Anthropic je uklonio kod iz razvojnog alata Claude Code koji je u tekst sistemskog prompta upisivao gotovo nevidljive oznake o tome odakle korisnik dolazi i da li je povezan sa kineskim laboratorijama za veštačku inteligenciju. Funkciju je otkrio nezavisni istraživač koji na mrežama nastupa pod imenom Thereallo, a inženjer Anthropica Tarik Šihipar (Thariq Shihipar) potvrdio je na mreži X da je reč o mehanizmu uvedenom u martu, koji je kompanija opisala kao eksperiment usmeren protiv zloupotrebe naloga.
Otkriće je objavljeno početkom jula, u trenutku kada su odnosi Anthropica sa kineskim tehnološkim sektorom već bili zategnuti. Nekoliko dana ranije Alibaba je zabranila zaposlenima da koriste Claude Code, a Anthropic je pre toga optužio operatere povezane sa Alibabinom laboratorijom Qwen za organizovano izvlačenje sposobnosti iz Claude modela.
Šta je tačno pronađeno u kodu
Prema opisu istraživača, minifikovani JavaScript u verziji 2.1.196 sadržao je funkciju koja je menjala jedan znak u standardnoj rečenici sistemskog prompta. Reč je o apostrofu u frazi kojom se modelu saopštava današnji datum. Umesto uvek istog znaka, kod je birao između nekoliko Unicode karaktera koji u prikazu izgledaju praktično identično, ali za server predstavljaju različite vrednosti.
Time je svaki zahtev nosio malu količinu skrivene informacije. Prema navodima istraživača i medija koji su preneli nalaz, kombinacija znakova označavala je da li zahtev dolazi sa kineskog govornog područja, da li postoji veza sa laboratorijom za veštačku inteligenciju, ili oboje. Tekst je za korisnika izgledao potpuno obično. Razlika je bila vidljiva tek u sirovom Unicode zapisu.
Uslovi koji su aktivirali oznaku, kako prenosi Decrypt, obuhvatali su podešenu vremensku zonu, promenljivu ANTHROPIC_BASE_URL koja pokazuje na poznate domene preprodavaca pristupa, kao i nazive host mašina u kojima se pojavljuju imena kineskih laboratorija. Malwarebytes u svom prikazu navodi vremenske zone Asia/Shanghai i Asia/Urumqi kao okidače.
Objašnjenje kompanije
Šihipar je funkciju opisao kao eksperiment pokrenut u martu, sa ciljem da se spreči zloupotreba naloga preko neovlašćenih preprodavaca i da se model zaštiti od takozvane destilacije. Destilacija je postupak u kojem konkurentska kompanija ogromnim brojem upita sistematski izvlači ponašanje komercijalnog modela kako bi njime obučila sopstveni sistem.
Prema njegovim rečima, tim je u međuvremenu uveo jače mere zaštite, pa je oznaka postala suvišna. Zahtev za uklanjanje koda, kako navodi Anthropic, spojen je za izdanje od 1. jula. Kompanija do sada nije objavila detaljnu analizu incidenta u kojoj bi opisala obim prikupljanja, koliko je zahteva bilo označeno i kako su ti podaci korišćeni.
Anthropic nije tvrdio da je funkcija prikupljala sadržaj koda korisnika. Prema dostupnim opisima, marker je prenosio samo signal o okolnostima veze, ne i sam materijal na kojem korisnik radi. Ta razlika je bitna, ali nije bila razlog zbog kojeg je nalaz izazvao reakciju.
Zašto je nalaz izazvao reakciju
Sam istraživač je u komentaru bio odmeren. Ocenio je da funkcija nije zlonamerna, ali da je čudan izbor za razvojni alat koji od korisnika traži poverenje. Suština primedbe je metod. Anthropic je, kako je istakao, mogao da doda otvoreno polje u telemetriju, da politiku opiše u dokumentaciji i da ponašanje navede u spisku izmena. Umesto toga, signal je bio sakriven u tekstu koji korisnik vidi svakog dana, a da o njemu nije bilo javnog traga.
