ユーザーを密かに追跡・識別（フィンガープリント）していたことが明らかになりました。

• 日付文字列による操作: Claude Codeは、ユーザーが設定したAPIベースURLに応じて、システムプロンプト内の日付行（例：「Today's」）のアポストロフィを「Curly Apostrophe（' ）」と「Straight Apostrophe（' ）」で切り替えたり、日付の区切り文字をダッシュ（-）からスラッシュ（/）に変更するなど、視覚的にほぼ判別できないUnicode文字のバリエーションを利用した追跡マーカーを埋め込んでいました。

• プロキシ・ロケーションフィンガープリント: ANTHROPIC_BASE_URL環境変数がAnthropic以外のエンドポイントに設定されている場合、ツールはプロキシホスト名をXOR難読化された競合他社リストと照合。中国のAIラボやプロキシ再販業者を経由したトラフィック、中国関連の接続を検出しました。

• 中国ユーザー検出ロジック（バージョン2.1.91）: 2026年4月2日にリリースされたClaude Codeバージョン2.1.91には、Redditユーザー「LegitMichel777」によって暴露された、ステガノグラフィーを用いた中国ユーザー検出ロジックが密かに組み込まれていました。この手法は、アポストロフィと日付形式の交換により、ユーザーには見えない形で位置情報をエンコードしていました。

• 対象範囲と期間: このフィンガープリンティングコードは、少なくとも3ヶ月間にわたり90以上のバージョンで開示なしに存在し、2026年6月30日に公開されるまで継続していました。

ワシントン・ポストは、Anthropicの真の狙いは「自社の技術を不正に利用して自社のAIツールをより賢くしようとしている中国の競合他社を特定すること」、すなわち中国企業によるモデル蒸留（distillation）や不正API利用の検出だったと報じています。

Anthropicの対応

Anthropicの対応は2段階に分かれています。

1. ステガノグラフィー問題への対応（2026年7月初旬）: 6月30日に問題が表面化した後、Anthropicは隠しステガノグラフィーコードを削除し、追跡機能をロールバックすることを認めました。同社はこれを「不正利用対策の実験」と説明し、中国の競合他社による不正API使用やモデル蒸留を検出することを目的としていたとしました。ユーザー監視ではなく、知的財産権侵害からの保護が目的だと主張しました。

2. NVDB警告への反論（2026年7月8日～9日）: 中国の公式セキュリティ警告に対して、Anthropicは「中国のユーザーは当初からClaude Codeの利用を許可されておらず、利用規約に違反してアクセスしていた」と反論しました。つまり、問題の「バックドア」は、そもそもソフトウェアにアクセスすべきでない不正ユーザーに対する対抗措置に過ぎないと主張した形です。

波及と背景

この事件は、米中間のAI覇権競争における新たな火種となりました。Alibabaは2026年7月10日付で、全従業員を対象にClaude Codeの使用を全面禁止する異例の措置を発表し、「ハイリスクソフトウェア」に分類しました。本件は、知的財産保護、モデルセキュリティ、そしてサプライチェーン上の信頼をめぐる米中AI対立の新たな局面として広く認識されています。