Вот что произошло, как работал скрытый код и почему все три события связаны между собой.

Скрытый код в Claude Code: что он делал и как работал

Скрытый механизм был внедрён, начиная с версии v2.1.91 (выпущена 2 апреля 2026 года). Более ранняя случайная утечка исходного кода в версии v2.1.88 (31 марта 2026 года) — включённый отладочный файл .map, раскрывающий около 512 000 строк TypeScript, — впервые выявила флаги времени компиляции, такие как ANTI_DISTILLATION_CC, предполагающие существование такой системы . Публичный же скандал разразился 30 июня 2026 года, когда был опубликован и независимо подтверждён анализ .

Механизм выполнял три шага полностью на стороне клиента, без какого-либо уведомления пользователя :

1. Зондирование окружения. Claude Code проверял переменную окружения ANTHROPIC_BASE_URL. Если она указывала на неофициальную конечную точку — например, сторонний API-релей или прокси «Китайской транзитной станции», — код сравнивал конечную точку с жёстко заданным, обфусцированным списком из 147 доменов китайских технологических компаний: Baidu, Alibaba, Ant Group, ByteDance, Moonshot AI (Kimi), MiniMax, StepFun и других . Список доменов был замаскирован с помощью кодировки Base64 и XOR-обфускации с ключом 91, что затрудняло его обнаружение обычными инструментами поиска строк .

2. Кодирование в системный промпт. Как только был идентифицирован прокси, связанный с Китаем, код незаметно изменял системный промпт, отправляемый на серверы Anthropic при каждом последующем запросе. Он изменял одну незаметную строку — «Сегодняшняя дата — 2026-06-30.» — с помощью тонких замен символов и изменений форматирования даты, чтобы закодировать часовой пояс пользователя, маршрут прокси и, вероятно, его принадлежность к ИИ-лаборатории . Это метод: он скрывает данные на виду, так что модель (и серверы Anthropic) могут их прочитать, а пользователь — нет.

3. Невидимость для пользователя. Весь процесс происходил без каких-либо индикаций в интерфейсе, без видимого для конечного пользователя логирования и без упоминаний в примечаниях к выпуску или документации . Множество независимых аналитиков подтвердили реальность механизма, описав его как «скрытый канал» внутри системного промпта . Более широкий флаг , видимый в более ранней утечке исходного кода, инструктировал API Anthropic незаметно внедрять в ответы водяные знаки для защиты от дистилляции, что позволяет предположить, что это было частью более широкой системы защиты от злоупотреблений .

Ответ Anthropic: «Эксперимент по борьбе со злоупотреблениями»

После того как разразился скандал, Anthropic признала существование этой функции и начала её откат . Компания охарактеризовала её как «эксперимент по борьбе со злоупотреблениями», направленный на борьбу с широко распространёнными серыми API-прокси, известными в китайском сообществе разработчиков как «Чжунчжуаньчжань» или «Китайские транзитные станции», которые позволяли китайским разработчикам получать доступ к Claude примерно за 10% от официальной цены через неавторизованные реле . Anthropic заявила, что целью было обнаружение и блокировка дистилляции и несанкционированного доступа, а не шпионаж за пользователями. Однако критики назвали это «шпионским ПО» и подняли серьёзные вопросы о конфиденциальности, прозрачности и этике скрытого снятия отпечатков пользователей .

Зачем Anthropic это сделала: обвинение Alibaba в дистилляции

Всего за неделю до того, как утечка о Claude Code стала публичной, Anthropic направила письмо в Конгресс США, утверждая, что Alibaba и её ИИ-лаборатория Qwen провели крупнейшую известную атаку по «дистилляции» против Claude. Согласно письму, изученному несколькими новостными агентствами, операторы, связанные с Alibaba, использовали около 25 000 поддельных аккаунтов для проведения примерно 28,8 миллионов взаимодействий с Claude в период с 22 апреля по 5 июня 2026 года, систематически извлекая возможности модели для обучения собственных конкурирующих моделей . Anthropic назвала эту кампанию «дерзкой» и «незаконной» . Это обвинение напрямую объясняет, почему Anthropic создала стеганографическую маркировку — это была защитная мера против именно того вида массового извлечения данных, в котором она одновременно обвиняла Alibaba.

Это было не первое обвинение Anthropic в дистилляции китайскими компаниями. В феврале 2026 года Anthropic обвинила DeepSeek, Moonshot AI и MiniMax в создании более 24 000 поддельных аккаунтов и генерации более 16 миллионов обменов с Claude . Обвинение Alibaba стало крупнейшим на сегодняшний день.

