Claude Code está marcando solicitações de forma esteganográfica

Artigo original ↗ Discussão no Hacker News ↗

O editor Claude Code da Anthropic foi descoberto secretamente incorporando marcadores esteganográficos em prompts do sistema, usando verificações de fuso horário, listas de domínios ofuscadas e variações sutis de Unicode para sinalizar tráfego que parece vir de laboratórios chineses ou revendedores via proxy. Muitos veem isso como uma tentativa desajeitada, mas compreensível, de detectar destilação de modelos e abuso dos termos de serviço, enquanto outros argumentam que fingerprinting oculto, com aparência de malware, em um cliente com acesso profundo ao código local e às ferramentas é uma grave quebra de confiança que levanta questões mais amplas sobre transparência, privacidade e futura degradação silenciosa das saídas. O episódio está levando alguns desenvolvedores a migrar para harnesses open-source e modelos locais ou alternativos, e a tratar toda ferramenta de IA proprietária com o mesmo escrutínio de qualquer binário não confiável.

O que o Claude Code está fazendo

  • O cliente inspeciona o ambiente (por exemplo, ANTHROPIC_BASE_URL, hostname, fuso horário) em busca de sinais de laboratórios chineses ou revendedores.
  • Se houver correspondência, ele codifica esteganograficamente essa classificação no prompt do sistema usando variantes sutis de Unicode e formatação de data.
  • As listas de domínios e palavras-chave de laboratórios estão ofuscadas no binário via base64/XOR.
  • Isso acontece no lado do cliente e não é claramente divulgado na interface, na documentação ou nas notas de lançamento.

Propósito pretendido e eficácia

  • Muitos comentaristas inferem que o objetivo é detectar:
    • Revendedores chineses de API reunindo assinaturas baratas do Claude Code.
    • Destilação de modelo por laboratórios chineses e outros.
  • Alguns veem isso como “defesa em profundidade”, semelhante a trap streets ou anti-cheat: facilmente contornável por atores sofisticados, mas suficiente para pegar revendedores descuidados.
  • Outros chamam isso de “amateur hour”: trivial de burlar (mudar o domínio, remover os marcadores) enquanto ainda se abala a confiança de usuários legítimos.

Impacto em usuários legítimos

  • Há preocupação de que:
    • Desenvolvedores normais usando proxies, gateways corporativos ou regiões não suportadas possam ser classificados incorretamente.
    • A Anthropic possa degradar silenciosamente as respostas, encaminhar para modelos mais fracos ou banir contas com base nessas marcas.
  • Vários observam que há razões legítimas para usar proxy (auditoria, filtragem de segredos, roteamento entre múltiplas contas) que poderiam ser penalizadas.

Confiança, ética e privacidade

  • Muitos veem o comportamento oculto e ofuscado em máquinas de usuários como semelhante a malware e uma quebra de confiança, independentemente da motivação.
  • Outros argumentam que é uma medida padrão antiabuso, comparável a analytics ou anti-cheat, e provavelmente coberta pela linguagem existente de ToS/privacidade.
  • Questões legais levantadas: possível fraude ao consumidor se o serviço for degradado silenciosamente, questões de GDPR/export-control/EULA, até preocupações com contornos de CFAA; outros contestam que isso chegue a ser ilegal.

Comparações e reações mais amplas

  • Comparado a:
    • Trap streets, watermarking, ferramentas de vigilância corporativa e anti-cheat em jogos.
    • Incidentes anteriores da Anthropic (degradação oculta do modelo pela Fable, vazamento de source map) como parte de um padrão de comportamento “duvidoso”.
  • Um subconjunto notável de comentaristas diz que isso reforça sua mudança do Claude Code para:
    • Ferramentas open-source ou harnesses mais simples (pi, Codex, OpenCode, agentes personalizados).
    • Modelos mais baratos ou de pesos abertos (GLM, DeepSeek, Qwen, implantação local).
  • Alguns enquadram isso em termos geopolíticos (impedir que a “superinteligência” vá para a China); outros veem esse enquadramento como perigoso e hipócrita.