Steganografiske sporingsmetoder oppdaget

Sikkerhetsforskere oppdaget at Claude Code brukte steganografiske markører skjult i systemledeteksten (system prompt) for å spore og fingeravtrykke brukere:

• Dato-streng-manipulering: Claude Code endret lydløst dato-strengen i systemledeteksten – vekslet mellom en krum apostrof og en rett apostrof i «Today's», og byttet datoseparatorer fra bindestrek til skråstrek – avhengig av hvilken API-base-URL brukeren hadde konfigurert . Disse nesten usynlige Unicode-variasjonene fungerte som sporingsmarkører.

• Proxy- og lokasjonsfingeravtrykk: Når miljøvariabelen ANTHROPIC_BASE_URL var satt til et ikke-Anthropic-endepunkt, kodet verktøyet proxy-vertsnavnet mot en XOR-obfuskert liste over konkurrenter . De skjulte markørene sjekket om trafikk ble rutet gjennom kinesiske AI-laboratorier, proxy-forhandlere, eller på annen måte var Kina-relatert .

• Kinesisk-brukerdeteksjon (versjon 2.1.91): Claude Code versjon 2.1.91, utgitt 2. april 2026, inneholdt skjult logikk for å oppdage kinesiske brukere via steganografi i systemledeteksten. Dette ble avslørt av Reddit-brukeren LegitMichel777 . Teknikken gikk ut på å bytte apostrofer og datoformater for å kode lokasjonsdata som ikke var synlige for brukerne .

• Omfang og varighet: Fingeravtrykkingskoden var til stede i over 90 versjoner av Claude Code uten offentliggjøring , og strakte seg over minst tre måneder før offentlig eksponering 30. juni 2026 .

The Washington Post rapporterte at Anthropics tilsynelatende mål var «å avsløre de kinesiske rivalene selskapet mistenkte for å kapre teknologien for å gjøre sine egne AI-verktøy smartere» – det vil si å oppdage modell-destillasjon eller uautorisert API-bruk av kinesiske firmaer .

Anthropics svar

Anthropics svar hadde to faser:

1. Om steganografien (tidlig i juli 2026): Etter at oppdagelsen ble offentlig 30. juni bekreftet Anthropic at de fjernet den skjulte steganografikoden og rullet tilbake sporingsfunksjonen . Selskapet beskrev det som et «anti-abuse-eksperiment» ment å avdekke uautorisert API-bruk og modell-destillasjon fra kinesiske konkurrenter . Anthropic sa at sporingen ikke var ment for brukerovervåking, men for å beskytte mot immaterielle rettigheter.

2. Om NVDBs bakdørsvarsel (8.–9. juli 2026): Som svar på Kinas formelle sikkerhetsadvarsel slo Anthropic tilbake og uttalte at brukere i Kina aldri var autorisert til å bruke Claude Code og at de hadde fått tilgang til verktøyet i strid med selskapets vilkår for bruk . Selskapet argumenterte i praksis for at den påståtte «bakdøren» var et mottiltak mot uautoriserte brukere som ikke burde hatt tilgang til programvaren .

Viktig kontekst: Hendelsen utløste en bredere bedriftsrespons – Alibaba forbød Claude Code for alle ansatte 10. juli 2026, med henvisning til den skjulte sporingskoden . Episoden blir i stor grad sett på som en ny front i USAs og Kinas AI-spenninger rundt immaterielle rettigheter, modellsikkerhet og tillit i forsyningskjeder .

Steganografiske sporingsmetoder oppdaget

Sikkerhetsforskere oppdaget at Claude Code brukte steganografiske markører skjult i systemledeteksten (system prompt) for å spore og fingeravtrykke brukere:

• Dato-streng-manipulering: Claude Code endret lydløst dato-strengen i systemledeteksten – vekslet mellom en krum apostrof og en rett apostrof i «Today's», og byttet datoseparatorer fra bindestrek til skråstrek – avhengig av hvilken API-base-URL brukeren hadde konfigurert . Disse nesten usynlige Unicode-variasjonene fungerte som sporingsmarkører.

• Proxy- og lokasjonsfingeravtrykk: Når miljøvariabelen ANTHROPIC_BASE_URL var satt til et ikke-Anthropic-endepunkt, kodet verktøyet proxy-vertsnavnet mot en XOR-obfuskert liste over konkurrenter . De skjulte markørene sjekket om trafikk ble rutet gjennom kinesiske AI-laboratorier, proxy-forhandlere, eller på annen måte var Kina-relatert .

• Kinesisk-brukerdeteksjon (versjon 2.1.91): Claude Code versjon 2.1.91, utgitt 2. april 2026, inneholdt skjult logikk for å oppdage kinesiske brukere via steganografi i systemledeteksten. Dette ble avslørt av Reddit-brukeren LegitMichel777 . Teknikken gikk ut på å bytte apostrofer og datoformater for å kode lokasjonsdata som ikke var synlige for brukerne .

• Omfang og varighet: Fingeravtrykkingskoden var til stede i over 90 versjoner av Claude Code uten offentliggjøring , og strakte seg over minst tre måneder før offentlig eksponering 30. juni 2026 .

The Washington Post rapporterte at Anthropics tilsynelatende mål var «å avsløre de kinesiske rivalene selskapet mistenkte for å kapre teknologien for å gjøre sine egne AI-verktøy smartere» – det vil si å oppdage modell-destillasjon eller uautorisert API-bruk av kinesiske firmaer .

Anthropics svar

Anthropics svar hadde to faser:

1. Om steganografien (tidlig i juli 2026): Etter at oppdagelsen ble offentlig 30. juni bekreftet Anthropic at de fjernet den skjulte steganografikoden og rullet tilbake sporingsfunksjonen . Selskapet beskrev det som et «anti-abuse-eksperiment» ment å avdekke uautorisert API-bruk og modell-destillasjon fra kinesiske konkurrenter . Anthropic sa at sporingen ikke var ment for brukerovervåking, men for å beskytte mot immaterielle rettigheter.

2. Om NVDBs bakdørsvarsel (8.–9. juli 2026): Som svar på Kinas formelle sikkerhetsadvarsel slo Anthropic tilbake og uttalte at brukere i Kina aldri var autorisert til å bruke Claude Code og at de hadde fått tilgang til verktøyet i strid med selskapets vilkår for bruk . Selskapet argumenterte i praksis for at den påståtte «bakdøren» var et mottiltak mot uautoriserte brukere som ikke burde hatt tilgang til programvaren .

Viktig kontekst: Hendelsen utløste en bredere bedriftsrespons – Alibaba forbød Claude Code for alle ansatte 10. juli 2026, med henvisning til den skjulte sporingskoden . Episoden blir i stor grad sett på som en ny front i USAs og Kinas AI-spenninger rundt immaterielle rettigheter, modellsikkerhet og tillit i forsyningskjeder .