Claude Code шлёт Anthropic хеши файлов даже с DeepSeek

Claude Code с настройками по умолчанию отправляет Anthropic SHA-256 каждого прочитанного файла вместе с ID устройства и сессии, даже когда работает на модели DeepSeek и аккаунта Anthropic в связке нет. Так показал разбор Agenticbench, опубликованный 28 октября: пароль из фейкового .env авторы восстановили по такому отпечатку офлайн за три с половиной секунды. Если в ваших проектах лежат секреты, отправку выключает CLAUDE_CODE_DISABLE_NONESSENTIAL_TRAFFIC=1, но в сборке 2.1.280 с этим флагом Claude Code переставал загружать AGENTS.md.

Отпечаток считается от полного содержимого файла и без соли, случайной добавки к данным перед хешированием. Сам файл не уходит. Но если большая часть файла известна заранее, как у .env, собранного из шаблона, тот, у кого есть эта телеметрия, может перебирать варианты единственного секрета и сверять каждый с хешем у себя на машине. Поэтому авторы оценили риск как средний: содержимое файлов не передаётся, и по-настоящему случайный API-ключ так не восстановить. Слабый пароль восстановить можно.

Сценарий с DeepSeek вполне штатный: DeepSeek в своей документации описывает подключение Claude Code как поддерживаемую интеграцию. Достаточно направить ANTHROPIC_BASE_URL на https://api.deepseek.com/anthropic, положить ключ DeepSeek в ANTHROPIC_AUTH_TOKEN и указать модель в переменных вроде ANTHROPIC_MODEL. Кто настроил Claude Code по этой инструкции и не трогал телеметрию, отправляет отпечатки файлов в Anthropic, хотя запросы к модели идут мимо неё.

Что показали прогоны

Впервые авторы поймали отправку в сентябре на версии 2.1.283, под аккаунтом Max с настройками по умолчанию. Тогда событие телеметрии к api.anthropic.com несло хеш прочитанного файла, а в телеметрии был ещё и git-коммит репозитория.

19 октября, на сборке 2.1.303, три POST-запроса вернули 200, и 64-символьный contentHash совпал с sha256sum прочитанного файла в том же событии, где лежали device_id и session_id. 27 октября проверили 2.1.312, самую свежую версию на тот день: из четырёх запросов телеметрии к api.anthropic.com совпадающий хеш нёс один, событие файловой операции. Контрольный прогон на 2.1.286 в обоих случаях дал тот же результат, так что сам замер работает.

Выключатель и его цена

С CLAUDE_CODE_DISABLE_NONESSENTIAL_TRAFFIC=1 вместе с переменными DISABLE_* оба прогона с отказом от телеметрии не отправили ни одного события. Плата за это известна по сентябрьской сборке 2.1.280: загрузчик AGENTS.md там ждал удалённый флаг tengu_agents_md_mod и без него оставался выключенным, так что модель отвечала без инструкций проекта и без всякого предупреждения. Тем, кто держит правила проекта в AGENTS.md, после включения флага стоит проверить, подхватываются ли они в их версии.

Что не перепроверяли

Git-коммит в телеметрии (head_sha) в октябре не перепроверяли: рабочая папка стенда не git-репозиторий, и эта часть держится на сентябрьском захвате и на строке в бинарнике. Режим с входом в аккаунт тоже повторно не тестировали. На каждое условие пришлось по одному прогону, и сами авторы называют это подтверждением, но не доказательством. Результат совпал на 2.1.283, 2.1.286, 2.1.303 и 2.1.312, но авторы не утверждают, что 2.1.312 по-прежнему последняя версия и что после неё ничего не менялось.

Отчёт ушёл на privacy@anthropic.com 26 сентября, и в тот же день пришло автоматическое подтверждение получения. Ретест во вторник, через месяц после отчёта, показал, что 2.1.312 отпечатки всё ещё отправляет.