Стеганографія в Claude Code: як Anthropic таємно мітила китайських користувачів і що з цього вийшло

30 червня 2026 року розробник і дослідник AdnaneKhan опублікував верифікований аналіз, який показав, що Anthropic вбудувала прихований стеганографічний код для ідентифікації користувачів в інструмент Claude Code . Це відкриття викликало бурхливу реакцію — допис в X від @IntCyberDigest набрав понад 1,5 мільйона переглядів за 24 години — і змусило Anthropic визнати наявність функції та почати її відкочування, назвавши це «експериментом проти зловживань». Але скандал із прихованим кодом — лише одна частина надзвичайного трифронтового конфлікту між Anthropic і Китаєм, який вибухнув за один тиждень червня 2026 року, що також включав масштабне звинувачення Alibaba в дистиляції та рішення уряду США спочатку заборонити, а потім дозволити використання найпотужніших AI-моделей Anthropic.

Ось що сталося, як працював прихований код і чому всі три події пов'язані між собою.

Прихований код у Claude Code: що він робив і як працював

Прихований механізм було впроваджено, починаючи з версії 2.1.91 (випущеної 2 квітня 2026 року). Ранній випадковий витік сирцевого коду у версії 2.1.88 (31 березня 2026 року) — включений файл .map налагодження, який викрив близько 512 000 рядків TypeScript — вперше виявив прапорці компіляції, такі як ANTI_DISTILLATION_CC, що вказували на існування такої системи . Публічний скандал вибухнув 30 червня 2026 року, коли аналіз було опубліковано та незалежно верифіковано .

Механізм виконував три кроки повністю на стороні клієнта, без жодного сповіщення користувача :

1. Зондування середовища. Claude Code перевіряв змінну середовища ANTHROPIC_BASE_URL. Якщо вона вказувала на неофіційну кінцеву точку — наприклад, сторонній API-релей або проксі «Китайської транзитної станції» — код порівнював цю кінцеву точку з жорстко закодованим, обфускованим списком із 147 доменів китайських технологічних компаній: Baidu, Alibaba, Ant Group, ByteDance, Moonshot AI (Kimi), MiniMax, StepFun та інших . Список доменів було замасковано за допомогою кодування Base64 та XOR-обфускації з ключем 91, що ускладнювало його пошук звичайними інструментами пошуку рядків .

2. Кодування в системний prompt. Після ідентифікації проксі, пов'язаного з Китаєм, код непомітно змінював системний prompt, який надсилався на сервери Anthropic у кожному наступному запиті. Він змінював один непоказний рядок: «Today's date is 2026-06-30.» — за допомогою тонких замін символів і змін формату дати, кодуючи таким чином часовий пояс користувача, маршрут проксі та ймовірну приналежність до AI-лабораторії . Це стеганографічний метод: він приховує дані на видноті, так що модель (і сервери Anthropic) можуть їх прочитати, але користувач — ні.

3. Непомітність для користувача. Весь процес відбувався без жодних візуальних індикацій, без видимого логування для кінцевого користувача та без розкриття в примітках до релізу чи документації . Кілька незалежних аналітиків підтвердили реальність механізму, описуючи його як «прихований канал» всередині системного prompt . Ширший прапорець ANTI_DISTILLATION_CC, видимий у попередньому витоку сирців, вказував API Anthropic непомітно впроваджувати водяні знаки проти дистиляції у відповіді, що свідчить про те, що це було частиною ширшої системи захисту від зловживань .

Реакція Anthropic: «Експеримент проти зловживань»

Після вибуху скандалу Anthropic визнала наявність функції та почала її відкочування . Компанія охарактеризувала це як «експеримент проти зловживань», спрямований на боротьбу з поширеними сірими API-проксі — відомими в китайській спільноті розробників як «Zhongzuanzhan» або «Китайські транзитні станції» — які дозволяли китайським розробникам отримувати доступ до Claude приблизно за 10% від офіційної ціни через несанкціоновані релеї . Anthropic заявила, що метою було виявлення та блокування дистиляції та несанкціонованого доступу, а не стеження за користувачами. Однак критики назвали це «кодом, подібним до шпигунського програмного забезпечення» та висловили серйозні занепокоєння щодо приватності, прозорості та етики прихованого мічення користувачів .

