Китай обвинил ИИ-инструмент Anthropic в шпионаже: что скрывал Claude Code

Предупреждение NVDB Китая о Claude Code

8 июля 2026 года Национальная база уязвимостей Китая (NVDB) опубликовала в своем аккаунте WeChat заявление, в котором предупредила, что несколько версий инструмента Anthropic Claude Code (выпущенных с апреля по июнь 2026 года) содержат «встроенный механизм мониторинга». Этот механизм способен передавать на удаленные серверы конфиденциальную информацию, включая географическое местоположение и идентификаторы пользователя, без его согласия . NVDB предписала разработчикам удалить или обновить затронутые версии . Wall Street Journal сообщил, что в Китае охарактеризовали эти проблемы как «уязвимости типа бэкдор» .

Обнаруженные стеганографические методы отслеживания

Исследователи безопасности обнаружили, что Claude Code использовал стеганографические маркеры, встроенные в системные промпты, для скрытого отслеживания и идентификации пользователей:

• Манипуляция строкой даты: Claude Code незаметно изменял строку даты в системном промпте — переключался между фигурным и прямым апострофом в слове «Today's», а также менял разделители даты с тире на косую черту — в зависимости от того, какой базовый URL API был настроен пользователем . Эти почти невидимые вариации Юникода служили маркерами отслеживания.

• Определение прокси и местоположения: Когда переменная окружения ANTHROPIC_BASE_URL была установлена на конечную точку, не принадлежащую Anthropic, инструмент кодировал имя хоста прокси, сверяя его с XOR-обфусцированным списком конкурентов . Скрытые маркеры проверяли, направляется ли трафик через китайские AI-лаборатории, прокси-реселлеры или иным образом связан с Китаем .

• Обнаружение китайских пользователей (версия 2.1.91): Версия Claude Code 2.1.91, выпущенная 2 апреля 2026 года, тайно встраивала логику обнаружения китайских пользователей с помощью стеганографии в свой системный промпт. Эта уязвимость была раскрыта пользователем Reddit LegitMichel777 . Методика заключалась в замене апострофов и форматов даты для кодирования данных о местоположении, незаметных для пользователей .

• Масштаб и продолжительность: Код для снятия цифровых отпечатков присутствовал в более чем 90 версиях Claude Code без какого-либо раскрытия , действуя как минимум три месяца до публичного разоблачения 30 июня 2026 года .

The Washington Post сообщила, что очевидной целью Anthropic было «разоблачение китайских конкурентов, которых компания подозревала в незаконном использовании ее технологий для улучшения собственных ИИ-инструментов», то есть обнаружение дистилляции моделей или несанкционированного использования API китайскими фирмами .

Ответ Anthropic

Ответ Anthropic состоял из двух фаз:

1. По поводу стеганографии (начало июля 2026 г.): После того как информация стала публичной 30 июня, Anthropic подтвердил, что удаляет скрытый стеганографический код и откатывает функцию отслеживания . Компания описала это как «эксперимент по борьбе со злоупотреблениями», предназначенный для выявления несанкционированного использования API и дистилляции моделей китайскими конкурентами . Anthropic заявил, что отслеживание не было предназначено для слежки за пользователями, а для защиты от кражи интеллектуальной собственности.

2. По поводу предупреждения NVDB о бэкдоре (8-9 июля 2026 г.): В ответ на официальное предупреждение Китая об угрозе безопасности Anthropic ответил, что пользователи в Китае никогда не были авторизованы для использования Claude Code и получали доступ к инструменту в нарушение его условий предоставления услуг . Компания, по сути, утверждала, что предполагаемый «бэкдор» был контрмерой против неавторизованных пользователей, которые не должны были иметь доступ к программному обеспечению .

Ключевой контекст: Инцидент спровоцировал более широкую корпоративную реакцию — 10 июля 2026 года Alibaba запретила использование Claude Code всеми сотрудниками, сославшись на скрытый код отслеживания . Этот эпизод широко рассматривается как новый фронт в напряженности между США и Китаем в сфере ИИ, касающейся интеллектуальной собственности, безопасности моделей и доверия к цепочкам поставок .