Hemmelig overvåkning i Claude Code: Slik merket Anthropic Kina-brukere uten at de visste om det

Mekanismen utførte tre trinn, utelukkende på klientsiden, uten noen varsling til brukeren :

1. Miljøsjekk. Claude Code sjekket miljøvariabelen ANTHROPIC_BASE_URL. Hvis den pekte til et ikke-offisielt endepunkt – for eksempel en tredjeparts API-relé eller en «Kina-overføringsstasjon»-proxy – sammenlignet koden endepunktet mot en hardkodet, tilslørt liste over 147 kinesiske teknologiselskapsdomener: Baidu, Alibaba, Ant Group, ByteDance, Moonshot AI (Kimi), MiniMax, StepFun og flere . Domenelisten var skjult ved hjelp av Base64-koding og XOR-tilsløring med nøkkel 91, noe som gjorde den vanskelig å finne med vanlige søkeverktøy .

2. Koding inn i systemprompten. Når en Kina-koblet proxy var identifisert, endret koden lydløst systemprompten som ble sendt til Anthropics servere ved hver påfølgende forespørsel. Den endret en enkel, kjedelig linje – «Today's date is 2026-06-30.» – gjennom subtile tegnsubstitusjoner og datoformatendringer for å kode brukerens tidsone, proxy-rute og sannsynlige AI-lab-tilhørighet . Dette er en steganografisk metode: den skjuler data i synligheten, slik at modellen (og Anthropics servere) kan lese den, men brukeren ikke kan.

3. Usynlig for brukeren. Hele prosessen skjedde uten noen UI-indikasjon, ingen logging synlig for sluttbrukeren, og ingen omtale i release notes eller dokumentasjon . Flere uavhengige analytikere bekreftet at mekanismen var reell, og beskrev den som en «skjult kanal» inne i systemprompten . Det bredere ANTI_DISTILLATION_CC-flagget som var synlig i den tidligere kildekodelekkasjen, instruerte Anthropics API til å stille innsprøyte anti-destillasjonsvannmerker i svarene, noe som tyder på at dette var en del av et bredere anti-misbruksrammeverk .

Anthropics svar: «Anti-misbrukseksperiment»

Etter at kontroversen brøt ut, erkjente Anthropic funksjonen og begynte å rulle den tilbake . Selskapet karakteriserte den som et «anti-misbrukseksperiment» ment å bekjempe den utbredte gråmarkeds-API-proxy-økonomien – kjent i det kinesiske utviklermiljøet som «Zhongzuanzhan» eller «Kina-overføringsstasjoner» – som lar kinesiske utviklere få tilgang til Claude til omtrent 10 % av den offisielle prisen gjennom uautoriserte reléer . Anthropic uttalte at målet var å oppdage og blokkere destillasjon og uautorisert tilgang, ikke å spionere på brukere. Kritikere kalte det derimot «spionvare-lignende kode» og reiste store bekymringer om personvern, åpenhet og etikken ved skjult bruker-sporing .

Hvorfor Anthropic bygde det: Alibaba-destillasjonsanklagen

Bare én uke før Claude Code-lekkasjen ble offentlig, sendte Anthropic et brev til den amerikanske kongressen der de hevdet at Alibaba og deres Qwen AI-lab gjennomførte det største kjente «destillasjonsangrepet» mot Claude. Ifølge brevet, gjennomgått av flere nyhetskanaler, brukte operatører tilknyttet Alibaba ~25 000 uredelige kontoer for å gjennomføre ~28,8 millioner interaksjoner med Claude fra 22. april til 5. juni 2026, og systematisk hentet ut modellkapabiliteter for å trene sine egne rivaliserende modeller . Anthropic beskrev dette som en «skamløs» og «ulovlig» kampanje . Denne anklagen forklarer direkte hvorfor Anthropic bygde den steganografiske fingeravtrykkskoden – det var et defensivt tiltak mot akkurat den typen masseutvinning som de samtidig anklaget Alibaba for å drive.

Dette var ikke Anthropics første anklage om kinesisk destillasjon. I februar 2026 anklaget Anthropic DeepSeek, Moonshot AI og MiniMax for å ha opprettet mer enn 24 000 falske kontoer og generert mer enn 16 millioner utvekslinger med Claude . Alibaba-anklagen var den største hittil.

USAs eksportkontroll på Fable 5 og Mythos 5 – og så opphevet

12. juni 2026 beordret det amerikanske handelsdepartementet, i henhold til eksportadministrasjonsforskriftene (EAR), Anthropic til øyeblikkelig å deaktivere sine to mest avanserte modeller – Claude Fable 5 og Claude Mythos 5 – som var lansert bare tre dager tidligere. Regjeringen viste til nasjonale sikkerhetshensyn etter en påstått «jailbreak» . Anthropic etterkom kravet og suspenderte begge modellene over hele verden fordi de ikke kunne skille utenlandske statsborgere fra innenlandske brukere i sanntid .

Så, 30. juni 2026 – samme dag som Claude Code-kontroversen brøt ut – opphevet Trump-administrasjonen eksportkontrollen, og Anthropic begynte å gjenopprette Fable 5 og Mythos 5 .

Det sammenhengende bildet

Disse hendelsene danner et sammenhengende mønster over én ekstraordinær uke:

• Anthropic hadde kjempet mot et gråmarkeds-API-proxy-økosystem i Kina, der utviklere fikk tilgang til Claude til omtrent 10 % av den offisielle prisen gjennom «Kina-overføringsstasjoner» . Selskapet hadde også tidligere avslørt en kinesisk statsstøttet cyberspionasjekampanje som brukte Claude Code i september 2025, som de forstyrret i november 2025 .
• De bygde den steganografiske fingeravtrykkskoden i Claude Code v2.1.91 som et skjult anti-destillasjonstiltak, og kodet brukerinformasjon inn i systemprompter for å oppdage og blokkere uautorisert tilgang .
• De anklaget offentlig Alibaba for det største kjente modell-destillasjonsangrepet mot dem (24.–25. juni) .
• Den amerikanske regjeringen forbød først, og opphevet deretter, Anthropics kraftigste modeller (12.–30. juni), noe som skapte et vindu der Anthropics premiummodeller var utilgjengelige, samtidig som de kjempet mot kinesisk utvinning av deres nåværende generasjonsmodeller .
• Oppdagelsen av den skjulte koden (30. juni) og opphevelsen av eksportkontrollen (30. juni) traff samtidig, og skapte én enkelt nyhetssyklus der Anthropic samtidig ble anklaget for spionasje, anklaget Alibaba for tyveri, og fikk sine toppmodeller låst opp.

Anthropic-sjef Dario Amodei har gjentatte ganger fremhevet kinesisk tilgang til amerikanske frontier AI-modeller som en eksistensiell trussel mot USAs nasjonale sikkerhet , og den skjulte kode-kontroversen tyder på at selskapet har vært villig til å gå til ekstraordinære lengder – skjult og uten brukerens samtykke – for å forsvare seg mot det.