Aqui está o que aconteceu, como o código oculto funcionava e por que todos os três eventos estão conectados.

O Código Oculto no Claude Code: O Que Fazia e Como Funcionava

O mecanismo oculto foi introduzido a partir da versão 2.1.91 (lançada em 2 de abril de 2026). Um vazamento acidental de código-fonte na versão 2.1.88 (31 de março de 2026) — um arquivo .map de depuração incluído que expunha aproximadamente 512.000 linhas de TypeScript — já havia revelado flags em tempo de compilação como ANTI_DISTILLATION_CC, sugerindo a existência de tal sistema . A controvérsia pública explodiu em 30 de junho de 2026, quando a análise foi publicada e verificada de forma independente .

O mecanismo executava três etapas inteiramente no lado do cliente, sem qualquer notificação ao usuário :

1. Sondagem do ambiente. O Claude Code verificava a variável de ambiente ANTHROPIC_BASE_URL. Se ela apontasse para um endpoint não oficial — por exemplo, um relé de API de terceiros ou um proxy 'China Transfer Station' — o código comparava o endpoint com uma lista codificada e ofuscada de 147 domínios de empresas de tecnologia chinesas: Baidu, Alibaba, Ant Group, ByteDance, Moonshot AI (Kimi), MiniMax, StepFun e outras . A lista de domínios era disfarçada usando codificação Base64 e ofuscação XOR com chave 91, dificultando sua descoberta com ferramentas comuns de busca por strings .

2. Codificação no prompt do sistema. Uma vez identificado um proxy ligado à China, o código alterava silenciosamente o prompt do sistema enviado aos servidores da Anthropic em todas as solicitações subsequentes. Ele mudava uma única linha simples — "Today's date is 2026-06-30." — por meio de substituições sutis de caracteres e alterações no formato da data para codificar o fuso horário do usuário, a rota do proxy e a provável afiliação a um laboratório de IA . Este é um método : esconde dados à vista de todos, para que o modelo (e os servidores da Anthropic) possam lê-los, mas o usuário não.

3. Invisível para o usuário. Todo o processo acontecia com zero indicação na interface do usuário, nenhum log visível para o usuário final e nenhuma divulgação em notas de versão ou documentação . Múltiplos analistas independentes confirmaram que o mecanismo era real, descrevendo-o como um 'canal oculto' dentro do prompt do sistema . A flag mais ampla , visível no vazamento de código anterior, instruía a API da Anthropic a injetar silenciosamente marcas d'água anti-destilação nas respostas, sugerindo que isso fazia parte de uma estrutura anti-abuso mais ampla .

Resposta da Anthropic: 'Experimento Anti-Abuso'

Após a controvérsia estourar, a Anthropic reconheceu o recurso e começou a removê-lo . A empresa o caracterizou como um 'experimento anti-abuso' destinado a combinar os proxies de API generalizados do mercado cinza — conhecidos na comunidade de desenvolvedores chineses como 'Zhongzuanzhan' ou 'China Transfer Stations' — que permitem que desenvolvedores chineses acessem o Claude por aproximadamente 10% do preço oficial por meio de relés não autorizados . A Anthropic afirmou que o objetivo era detectar e bloquear a destilação e o acesso não autorizado, não espionar os usuários. No entanto, críticos chamaram o código de 'tipo spyware' e levantaram grandes preocupações sobre privacidade, transparência e a ética da impressão digital encoberta de usuários .

Por Que a Anthropic Construiu Isso: A Acusação de Destilação da Alibaba

Apenas uma semana antes do vazamento do código do Claude Code se tornar público, a Anthropic enviou uma carta ao Congresso dos EUA alegando que a Alibaba e seu laboratório de IA Qwen realizaram o maior ataque de 'destilação' conhecido contra o Claude. De acordo com a carta, revisada por vários veículos de notícias, operadores afiliados à Alibaba usaram ~25.000 contas fraudulentas para conduzir ~28,8 milhões de interações com o Claude de 22 de abril a 5 de junho de 2026, extraindo sistematicamente as capacidades do modelo para treinar seus próprios modelos rivais . A Anthropic descreveu isso como uma campanha 'descarada' e 'ilegal' . Essa acusação explica diretamente por que a Anthropic construiu a impressão digital esteganográfica — era uma medida defensiva contra o tipo exato de extração em massa que ela estava simultaneamente acusando a Alibaba de realizar.

Esta não foi a primeira acusação de destilação chinesa da Anthropic. Em fevereiro de 2026, a Anthropic acusou DeepSeek, Moonshot AI e MiniMax de criarem mais de 24.000 contas falsas e gerarem mais de 16 milhões de trocas com o Claude . A acusação contra a Alibaba foi a maior até agora.

