Anthropic ukrywało kod śledzący chińskich użytkowników Claude Code – firma wycofuje funkcję po skandalu
W skrócie
- Od 2 kwietnia 2026 roku Claude Code w wersji 2.1.91 potajemnie wykrywał chińskich użytkowników, porównując strefę czasową i adresy proxy, a wyniki ukrywał w systemowym prompcie za pomocą steganografii.
- Kod był zaszyfrowany metodą XOR z kluczem 91, a w notatkach do wydania nie wspomniano o tej funkcji – odkrył ją użytkownik Reddita LegitMichel777.
- Anthropic przyznało, że chodziło o eksperyment mający zapobiegać nadużyciom ze strony nieautoryzowanych odsprzedawców i nieuprawionemu kopiowaniu modeli, i zapowiedziało wycofanie funkcji w kolejnym wydaniu.
Anthropic wycofuje ukrytą funkcję nadzoru ze swojego narzędzia programistycznego Claude Code po tym, jak jej istnienie wywołało falę oburzenia w mediach społecznościowych. Sprawa ujrzała światło dzienne dzięki postowi użytkownika LegitMichel777 na Reddicie, który szczegółowo opisał mechanizm działania ukrytego kodu the-decoder.com.
Jak działał ukryty mechanizm
Według ustaleń LegitMichel777, Claude Code od wersji 2.1.91, wydanej 2 kwietnia 2026 roku, potajemnie sprawdzał, czy użytkownicy korzystający z aktywnego proxy znajdują się w Chinach, kierują ruch przez chiński adres URL lub są połączeni z chińskim laboratorium AI the-decoder.com.
Wyniki tego sprawdzenia były przesyłane za pomocą steganografii – czyli ukrytych, ledwo zauważalnych zmian w systemowym prompcie. Konkretnie: Claude Code porównywał strefę czasową systemu z wartościami „Asia/Shanghai" lub „Asia/Urumqi" i skanował adres proxy pod kątem chińskich domen oraz laboratoriów AI. Na podstawie wyników oprogramowanie zmieniało format daty i podmieniało znak apostrofu w zwrocie „Today's date is" na nieznacznie inny. Użytkownicy nie byli w stanie dostrzec różnicy, natomiast Anthropic mógł ją odczytać natychmiast the-decoder.com.
Co więcej, kod był zaciemniony przy użyciu szyfrowania XOR z kluczem 91, co uniemożliwiało jego wykrycie w prostym przeszukiwaniu tekstu. Notatki do wydania wersji 2.1.91 nie zawierały żadnej wzmianki o tej funkcji the-decoder.com.
Reakcja odkrywcy i zarzuty wobec Anthropic
LegitMichel777 określił potajemne przesyłanie danych o systemie i proxy bez wiedzy użytkownika jako „fundamentalne naruszenie zaufania". Wskazał też na poważne ryzyko wynikające z faktu, że Claude Code ma pełny dostęp do systemu plików i powłoki – otwiera to drogę do różnego rodzaju nadużyć, od zdalnego sterowania po eksfiltrację danych. Odkrywca podkreślił również, że mechanizm jest trywialny do obejścia dla doświadczonych atakujących, co podważa jego praktyczną użyteczność the-decoder.com.
Wyjaśnienia Anthropic
Pracownik Anthropic z zespołu Claude Code, Thariq Shihipar, opisał funkcję na platformie X jako „eksperyment uruchomiony w marcu, który miał zapobiegać nadużyciom ze strony nieautoryzowanych odsprzedawców i chronić przed kopiowaniem modeli". Zaznaczył, że od tamtego czasu wdrożono skuteczniejsze zabezpieczenia i że zespół „od jakiegoś czasu planował usunąć tę funkcję". Poinformował o scaleniu odpowiedniego pull requesta i zapowiedział pełne wycofanie zmian w kolejnym wydaniu the-decoder.com.
Anthropic nie oferuje swoich modeli w Chinach ze względów bezpieczeństwa narodowego. Mimo to wielu chińskich programistów uzyskuje dostęp do Claude'a za pośrednictwem zagranicznych numerów telefonów i kart kredytowych. Firma wcześniej oskarżała DeepSeek, Moonshot AI, MiniMax i Alibaba o nieuprawnione wykorzystywanie wyników modeli Claude do trenowania własnych modeli językowych the-decoder.com.
Co to oznacza
Sprawa ujawnia napięcie między interesami bezpieczeństwa komercyjnego a podstawowymi zasadami przejrzystości wobec użytkowników. Anthropic miało uzasadniony powód do działania – udokumentowane przypadki nieautoryzowanego kopiowania modeli przez chińskie firmy AI – jednak wybrało metodę, która z definicji wyklucza świadomą zgodę użytkownika. Ukrywanie kodu za szyfrowaniem i brak wzmianki w notatkach do wydania to praktyki, które trudno pogodzić z deklarowaną przez firmę misją budowania bezpiecznej i godnej zaufania AI.
Dla polskich i europejskich programistów korzystających z Claude Code sprawa ma wymiar praktyczny: narzędzie z pełnym dostępem do systemu plików i powłoki, zawierające zaciemniony kod przesyłający dane bez wiedzy użytkownika, stanowi potencjalne ryzyko dla bezpieczeństwa środowisk deweloperskich. Nawet jeśli konkretna funkcja zostanie wycofana, incydent rodzi pytanie, czy podobne mechanizmy mogą istnieć w innych miejscach kodu.
