Kod ukryty w kodzie. Claude potajemnie śledził chińskich programistów

W kodzie narzędzia, któremu programiści powierzają swoje projekty, ktoś ukrył coś jeszcze. Badacz bezpieczeństwa znany jako „Thereallo” odkrył, że Claude Code – agent AI od Anthropic – potajemnie monitorował użytkowników z Chin. Mechanizm wykorzystywał steganografię promptową, by niepostrzeżenie oznaczać podejrzane sesje. Sprawa wybuchła, gdy firma pozycjonuje się jako obrońca prywatności.

Steganografia promptowa – kod ukryty na widoku

→ Czytaj też: AI rozszyfrowała śpiew ptaków. Co mówią nam od lat?

Thereallo analizował zachowanie Claude Code pod kątem prywatności. W promptach systemowych znalazł ukryte znaczniki, które w żaden sposób nie przypominały standardowej telemetrii. Nie było ich w dokumentacji. Nie pojawiały się w dziennikach zmian. A jednak wysyłały do Anthropic informacje o strefie czasowej, proxy i potencjalnych powiązaniach z chińskimi laboratoriami AI.

„To nie jest złośliwa funkcja, ale to dziwny wybór jak na narzędzie deweloperskie, które prosi o zaufanie” – napisał badacz na swoim blogu. Zaznaczył, że agenci kodujący „już żyją po niewłaściwej stronie przerażającej granicy. Mogą przeglądać kod, przypadkiem podsumowywać sekrety, uruchamiać polecenia, instalować pakiety, edytować pliki i wysyłać commity na lokalnej maszynie”.

„Ukrywanie sygnału w prompcie systemowym czyni każde inne zapewnienie o prywatności trudniejszym do uwierzenia” – dodał Thereallo.

Eksperyment, o którym „zapomniano”

→ Czytaj też: 30 proc. komputerów wciąż na Windows 10

Inżynier Anthropic, Thariq Shihipar, potwierdził na platformie X, że tracker dodano jako „eksperyment” w marcu 2026 roku. Miał zapobiegać nadużyciom ze strony nieautoryzowanych sprzedawców kont oraz chronić przed atakami dystylacyjnymi. Shihipar zapewnił, że firma „od jakiegoś czasu zamierzała to usunąć”, ponieważ wdrożono już silniejsze zabezpieczenia.

Wyjaśnienie nie przekonało obrońców prywatności. To, że kod przetrwał miesiącami bez wiedzy użytkowników, sugeruje coś więcej niż przeoczenie. Jak donosi Ars Technica, incydent jest szczególnie zaskakujący, biorąc pod uwagę, że Anthropic wcześniej odmówiło rządowi USA dostępu do Claude w celu inwigilacji amerykańskich obywateli, a nawet pozwało Biały Dom w tej sprawie.

Dystylacja jako wyścig zbrojeń

Za trackerem stoi realny problem. Chińskie firmy AI „konsekwentnie dorównują możliwościom amerykańskich modeli w ciągu kilku miesięcy” – podaje The Washington Post. W lutym 2026 roku badacze z Uniwersytetu Pekińskiego i Chińskiej Akademii Nauk opracowali metody wykrywania śladów dystylacji w modelach językowych. Odkryli, że większość chińskich modeli nosi „znaczące dowody dystylacji”, głównie amerykańskich systemów.

Jeden z modeli Qwen od Alibaby podczas intensywnych testów wielokrotnie „udawał Claude’a” – w niektórych przypadkach sam identyfikował się jako Claude. W czerwcu Anthropic oskarżyło Alibabę o przeprowadzenie największego w historii ataku dystylacyjnego na Claude’a. Chińska firma nie skomentowała zarzutów, ale w zeszłym tygodniu zakazała swoim pracownikom korzystania z Claude Code, powołując się wprost na ryzyko związane z ukrytym trackerem.

Anthropic i OpenAI lobbują, by uznać ataki dystylacyjne za formę kradzieży własności intelektualnej. Senator Tim Scott argumentował podczas przesłuchania w Senacie, że USA muszą „starannie opracować jasną i zwięzłą politykę kontroli eksportu”, by powstrzymać Chiny przed zdobywaniem przewagi technologicznej.

Zaufanie trudniej odbudować niż kod

Dla Anthropic stawka jest podwójna. Z jednej strony firma walczy o utrzymanie przewagi technologicznej nad chińskimi rywalami. Z drugiej – nie może sobie pozwolić na utratę zaufania użytkowników. Dyrektorzy generalni firm z listy Fortune 500 jasno sygnalizują, że szukają tańszych rozwiązań AI. Nieautoryzowani sprzedawcy oferują dostęp do płatnych modeli za ułamek ceny – subskrypcje za 100 dolarów miesięcznie schodzą nawet po 12 dolarów.

Thereallo wskazuje, że funkcja śledzenia „głównie karze dokładnie tych ludzi, których najłatwiej zidentyfikować: normalnych deweloperów robiących dziwne, ale legalne rzeczy”. Jego zdaniem właściwą reakcją środowiska powinna być zwiększona kontrola potencjału inwigilacyjnego Claude’a. Anthropic usunęło tracker, ale pytanie pozostaje: co jeszcze może kryć się w promptach, którym ufamy?