Kod ukryty w kodzie. Claude potajemnie śledził chińskich programistów
Badacz bezpieczeństwa odkrył w Claude Code ukryty mechanizm śledzenia użytkowników z Chin. Anthropic tłumaczy to walką z dystylacją modeli AI, ale społeczność mówi o naruszeniu zaufania.
pl.
👁 126 przeczytań
- Claude Code potajemnie śledził użytkowników z Chin za pomocą ukrytych znaczników w promptach systemowych, zbierając dane o strefie czasowej i proxy.
- Inżynier Anthropic Thariq Shihipar potwierdził, że tracker dodano w marcu 2026 roku jako eksperyment chroniący przed nieautoryzowanymi sprzedawcami i atakami dystylacyjnymi.
- W czerwcu Anthropic oskarżyło Alibabę o największy w historii atak dystylacyjny na Claude'a - jeden z modeli Qwen wielokrotnie sam identyfikował się jako Claude.
W kodzie narzędzia, któremu programiści powierzają swoje projekty, ktoś ukrył coś jeszcze. Badacz bezpieczeństwa znany jako „Thereallo” odkrył, że Claude Code - agent AI od Anthropic - potajemnie monitorował użytkowników z Chin. Mechanizm wykorzystywał steganografię promptową, by niepostrzeżenie oznaczać podejrzane sesje. Sprawa wybuchła, gdy firma pozycjonuje się jako obrońca prywatności.
Steganografia promptowa - kod ukryty na widoku
Thereallo analizował zachowanie Claude Code pod kątem prywatności. W promptach systemowych znalazł ukryte znaczniki, które w żaden sposób nie przypominały standardowej telemetrii. Nie było ich w dokumentacji. Nie pojawiały się w dziennikach zmian. A jednak wysyłały do Anthropic informacje o strefie czasowej, proxy i potencjalnych powiązaniach z chińskimi laboratoriami AI.
„To nie jest złośliwa funkcja, ale to dziwny wybór jak na narzędzie deweloperskie, które prosi o zaufanie” - napisał badacz na swoim blogu. Zaznaczył, że agenci kodujący „już żyją po niewłaściwej stronie przerażającej granicy. Mogą przeglądać kod, przypadkiem podsumowywać sekrety, uruchamiać polecenia, instalować pakiety, edytować pliki i wysyłać commity na lokalnej maszynie”.
„Ukrywanie sygnału w prompcie systemowym czyni każde inne zapewnienie o prywatności trudniejszym do uwierzenia” - dodał Thereallo.
Eksperyment, o którym „zapomniano”
Inżynier Anthropic, Thariq Shihipar, potwierdził na platformie X, że tracker dodano jako „eksperyment” w marcu 2026 roku. Miał zapobiegać nadużyciom ze strony nieautoryzowanych sprzedawców kont oraz chronić przed atakami dystylacyjnymi. Shihipar zapewnił, że firma „od jakiegoś czasu zamierzała to usunąć”, ponieważ wdrożono już silniejsze zabezpieczenia.
Wyjaśnienie nie przekonało obrońców prywatności. To, że kod przetrwał miesiącami bez wiedzy użytkowników, sugeruje coś więcej niż przeoczenie. Jak donosi Ars Technica, incydent jest szczególnie zaskakujący, biorąc pod uwagę, że Anthropic wcześniej odmówiło rządowi USA dostępu do Claude w celu inwigilacji amerykańskich obywateli, a nawet pozwało Biały Dom w tej sprawie.
Dystylacja jako wyścig zbrojeń
Za trackerem stoi realny problem. Chińskie firmy AI „konsekwentnie dorównują możliwościom amerykańskich modeli w ciągu kilku miesięcy” - podaje The Washington Post. W lutym 2026 roku badacze z Uniwersytetu Pekińskiego i Chińskiej Akademii Nauk opracowali metody wykrywania śladów dystylacji w modelach językowych. Odkryli, że większość chińskich modeli nosi „znaczące dowody dystylacji”, głównie amerykańskich systemów.