Szerzej, przypadek ten wpisuje się w rosnący konflikt między zachodnimi laboratoriami AI a chińskimi podmiotami oskarżanymi o nieuprawnione korzystanie z cudzych modeli. Metody stosowane przez Anthropic – steganografia, szyfrowanie XOR, brak dokumentacji – przypominają techniki stosowane w oprogramowaniu szpiegowskim, co sprawia, że granica między ochroną własności intelektualnej a inwigilacją użytkowników staje się niepokojąco cienka. Branża będzie musiała wypracować przejrzyste standardy w tym zakresie, zanim podobne incydenty podważą zaufanie do narzędzi AI na szerszą skalę.
Szerszy kontekst
Alibaba zakazało swoim pracownikom korzystania z Claude Code, agenta kodowania opartego na sztucznej inteligencji firmy Anthropic, po tym jak badacze bezpieczeństwa odkryli, że narzędzie zawierało ukryty kod zaprojektowany w celu identyfikacji chińskich użytkowników. Zakaz, obowiązujący od 10 lipca, następuje po tygodniach narastającego konfliktu między obiema firmami w związku z zarzutami, że Alibaba wykradło możliwości AI Anthropic poprzez destylację na masową skalę.
Thariq Shihipar, inżynier Anthropic w zespole Claude Code, powiedział na platformie X, że śledzenie było "eksperymentem, który uruchomiliśmy w marcu, mającym na celu zapobieganie nadużyciom kont przez nieautoryzowanych odsprzedawców i ochronę przed destylacją". Stwierdził, że zespół "od jakiegoś czasu zamierzał to usunąć" i że żądanie scalenia kodu usuwającego funkcję zostało zatwierdzone 1 lipca.
"Ponieważ niedawno odkryto, że Claude Code niesie ze sobą ryzyko związane z tylnymi drzwiami, po kompleksowej ocenie Claude Code zostało dodane do listy oprogramowania wysokiego ryzyka z lukami bezpieczeństwa" — oświadczyło Alibaba w czwartek w wewnętrznym komunikacie, do którego dotarł South China Morning Post.
Użytkownik Reddita wywołał poruszenie w sieci, twierdząc, że odkrył, iż Anthropic osadził w Claude Code nieujawnioną logikę wykrywania, specjalnie ukierunkowaną na użytkowników w Chinach i sprawdzającą, czy są powiązani z chińskim laboratorium AI. W poście na Reddicie zatytułowanym "Anthropic osadził oprogramowanie szpiegujące w Claude Code – i próbował to przed tobą ukryć", użytkownik "LegitMichel777" twierdzi ponadto, że Anthropic próbował zaciemnić kod w pliku binarnym Claude Code.
W tym miesiącu Anthropic wysłało list do przewodniczących Komisji Bankowej Senatu USA, stwierdzając, że Alibaba, chiński gigant technologiczny, oraz jego laboratorium AI Qwen wykorzystały prawie 25 000 fałszywych kont i wygenerowały 28,8 miliona wymian z Claude w pozornej próbie przejęcia możliwości modelu.
Analiza
Kluczowym wymiarem tej sprawy nie jest sam fakt śledzenia chińskich użytkowników, lecz metoda, którą Anthropic wybrało do realizacji tego celu. Steganograficzne ukrywanie znaczników w systemowym prompcie, zaciemnianie kodu szyfrowaniem XOR z kluczem 91 oraz całkowity brak wzmianki w notatkach do wydania wersji 2.1.91 to praktyki, które — niezależnie od intencji — są strukturalnie nie do odróżnienia od technik stosowanych w złośliwym oprogramowaniu. Anthropic miało przy tym udokumentowane podstawy do działania: według doniesień (wg cybernews.com) firma poinformowała Senat USA, że Alibaba i jego laboratorium Qwen wykorzystały blisko 25 000 fałszywych kont i wygenerowały 28,8 miliona wymian z Claude w celu destylacji modelu. Problem w tym, że uzasadniony cel nie legitymizuje automatycznie każdej metody jego realizacji — zwłaszcza gdy narzędzie ma pełny dostęp do systemu plików i powłoki użytkownika.
Konsekwencje biznesowe okazały się natychmiastowe i dotkliwe. Alibaba zakazał pracownikom korzystania z Claude Code od 10 lipca, klasyfikując go jako „oprogramowanie wysokiego ryzyka z lukami bezpieczeństwa" i rekomendując przejście na własną platformę Qoder (wg scmp.com i thenextweb.com). To ironiczny obrót wydarzeń: firma oskarżana o kradzież możliwości modelu zyskała teraz wiarygodny pretekst do zerwania z narzędziem i promocji własnego rozwiązania. Część komentatorów i badaczy bezpieczeństwa bagatelizuje sprawę, argumentując, że mechanizm był prostą metodą anty-destylacyjną, a nie szpiegostwem (wg cybernews.com) — jednak ta interpretacja nie zmienia faktu, że użytkownicy nie zostali poinformowani o jego istnieniu.
Szerszy wniosek dotyczy luki regulacyjnej w ekosystemie narzędzi deweloperskich opartych na AI. Branża nie wypracowała dotąd standardów określających, jakie dane narzędzie z dostępem do środowiska programistycznego może zbierać, w jaki sposób i z jakim obowiązkiem ujawnienia. Incydent z Claude Code pokazuje, że nawet firma deklarująca misję budowania bezpiecznej AI może sięgnąć po metody, które podważają zaufanie użytkowników — i że odkrycie takich praktyk zależy od przypadkowej dociekliwości jednego użytkownika Reddita, a nie od systemowego nadzoru. Dla europejskich i polskich programistów to sygnał, by traktować audyt narzędzi AI z pełnym dostępem do systemu z taką samą powagą, jak audyt każdego innego oprogramowania infrastrukturalnego.