Anthropics hemliga fingeravtryck i Claude Code – så kartlade de kinesiska användare

Mekanismen utförde tre steg helt på klientsidan, utan någon notifiering till användaren :

1. Miljöavsökning. Claude Code kontrollerade miljövariabeln ANTHROPIC_BASE_URL. Om den pekade på en icke-officiell slutpunkt – till exempel en tredjeparts API-relä eller en "Kina-transferstation"-proxy – jämförde koden slutpunkten mot en hårdkodad, obfuskerad lista med 147 kinesiska teknikföretagsdomäner: Baidu, Alibaba, Ant Group, ByteDance, Moonshot AI (Kimi), MiniMax, StepFun och andra . Domänlistan var maskerad med Base64-kodning och XOR-obfuskering med nyckel 91, vilket gjorde den svår att hitta med vanliga sökverktyg .

2. Kodning i systemprompten. När en Kina-kopplad proxy väl identifierats ändrade koden tyst systemprompten som skickades till Anthropics servrar på varje efterföljande begäran. Den ändrade en enda, trivial rad – "Today's date is 2026-06-30." – genom subtila teckenbyten och datumformateringsändringar för att koda in användarens tidszon, proxyväg och troliga AI-laboratorietillhörighet . Detta är en steganografisk metod: den gömmer data i det som ser oskyldigt ut, så att modellen (och Anthropics servrar) kan läsa den, men användaren inte kan.

3. Osynlig för användaren. Hela processen skedde utan någon som helst UI-indikation, ingen loggning synlig för slutanvändaren och ingen information i release notes eller dokumentation . Flera oberoende analytiker bekräftade att mekanismen var verklig och beskrev den som en "dold kanal" inuti systemprompten . Den bredare flaggan ANTI_DISTILLATION_CC som var synlig i den tidigare källkodslekan instruerade Anthropics API att tyst injicera anti-destillations-vattenmärken i svar, vilket antydde att detta var en del av ett bredare anti-missbruksramverk .

Anthropics svar: "Anti-missbruk experiment"

Efter att kontroversen briserade erkände Anthropic funktionen och började rulla tillbaka den . Företaget karakteriserade den som ett "anti-missbruk experiment" avsett att bekämpa de utbredda gråmarknads-API-proxies – kända i den kinesiska utvecklargemenskapen som "Zhongzuanzhan" eller "Kina-transferstationer" – som låter kinesiska utvecklare få tillgång till Claude för ungefär 10% av det officiella priset via obehöriga reläer . Anthropic uppgav att målet var att upptäcka och blockera destillation och obehörig åtkomst, inte att spionera på användare. Kritiker kallade det dock för "spionprogramsliknande kod" och väckte allvarliga frågor om integritet, transparens och etiken i hemlig fingeravtrycksavläsning av användare .

Varför Anthropic byggde det: Alibaba-destillationsanklagelsen

Bara en vecka innan Claude Code-läckan blev offentlig skickade Anthropic ett brev till USA:s kongress där man påstod att Alibaba och dess Qwen AI-labb genomförde den största kända "destillationsattacken" mot Claude. Enligt brevet, som granskades av flera nyhetsmedier, använde operatörer kopplade till Alibaba cirka 25 000 bedrägliga konton för att genomföra cirka 28,8 miljoner interaktioner med Claude från 22 april till 5 juni 2026, och systematiskt extraherade modellens kapacitet för att träna upp sina egna rivaliserande modeller . Anthropic beskrev detta som en "fräck" och "olaglig" kampanj . Denna anklagelse förklarar direkt varför Anthropic byggde den steganografiska fingeravtrycksavläsningen – det var en defensiv åtgärd mot exakt den typ av massekstraktion som man samtidigt anklagade Alibaba för att driva.

Detta var inte Anthropics första anklagelse om kinesisk destillation. I februari 2026 anklagade Anthropic DeepSeek, Moonshot AI och MiniMax för att ha satt upp fler än 24 000 falska konton och genererat fler än 16 miljoner utbyten med Claude . Alibaba-anklagelsen var den största hittills.

USA:s exportkontroll av Fable 5 och Mythos 5 – sedan hävd

Den 12 juni 2026 beordrade USA:s handelsdepartement, enligt Export Administration Regulations (EAR), Anthropic att omedelbart inaktivera sina två mest avancerade modeller – Claude Fable 5 och Claude Mythos 5 – som lanserats bara tre dagar tidigare. Regeringen hänvisade till nationella säkerhetsproblem kring en påstådd "jailbreak" . Anthropic följde ordern och stängde av båda modellerna över hela världen eftersom man inte tillförlitligt kunde skilja utländska medborgare från inhemska användare i realtid .

Sedan, den 30 juni 2026 – samma dag som Claude Code-kontroversen briserade – hävde Trump-administrationen exportkontrollen, och Anthropic började återställa tillgången till Fable 5 och Mythos 5 .

Den sammanlänkade bilden

Dessa händelser bildar ett sammanhängande mönster under en enda extraordinär vecka:

• Anthropic hade kämpat mot ett gråmarknads-API-proxy-ekosystem i Kina, där utvecklare fick tillgång till Claude för ungefär 10% av det officiella priset genom "Kina-transferstationer" . Företaget hade också tidigare avslöjat en kinesisk statsstödd cyberespionagekampanj som använde Claude Code i september 2025, vilken man störde i november 2025 .
• Man byggde den steganografiska fingeravtrycksavläsningen i Claude Code v2.1.91 som en hemlig anti-destillationsåtgärd, och kodade användarinformation i systemprompter för att upptäcka och blockera obehörig åtkomst .
• Man anklagade offentligt Alibaba för den största kända modell-destillationsattacken mot företaget (24–25 juni) .
• USA:s regering förbjöd först, och tillät sedan, Anthropics mest kraftfulla modeller (12–30 juni), vilket skapade ett fönster där Anthropics premiummodeller var otillgängliga samtidigt som man kämpade mot kinesisk extraktion av sina nuvarande generationers modeller .
• Upptäckten av den dolda koden (30 juni) och hävandet av exportkontrollen (30 juni) slog ner samtidigt, och skapade en enda nyhetscykel där Anthropic samtidigt anklagades för spioneri, anklagade Alibaba för stöld och fick sina toppmodeller godkända igen.

Anthropic CEO Dario Amodei har upprepade gånger flaggat för kinesisk åtkomst till amerikanska frontlinje-AI-modeller som ett existentiellt hot mot USA:s nationella säkerhet , och kontroversen med den dolda koden antyder att företaget har varit villigt att gå till extraordinära längder – i hemlighet och utan användarens samtycke – för att försvara sig mot det.