Claude Code está marcando solicitudes de forma esteganográfica
Se ha descubierto que el editor Claude Code de Anthropic inserta secretamente marcadores esteganográficos en los system prompts, usando comprobaciones de zona horaria, listas de dominios ofuscadas y sutiles variaciones Unicode para señalar tráfico que parece pasar por laboratorios chinos o revendedores proxy. Muchos consideran que esto es un intento torpe pero comprensible de detectar la destilación de modelos y el abuso de los términos de servicio, mientras que otros sostienen que la huella oculta, similar a malware, en un cliente con acceso profundo al código local y a las herramientas es una grave ruptura de la confianza que plantea cuestiones más amplias sobre transparencia, privacidad y una futura degradación silenciosa de la salida. El episodio está llevando a algunos desarrolladores a migrar hacia harnesses de código abierto y modelos locales o alternativos, y a tratar todo el software de IA propietario con el mismo escrutinio que cualquier binario no confiable.
Qué está haciendo Claude Code
- El cliente inspecciona el entorno (p. ej.,
ANTHROPIC_BASE_URL, hostname, zona horaria) en busca de señales de laboratorios o revendedores chinos. - Si coincide, codifica esteganográficamente esa clasificación en el system prompt usando sutiles variantes Unicode y formato de fecha.
- Las listas de dominios y palabras clave de laboratorios están ofuscadas en el binario mediante base64/XOR.
- Esto ocurre del lado del cliente y no se divulga claramente en la UI, la documentación ni las notas de la versión.
Propósito previsto y efectividad
- Muchos comentaristas infieren que el objetivo es detectar:
- Revendedores chinos de API que agrupan suscripciones baratas de Claude Code.
- Destilación del modelo por parte de laboratorios chinos y de otros países.
- Algunos lo ven como “defensa en profundidad”, similar a trap streets o anti-cheat: fácilmente sorteable por actores sofisticados, pero suficiente para atrapar a revendedores descuidados.
- Otros lo llaman “amateur hour”: trivial de evadir (cambiar el dominio, eliminar los marcadores) mientras sigue erosionando la confianza de usuarios legítimos.
Impacto en usuarios legítimos
- Preocupa que:
- Los desarrolladores normales que usan proxies, gateways corporativos o regiones no compatibles puedan ser clasificados erróneamente.
- Anthropic podría degradar silenciosamente las respuestas, enrutar a modelos más débiles o prohibir cuentas basándose en estas etiquetas.
- Varios señalan que hay razones legítimas para usar proxy (auditoría, filtrado de secretos, enrutamiento de múltiples cuentas) que podrían ser penalizadas.
Confianza, ética y privacidad
- Muchos consideran que el comportamiento oculto y ofuscado en las máquinas de los usuarios es similar a malware y una traición a la confianza, independientemente del motivo.
- Otros sostienen que es una medida estándar contra el abuso, comparable a la analítica o al anti-cheat, y probablemente cubierta por el lenguaje existente de los ToS/política de privacidad.
- Se plantean cuestiones legales: posible fraude al consumidor si el servicio se degrada en silencio, problemas de GDPR/control de exportaciones/EULA, e incluso preocupaciones con forma de CFAA; otros discrepan en que esto alcance la ilegalidad.
Comparaciones y reacciones más amplias
- Comparado con:
- Trap streets, watermarking, herramientas de vigilancia corporativa y anti-cheat de videojuegos.
- Incidentes previos de Anthropic (la degradación oculta del modelo de Fable, la filtración de source-map) como parte de un patrón de comportamiento “sospechoso”.
- Una parte notable de los comentaristas dice que esto refuerza su decisión de alejarse de Claude Code hacia:
- Harnesses de código abierto o más simples (pi, Codex, OpenCode, agentes personalizados).
- Modelos más baratos o de pesos abiertos (GLM, DeepSeek, Qwen, despliegue local).
- Algunos lo encuadran en términos geopolíticos (evitar que la “superinteligencia” llegue a China); otros ven ese encuadre en sí mismo como peligroso e hipócrita.