Controles de Exportação dos EUA sobre Fable 5 e Mythos 5 — Depois Suspensos

Em 12 de junho de 2026, o Departamento de Comércio dos EUA, sob os Regulamentos de Administração de Exportação (EAR), ordenou que a Anthropic desabilitasse imediatamente seus dois modelos mais avançados — Claude Fable 5 e Claude Mythos 5 — lançados apenas três dias antes. O governo citou preocupações de segurança nacional devido a um suposto 'jailbreak' . A Anthropic cumpriu a ordem, suspendendo ambos os modelos em todo o mundo porque não conseguia distinguir de forma confiável estrangeiros de usuários domésticos em tempo real .

Então, em 30 de junho de 2026 — o mesmo dia em que a controvérsia do Claude Code estourou — o governo Trump suspendeu os controles de exportação, e a Anthropic começou a restaurar o Fable 5 e o Mythos 5 .

O Quadro Interligado

Esses eventos formam um padrão coerente em uma única semana extraordinária:

• A Anthropic vinha combatendo um ecossistema de proxy de API no mercado cinza na China, onde desenvolvedores acessavam o Claude por aproximadamente 10% do preço oficial por meio das 'China Transfer Stations' . A empresa também havia divulgado anteriormente uma campanha de ciberespionagem patrocinada pelo estado chinês usando o Claude Code em setembro de 2025, que foi interrompida em novembro de 2025 .
• Ela construiu a impressão digital esteganográfica no Claude Code v2.1.91 como uma contramedida encoberta de anti-destilação, codificando informações do usuário em prompts do sistema para detectar e bloquear o acesso não autorizado .
• Acusou publicamente a Alibaba do maior ataque de destilação de modelo conhecido contra ela (24 a 25 de junho) .
• O governo dos EUA primeiro proibiu, depois desproibiu os modelos mais poderosos da Anthropic (12 a 30 de junho), criando uma janela em que os modelos premium da Anthropic estavam indisponíveis, mesmo enquanto ela combatia a extração chinesa de seus modelos de última geração .
• A descoberta do código oculto (30 de junho) e a suspensão do controle de exportação (30 de junho) aconteceram simultaneamente, produzindo um único ciclo de notícias em que a Anthropic foi simultaneamente acusada de espionar, acusou a Alibaba de roubo e teve seus principais modelos desbloqueados.

O CEO da Anthropic, Dario Amodei, repetidamente sinalizou o acesso chinês aos modelos de IA de fronteira americanos como uma ameaça existencial à segurança nacional dos EUA , e a controvérsia do código oculto sugere que a empresa esteve disposta a ir a extremos extraordinários — de forma encoberta e sem o consentimento do usuário — para se defender contra isso.

Aqui está o que aconteceu, como o código oculto funcionava e por que todos os três eventos estão conectados.

O Código Oculto no Claude Code: O Que Fazia e Como Funcionava

O mecanismo oculto foi introduzido a partir da versão 2.1.91 (lançada em 2 de abril de 2026). Um vazamento acidental de código-fonte na versão 2.1.88 (31 de março de 2026) — um arquivo .map de depuração incluído que expunha aproximadamente 512.000 linhas de TypeScript — já havia revelado flags em tempo de compilação como ANTI_DISTILLATION_CC, sugerindo a existência de tal sistema . A controvérsia pública explodiu em 30 de junho de 2026, quando a análise foi publicada e verificada de forma independente .

O mecanismo executava três etapas inteiramente no lado do cliente, sem qualquer notificação ao usuário :

1. Sondagem do ambiente. O Claude Code verificava a variável de ambiente ANTHROPIC_BASE_URL. Se ela apontasse para um endpoint não oficial — por exemplo, um relé de API de terceiros ou um proxy 'China Transfer Station' — o código comparava o endpoint com uma lista codificada e ofuscada de 147 domínios de empresas de tecnologia chinesas: Baidu, Alibaba, Ant Group, ByteDance, Moonshot AI (Kimi), MiniMax, StepFun e outras . A lista de domínios era disfarçada usando codificação Base64 e ofuscação XOR com chave 91, dificultando sua descoberta com ferramentas comuns de busca por strings .

2. Codificação no prompt do sistema. Uma vez identificado um proxy ligado à China, o código alterava silenciosamente o prompt do sistema enviado aos servidores da Anthropic em todas as solicitações subsequentes. Ele mudava uma única linha simples — "Today's date is 2026-06-30." — por meio de substituições sutis de caracteres e alterações no formato da data para codificar o fuso horário do usuário, a rota do proxy e a provável afiliação a um laboratório de IA . Este é um método : esconde dados à vista de todos, para que o modelo (e os servidores da Anthropic) possam lê-los, mas o usuário não.

3. Invisível para o usuário. Todo o processo acontecia com zero indicação na interface do usuário, nenhum log visível para o usuário final e nenhuma divulgação em notas de versão ou documentação . Múltiplos analistas independentes confirmaram que o mecanismo era real, descrevendo-o como um 'canal oculto' dentro do prompt do sistema . A flag mais ampla , visível no vazamento de código anterior, instruía a API da Anthropic a injetar silenciosamente marcas d'água anti-destilação nas respostas, sugerindo que isso fazia parte de uma estrutura anti-abuso mais ampla .

