Трекер китайских пользователей исчез из Claude Code

Anthropic удалила из Claude Code скрытый код, который с марта отмечал признаки китайских пользователей: часовой пояс, использование прокси и возможную связь с китайскими ИИ-лабораториями. Разметку прятали в системном промпте методом prompt steganography, нашёл её веб-разработчик под ником Thereallo, сообщила Ars Technica.

Коротко

• Инженер Anthropic Тарик Шихипар подтвердил в X, что маркер добавили в марте как эксперимент против неавторизованных перепродавцов доступа и против дистилляции, и что снять его планировали давно.
• По данным The Washington Post, неавторизованные перепродавцы предлагают доступ к бесплатным моделям за 1 доллар в месяц, а подписки уровня pro стоимостью 100 долларов в месяц уходят от 12 долларов.
• В прошлую пятницу Alibaba внесла Claude Code в список высокорисковых программ и запретила сотрудникам использовать его в работе, сославшись на риски бэкдора, сообщила South China Morning Post.

Скрытая телеметрия в инструменте разработчика бьёт по той самой репутации, на которой Anthropic строит свою публичную линию о недопустимости слежки. Претензия исследователя, судя по всему, важнее самого эксперимента: маркировка попадает прежде всего в обычных разработчиков, которых легко отличить по цифровому следу, а скрытность делает остальные обещания о приватности менее проверяемыми. Для аудитории Claude Code это вопрос доверия к тому, что агент делает на локальной машине.

Thereallo назвал скрытую разметку серьёзным нарушением доверия пользователей

Исследователь описал находку в блоге: код не вредоносный, но странный выбор для инструмента разработчика, который просит доверия. По его словам, клиент мог бы прямо объявить, что определяет пользовательские API-шлюзы: отправлять явное поле телеметрии с документацией, описать политику и вынести поведение в примечания к релизу.

Отдельно Thereallo напомнил, что кодовые агенты и так работают у опасной границы: они читают код, случайно пересказывают секреты, выполняют команды, ставят пакеты, правят файлы и отправляют коммиты на локальной машине. Скрытый сигнал в системном промпте, по его оценке, бьёт по всем остальным заявлениям о приватности, а под фингерпринтинг попадают обычные разработчики с нестандартными, но законными сценариями.

Anthropic отказалась разрешить американскому правительству использовать Claude для наблюдения за пользователями в США, вызвала этим недовольство администрации Трампа и затем подала иск против Белого дома. The Washington Post трактует инцидент с трекером как признак того, что американские компании принимают всё более жёсткие меры против копирования их моделей китайскими фирмами.

Бесплатная модель Zhipu AI обошла Claude Opus 4.8 в поиске уязвимостей

Так, по данным The Washington Post, новая бесплатная модель китайской Zhipu AI лучше находит уязвимости в коде, чем Claude Opus 4.8, вышедший в мае. Издание отмечает, что за последний год китайские компании стабильно повторяли возможности американских моделей в течение нескольких месяцев.

Anthropic добивается для США отрыва на 12, а возможно и 24 месяца и предлагает набор мер против дистилляции: закрытие доступа к передовым моделям, чипам и дата-центрам в США. Сама по себе дистилляция не запрещена законом, ей пользуются и ведущие американские компании, но миллионы запросов к Claude ради ускорения китайских моделей нарушают пользовательское соглашение.

Вместе с OpenAI компания призывает признать дистилляционные атаки формой кражи интеллектуальной собственности. На недавних слушаниях в сенате республиканец от Южной Каролины Тим Скотт согласился, что нужна юридическая реакция, и заявил о необходимости чёткой и ёмкой политики экспортного контроля, писала The Washington Post.

В феврале китайские исследователи нашли следы дистилляции в большинстве проверенных китайских моделей

В феврале исследователи Пекинского университета и государственной Академии наук КНР описали методы обнаружения признаков дистилляции в больших языковых моделях. Большинство проверенных китайских моделей показали существенные следы дистилляции, преимущественно американских систем, сообщила The Washington Post. В отдельных интенсивных тестах одна из моделей Qwen компании Alibaba иногда называла себя Claude и неоднократно копировала его манеру.

Anthropic утверждает, что эта модель Qwen была улучшена после крупнейшей дистилляционной атаки на Claude в июне. Alibaba на фоне разбирательства дистанцируется от моделей компании: в служебной записке, с которой ознакомилась South China Morning Post, Claude Code отнесён к высокорисковому софту с уязвимостями из-за обнаруженных рисков бэкдора.

Осторожность Alibaba объясняется юридическими и комплаенс-рисками, сказал Reuters источник на условиях анонимности. Отдельный разработчик обходит географические блокировки Anthropic дешёвыми средствами обхода и почти ничем не рискует, тогда как крупная компания при нарушении пользовательских условий может столкнуться с юридическими и регуляторными претензиями.

Чем заменили мартовский эксперимент

По словам Шихипара, с марта инженеры внедрили более сильные меры, но их устройство не раскрывается. Представитель Anthropic заявил The Washington Post, что дистилляционные атаки китайских лабораторий угрожают национальной безопасности и подрывают отраслевые стандарты безопасности ИИ, поэтому компания продолжает говорить о происходящем открыто и работать над общими решениями с другими лабораториями, властями и партнёрами. Сроков по экспортному контролю и по признанию дистилляции кражей интеллектуальной собственности не названо.