Dodatnu težinu daje pozicija koju kompanija zauzima u javnosti. Anthropic se predstavlja kao laboratorija koja bezbednost i transparentnost stavlja ispred brzine razvoja, a poslednjih meseci je i javno odbio da dozvoli američkoj vladi upotrebu Claude modela za nadzor domaćih korisnika. Otkriće skrivenog markera je u tom kontekstu čitano kao nesklad između deklarisanog stava i prakse.
Kritika se odnosi i na redosled događaja. Kod je uklonjen posle javnog otkrića, a ne pre njega, iako je kompanija navela da je odluku o uklanjanju donela ranije. Za razvojne alate koji rade sa privatnim repozitorijumima to je osetljiva tačka, jer korisnik nema jednostavan način da proveri šta klijent šalje ako je signal skriven u naizgled običnom tekstu.
Prompt steganografija kao tehnika
Postupak kojim je marker upisan poznat je pod nazivom prompt steganografija. Podaci se skrivaju u tekstu koji je za čoveka neupadljiv, ali ga mašina čita bez greške. Tehnika sama po sebi nije nova i koristi se, između ostalog, za obeležavanje porekla teksta. Novo je što se ovde pojavila u alatu koji radi na računaru korisnika i komunicira sa serverom proizvođača.
Za razvojne timove to otvara praktično pitanje. Alati koji rade kao agenti, sa pristupom fajlovima i komandnoj liniji, imaju širok pogled na okruženje u kojem se izvršavaju. Provera šta takav klijent šalje zahteva čitanje minifikovanog koda, što je posao koji retko ko radi. U ovom slučaju upravo je taj posao doveo do nalaza.
Kontekst izvoznih ograničenja
Vremenski, otkriće se poklopilo sa promenama u američkoj politici prema Anthropicovim modelima. Kompanija je više meseci poslovala pod ograničenjima koja su se odnosila na njene najjače modele, a ta ograničenja su ukinuta krajem juna. Uporedo, Anthropic je pred Kongresom zagovarao stroža pravila protiv destilacije.
Skriveni marker je u tom okviru bio deo šireg napora da se identifikuju nalozi koji pristupaju Claude modelima preko posrednika. Pitanje koje ostaje otvoreno nije da li je problem preprodaje naloga stvaran, jer o tome postoji dokumentacija sa obe strane spora, već koliko daleko proizvođač alata sme da ide u tihom označavanju korisnika bez njihovog znanja.
Šta se zna, a šta ne
Potvrđeno je da je funkcija postojala, da ju je Anthropic uveo u martu i da je uklonjena. Potvrđena je i izjava inženjera kompanije o svrsi mehanizma. Nije poznato koliko je korisnika bilo obuhvaćeno, da li su podaci iz markera korišćeni za suspenziju naloga, niti da li su slični mehanizmi postojali u drugim Anthropicovim proizvodima. Kompanija na ta pitanja javno nije odgovorila.
Često postavljana pitanja
Da li je Claude Code slao sadržaj mog koda Anthropicu?
Prema dostupnim opisima nalaza, skriveni marker je nosio samo signal o okolnostima veze, poput vremenske zone i podešenog servera, a ne sadržaj fajlova na kojima korisnik radi.
Da li je funkcija još uvek u alatu?
Anthropic navodi da je kod uklonjen i da je izmena ušla u izdanje od 1. jula. Korisnicima starijih verzija preporučuje se ažuriranje.
Šta je destilacija modela?
To je postupak u kojem se komercijalni model upituje veoma velikim brojem zahteva, a dobijeni odgovori se koriste za obuku drugog modela. Anthropic je ranije optužio operatere povezane sa kineskim laboratorijama za takvu praksu.
Ko je otkrio marker?
Nezavisni istraživač koji na mrežama koristi ime Thereallo, analizom minifikovanog JavaScript koda u verziji Claude Code 2.1.196.