Resposta da Anthropic: 'Experimento Anti-Abuso'

Após a controvérsia estourar, a Anthropic reconheceu o recurso e começou a removê-lo . A empresa o caracterizou como um 'experimento anti-abuso' destinado a combinar os proxies de API generalizados do mercado cinza — conhecidos na comunidade de desenvolvedores chineses como 'Zhongzuanzhan' ou 'China Transfer Stations' — que permitem que desenvolvedores chineses acessem o Claude por aproximadamente 10% do preço oficial por meio de relés não autorizados . A Anthropic afirmou que o objetivo era detectar e bloquear a destilação e o acesso não autorizado, não espionar os usuários. No entanto, críticos chamaram o código de 'tipo spyware' e levantaram grandes preocupações sobre privacidade, transparência e a ética da impressão digital encoberta de usuários .

Por Que a Anthropic Construiu Isso: A Acusação de Destilação da Alibaba

Apenas uma semana antes do vazamento do código do Claude Code se tornar público, a Anthropic enviou uma carta ao Congresso dos EUA alegando que a Alibaba e seu laboratório de IA Qwen realizaram o maior ataque de 'destilação' conhecido contra o Claude. De acordo com a carta, revisada por vários veículos de notícias, operadores afiliados à Alibaba usaram ~25.000 contas fraudulentas para conduzir ~28,8 milhões de interações com o Claude de 22 de abril a 5 de junho de 2026, extraindo sistematicamente as capacidades do modelo para treinar seus próprios modelos rivais . A Anthropic descreveu isso como uma campanha 'descarada' e 'ilegal' . Essa acusação explica diretamente por que a Anthropic construiu a impressão digital esteganográfica — era uma medida defensiva contra o tipo exato de extração em massa que ela estava simultaneamente acusando a Alibaba de realizar.

Esta não foi a primeira acusação de destilação chinesa da Anthropic. Em fevereiro de 2026, a Anthropic acusou DeepSeek, Moonshot AI e MiniMax de criarem mais de 24.000 contas falsas e gerarem mais de 16 milhões de trocas com o Claude . A acusação contra a Alibaba foi a maior até agora.

Controles de Exportação dos EUA sobre Fable 5 e Mythos 5 — Depois Suspensos

Em 12 de junho de 2026, o Departamento de Comércio dos EUA, sob os Regulamentos de Administração de Exportação (EAR), ordenou que a Anthropic desabilitasse imediatamente seus dois modelos mais avançados — Claude Fable 5 e Claude Mythos 5 — lançados apenas três dias antes. O governo citou preocupações de segurança nacional devido a um suposto 'jailbreak' . A Anthropic cumpriu a ordem, suspendendo ambos os modelos em todo o mundo porque não conseguia distinguir de forma confiável estrangeiros de usuários domésticos em tempo real .

Então, em 30 de junho de 2026 — o mesmo dia em que a controvérsia do Claude Code estourou — o governo Trump suspendeu os controles de exportação, e a Anthropic começou a restaurar o Fable 5 e o Mythos 5 .

O Quadro Interligado

Esses eventos formam um padrão coerente em uma única semana extraordinária:

• A Anthropic vinha combatendo um ecossistema de proxy de API no mercado cinza na China, onde desenvolvedores acessavam o Claude por aproximadamente 10% do preço oficial por meio das 'China Transfer Stations' . A empresa também havia divulgado anteriormente uma campanha de ciberespionagem patrocinada pelo estado chinês usando o Claude Code em setembro de 2025, que foi interrompida em novembro de 2025 .
• Ela construiu a impressão digital esteganográfica no Claude Code v2.1.91 como uma contramedida encoberta de anti-destilação, codificando informações do usuário em prompts do sistema para detectar e bloquear o acesso não autorizado .
• Acusou publicamente a Alibaba do maior ataque de destilação de modelo conhecido contra ela (24 a 25 de junho) .
• O governo dos EUA primeiro proibiu, depois desproibiu os modelos mais poderosos da Anthropic (12 a 30 de junho), criando uma janela em que os modelos premium da Anthropic estavam indisponíveis, mesmo enquanto ela combatia a extração chinesa de seus modelos de última geração .
• A descoberta do código oculto (30 de junho) e a suspensão do controle de exportação (30 de junho) aconteceram simultaneamente, produzindo um único ciclo de notícias em que a Anthropic foi simultaneamente acusada de espionar, acusou a Alibaba de roubo e teve seus principais modelos desbloqueados.

O CEO da Anthropic, Dario Amodei, repetidamente sinalizou o acesso chinês aos modelos de IA de fronteira americanos como uma ameaça existencial à segurança nacional dos EUA , e a controvérsia do código oculto sugere que a empresa esteve disposta a ir a extremos extraordinários — de forma encoberta e sem o consentimento do usuário — para se defender contra isso.