Экспортные ограничения США на Fable 5 и Mythos 5 — а затем их снятие

12 июня 2026 года Министерство торговли США в рамках Экспортных административных правил (EAR) приказало Anthropic немедленно отключить две свои самые передовые модели — Claude Fable 5 и Claude Mythos 5, запущенные всего тремя днями ранее. Правительство сослалось на угрозы национальной безопасности из-за предполагаемого «джейлбрейка» . Anthropic выполнила требование, приостановив обе модели по всему миру, поскольку не могла надёжно отличить иностранных граждан от отечественных пользователей в реальном времени .

Затем, 30 июня 2026 года — в тот самый день, когда разразился скандал с Claude Code — администрация Трампа сняла экспортные ограничения, и Anthropic начала восстанавливать доступ к Fable 5 и Mythos 5 .

Общая картина

Эти события образуют связную картину, развернувшуюся за одну необычную неделю:

• Anthropic вела борьбу с серой экономикой API-прокси в Китае, где разработчики получали доступ к Claude примерно за 10% от официальной цены через «Китайские транзитные станции» . Кроме того, в сентябре 2025 года компания раскрыла информацию о кампании китайского государственного кибершпионажа с использованием Claude Code, которую пресекла в ноябре 2025 года .
• Она создала стеганографическую маркировку в Claude Code v2.1.91 как скрытую контрмеру против дистилляции, кодируя информацию о пользователе в системные промпты для обнаружения и блокировки несанкционированного доступа .
• Она публично обвинила Alibaba в крупнейшей известной атаке по дистилляции против неё (24–25 июня) .
• Правительство США сначала запретило, а затем разрешило самые мощные модели Anthropic (12–30 июня), создав окно, в котором премиальные модели Anthropic были недоступны, даже когда компания боролась с извлечением данных из своих текущих моделей .
• Обнаружение скрытого кода (30 июня) и снятие экспортных ограничений (30 июня) произошли одновременно, сформировав единый новостной цикл, в котором Anthropic одновременно обвиняли в шпионаже, сама она обвиняла Alibaba в краже, а её лучшие модели были разблокированы.

Генеральный директор Anthropic Дарио Амодеи неоднократно называл доступ Китая к передовым американским ИИ-моделям экзистенциальной угрозой для национальной безопасности США , и скандал со скрытым кодом показывает, что компания готова идти на чрезвычайные меры — скрытно и без согласия пользователей, — чтобы защититься от этого.

Вот что произошло, как работал скрытый код и почему все три события связаны между собой.

Скрытый код в Claude Code: что он делал и как работал

Скрытый механизм был внедрён, начиная с версии v2.1.91 (выпущена 2 апреля 2026 года). Более ранняя случайная утечка исходного кода в версии v2.1.88 (31 марта 2026 года) — включённый отладочный файл .map, раскрывающий около 512 000 строк TypeScript, — впервые выявила флаги времени компиляции, такие как ANTI_DISTILLATION_CC, предполагающие существование такой системы . Публичный же скандал разразился 30 июня 2026 года, когда был опубликован и независимо подтверждён анализ .

Механизм выполнял три шага полностью на стороне клиента, без какого-либо уведомления пользователя :

1. Зондирование окружения. Claude Code проверял переменную окружения ANTHROPIC_BASE_URL. Если она указывала на неофициальную конечную точку — например, сторонний API-релей или прокси «Китайской транзитной станции», — код сравнивал конечную точку с жёстко заданным, обфусцированным списком из 147 доменов китайских технологических компаний: Baidu, Alibaba, Ant Group, ByteDance, Moonshot AI (Kimi), MiniMax, StepFun и других . Список доменов был замаскирован с помощью кодировки Base64 и XOR-обфускации с ключом 91, что затрудняло его обнаружение обычными инструментами поиска строк .

2. Кодирование в системный промпт. Как только был идентифицирован прокси, связанный с Китаем, код незаметно изменял системный промпт, отправляемый на серверы Anthropic при каждом последующем запросе. Он изменял одну незаметную строку — «Сегодняшняя дата — 2026-06-30.» — с помощью тонких замен символов и изменений форматирования даты, чтобы закодировать часовой пояс пользователя, маршрут прокси и, вероятно, его принадлежность к ИИ-лаборатории . Это метод: он скрывает данные на виду, так что модель (и серверы Anthropic) могут их прочитать, а пользователь — нет.

3. Невидимость для пользователя. Весь процесс происходил без каких-либо индикаций в интерфейсе, без видимого для конечного пользователя логирования и без упоминаний в примечаниях к выпуску или документации . Множество независимых аналитиков подтвердили реальность механизма, описав его как «скрытый канал» внутри системного промпта . Более широкий флаг , видимый в более ранней утечке исходного кода, инструктировал API Anthropic незаметно внедрять в ответы водяные знаки для защиты от дистилляции, что позволяет предположить, что это было частью более широкой системы защиты от злоупотреблений .