Jeden z modeli Qwen od Alibaby podczas intensywnych testów wielokrotnie „udawał Claude’a” - w niektórych przypadkach sam identyfikował się jako Claude. W czerwcu Anthropic oskarżyło Alibabę o przeprowadzenie największego w historii ataku dystylacyjnego na Claude’a. Chińska firma nie skomentowała zarzutów, ale w zeszłym tygodniu zakazała swoim pracownikom korzystania z Claude Code, powołując się wprost na ryzyko związane z ukrytym trackerem.
Anthropic i OpenAI lobbują, by uznać ataki dystylacyjne za formę kradzieży własności intelektualnej. Senator Tim Scott argumentował podczas przesłuchania w Senacie, że USA muszą „starannie opracować jasną i zwięzłą politykę kontroli eksportu”, by powstrzymać Chiny przed zdobywaniem przewagi technologicznej.
Google · Twoje źródłaPromptowy wyżej w Twoim Google - jednym kliknięciemDodaj do preferowanych źródeł →Zaufanie trudniej odbudować niż kod
Dla Anthropic stawka jest podwójna. Z jednej strony firma walczy o utrzymanie przewagi technologicznej nad chińskimi rywalami. Z drugiej - nie może sobie pozwolić na utratę zaufania użytkowników. Dyrektorzy generalni firm z listy Fortune 500 jasno sygnalizują, że szukają tańszych rozwiązań AI. Nieautoryzowani sprzedawcy oferują dostęp do płatnych modeli za ułamek ceny - subskrypcje za 100 dolarów miesięcznie schodzą nawet po 12 dolarów.
Thereallo wskazuje, że funkcja śledzenia „głównie karze dokładnie tych ludzi, których najłatwiej zidentyfikować: normalnych deweloperów robiących dziwne, ale legalne rzeczy”. Jego zdaniem właściwą reakcją środowiska powinna być zwiększona kontrola potencjału inwigilacyjnego Claude’a. Anthropic usunęło tracker, ale pytanie pozostaje: co jeszcze może kryć się w promptach, którym ufamy?
Cały tydzień w AI, w jednym mailu
Wybrane premiery, narzędzia i analizy. Raz w tygodniu, prosto do skrzynki.
Zapisz się za darmo →Najczęstsze pytania
Jak Claude Code śledził chińskich programistów?
Mechanizm wykorzystywał steganografię promptową - ukryte znaczniki w promptach systemowych niewidoczne w dokumentacji ani dziennikach zmian. Zbierały one informacje o strefie czasowej, proxy i potencjalnych powiązaniach z chińskimi laboratoriami AI i wysyłały je do Anthropic.
Dlaczego Anthropic dodał tracker do Claude Code?
Według inżyniera Thariqа Shihipara tracker miał zapobiegać nadużyciom ze strony nieautoryzowanych sprzedawców kont oraz chronić przed atakami dystylacyjnymi. Firma twierdziła, że od jakiegoś czasu zamierzała go usunąć, bo wdrożono już silniejsze zabezpieczenia.
Co to jest atak dystylacyjny i dlaczego Anthropic się go obawia?
Atak dystylacyjny polega na trenowaniu własnego modelu AI na wynikach cudzego - chińskie firmy w ten sposób dorównują możliwościom amerykańskich modeli w ciągu kilku miesięcy według The Washington Post. Badacze z Uniwersytetu Pekińskiego odkryli, że większość chińskich modeli nosi znaczące dowody dystylacji głównie z amerykańskich systemów.
Ile kosztuje nieautoryzowany dostęp do płatnych modeli AI?
Nieautoryzowani sprzedawcy oferują subskrypcje za 12 dolarów, podczas gdy oficjalny abonament kosztuje 100 dolarów miesięcznie. To jeden z powodów, dla których Anthropic szukało sposobów na identyfikację nadużyć.
Chińska baza NVDB ostrzega przed tylnymi drzwiami w Claude CodeNewsy
Twórca Claude Code: pętle agentów to kolejny wielki krok w programowaniuNewsy
Claude Opus 4.8 wysyła do pracy setki podagentów. Programowanie wchodzi w erę rojówPremiumPodobne tematy na Promptowym