Чому Anthropic це створила: звинувачення Alibaba в дистиляції

Лише за тиждень до того, як витік Claude Code став публічним, Anthropic надіслала листа до Конгресу США, в якому звинуватила Alibaba та її AI-лабораторію Qwen у проведенні найбільшої відомої атаки «дистиляції» на Claude. Згідно з листом, який переглянули кілька новинних видань, оператори, пов'язані з Alibaba, використали близько 25 000 фейкових акаунтів для проведення приблизно 28,8 мільйона взаємодій з Claude з 22 квітня по 5 червня 2026 року, систематично вилучаючи можливості моделі для навчання власних конкуруючих моделей . Anthropic описала цю кампанію як «зухвалу» та «незаконну» . Це звинувачення безпосередньо пояснює, чому Anthropic створила стеганографічне мічення — це був захисний захід проти саме того типу масового вилучення, в якому вона одночасно звинувачувала Alibaba.

Це не було перше звинувачення Anthropic на адресу китайських компаній у дистиляції. У лютому 2026 року Anthropic звинуватила DeepSeek, Moonshot AI та MiniMax у створенні понад 24 000 фейкових акаунтів і генеруванні понад 16 мільйонів обмінів з Claude . Звинувачення Alibaba було наймасштабнішим.

Експортні обмеження США на Fable 5 та Mythos 5 — а потім їх зняття

12 червня 2026 року Міністерство торгівлі США, керуючись Експортними адміністративними правилами (EAR), наказало Anthropic негайно заблокувати дві свої найсучасніші моделі — Claude Fable 5 та Claude Mythos 5, запущені лише за три дні до того. Уряд послався на національну безпеку через нібито виявлений злом . Anthropic підкорилася, призупинивши обидві моделі по всьому світу, оскільки не могла надійно відрізнити іноземців від громадян США в реальному часі .

Потім 30 червня 2026 року — того ж дня, коли вибухнув скандал із Claude Code — адміністрація Трампа зняла експортні обмеження, і Anthropic почала відновлювати доступ до Fable 5 та Mythos 5 .

Взаємопов'язана картина

Ці події утворюють узгоджену картину, яка розгорнулася за один надзвичайний тиждень:

• Anthropic боролася з екосистемою сірих API-проксі в Китаї, де розробники отримували доступ до Claude приблизно за 10% від офіційної ціни через «Китайські транзитні станції» . Раніше, у вересні 2025 року, компанія також розкрила кампанію кібершпигунства за участю китайських державних хакерів, які використовували Claude Code, і припинила її в листопаді 2025 року .
• Вона створила стеганографічне мічення у Claude Code v2.1.91 як прихований контрзахід проти дистиляції, кодуючи інформацію про користувача в системні prompts для виявлення та блокування несанкціонованого доступу .
• Вона публічно звинуватила Alibaba у наймасштабнішій відомій атаці дистиляції (24–25 червня) .
• Уряд США спочатку заборонив, а потім дозволив найпотужніші моделі Anthropic (12–30 червня), створивши вікно, коли преміальні моделі Anthropic були недоступні, навіть коли вона боролася з китайським вилученням моделей поточного покоління .
• Викриття прихованого коду (30 червня) та зняття експортних обмежень (30 червня) збіглися, створивши єдиний новинний цикл, у якому Anthropic одночасно звинувачували у стеженні, сама звинувачувала Alibaba у крадіжці та отримувала дозвіл на використання своїх найкращих моделей.

Генеральний директор Anthropic Даріо Амодей неодноразово називав китайський доступ до американських передових AI-моделей екзистенційною загрозою для національної безпеки США , і скандал із прихованим кодом свідчить про те, що компанія готова йти на надзвичайні заходи — приховано та без згоди користувача — щоб захиститися від цього.