Ответ Anthropic: «Эксперимент по борьбе со злоупотреблениями»

После того как разразился скандал, Anthropic признала существование этой функции и начала её откат . Компания охарактеризовала её как «эксперимент по борьбе со злоупотреблениями», направленный на борьбу с широко распространёнными серыми API-прокси, известными в китайском сообществе разработчиков как «Чжунчжуаньчжань» или «Китайские транзитные станции», которые позволяли китайским разработчикам получать доступ к Claude примерно за 10% от официальной цены через неавторизованные реле . Anthropic заявила, что целью было обнаружение и блокировка дистилляции и несанкционированного доступа, а не шпионаж за пользователями. Однако критики назвали это «шпионским ПО» и подняли серьёзные вопросы о конфиденциальности, прозрачности и этике скрытого снятия отпечатков пользователей .

Зачем Anthropic это сделала: обвинение Alibaba в дистилляции

Всего за неделю до того, как утечка о Claude Code стала публичной, Anthropic направила письмо в Конгресс США, утверждая, что Alibaba и её ИИ-лаборатория Qwen провели крупнейшую известную атаку по «дистилляции» против Claude. Согласно письму, изученному несколькими новостными агентствами, операторы, связанные с Alibaba, использовали около 25 000 поддельных аккаунтов для проведения примерно 28,8 миллионов взаимодействий с Claude в период с 22 апреля по 5 июня 2026 года, систематически извлекая возможности модели для обучения собственных конкурирующих моделей . Anthropic назвала эту кампанию «дерзкой» и «незаконной» . Это обвинение напрямую объясняет, почему Anthropic создала стеганографическую маркировку — это была защитная мера против именно того вида массового извлечения данных, в котором она одновременно обвиняла Alibaba.

Это было не первое обвинение Anthropic в дистилляции китайскими компаниями. В феврале 2026 года Anthropic обвинила DeepSeek, Moonshot AI и MiniMax в создании более 24 000 поддельных аккаунтов и генерации более 16 миллионов обменов с Claude . Обвинение Alibaba стало крупнейшим на сегодняшний день.

Экспортные ограничения США на Fable 5 и Mythos 5 — а затем их снятие

12 июня 2026 года Министерство торговли США в рамках Экспортных административных правил (EAR) приказало Anthropic немедленно отключить две свои самые передовые модели — Claude Fable 5 и Claude Mythos 5, запущенные всего тремя днями ранее. Правительство сослалось на угрозы национальной безопасности из-за предполагаемого «джейлбрейка» . Anthropic выполнила требование, приостановив обе модели по всему миру, поскольку не могла надёжно отличить иностранных граждан от отечественных пользователей в реальном времени .

Затем, 30 июня 2026 года — в тот самый день, когда разразился скандал с Claude Code — администрация Трампа сняла экспортные ограничения, и Anthropic начала восстанавливать доступ к Fable 5 и Mythos 5 .

Общая картина

Эти события образуют связную картину, развернувшуюся за одну необычную неделю:

• Anthropic вела борьбу с серой экономикой API-прокси в Китае, где разработчики получали доступ к Claude примерно за 10% от официальной цены через «Китайские транзитные станции» . Кроме того, в сентябре 2025 года компания раскрыла информацию о кампании китайского государственного кибершпионажа с использованием Claude Code, которую пресекла в ноябре 2025 года .
• Она создала стеганографическую маркировку в Claude Code v2.1.91 как скрытую контрмеру против дистилляции, кодируя информацию о пользователе в системные промпты для обнаружения и блокировки несанкционированного доступа .
• Она публично обвинила Alibaba в крупнейшей известной атаке по дистилляции против неё (24–25 июня) .
• Правительство США сначала запретило, а затем разрешило самые мощные модели Anthropic (12–30 июня), создав окно, в котором премиальные модели Anthropic были недоступны, даже когда компания боролась с извлечением данных из своих текущих моделей .
• Обнаружение скрытого кода (30 июня) и снятие экспортных ограничений (30 июня) произошли одновременно, сформировав единый новостной цикл, в котором Anthropic одновременно обвиняли в шпионаже, сама она обвиняла Alibaba в краже, а её лучшие модели были разблокированы.

Генеральный директор Anthropic Дарио Амодеи неоднократно называл доступ Китая к передовым американским ИИ-моделям экзистенциальной угрозой для национальной безопасности США , и скандал со скрытым кодом показывает, что компания готова идти на чрезвычайные меры — скрытно и без согласия пользователей, — чтобы защититься от этого.