Anthropic a supprimé un système de suivi caché de Claude Code après qu'un chercheur en sécurité a découvert que l'assistant de codage IA utilisait des marqueurs non divulgués pour identifier la localisation de certains utilisateurs, leur utilisation de proxy et de possibles liens avec des laboratoires d'IA chinois.

La fonctionnalité, découverte en juin par le développeur «Thereallo», a intégré des signaux dans les invites système de Claude Code qui pouvaient signaler les utilisateurs qu'Anthropic soupçonnait de contourner les restrictions ou de tenter d'extraire les capacités du modèle.

«Anthropic souhaite probablement détecter les revendeurs d'API, les passerelles Claude Code non autorisées et les pipelines 'd'attaque par distillation' de modèle», a écrit Thereallo. «Une ANTHROPIC_BASE_URL personnalisée pointant vers un domaine de revendeur connu est un signal utile. Un nom d'hôte contenant deepseek ou zhipu est également un signal utile.»

Thereallo a déclaré que la tentative d'Anthropic de détecter les revendeurs, les passerelles Claude Code non autorisées et les attaques potentielles par distillation était logique, mais a critiqué la manière dont cela a été fait, notant que Claude Code cachait les signaux de suivi dans les invites système en utilisant des marqueurs Unicode et des listes de domaines encodées, plutôt que de divulguer le système par le biais de la documentation ou des notes de version.

«Ce n'est pas une fonctionnalité malveillante, mais c'est un choix étrange pour un outil de développement qui demande confiance», a écrit Thereallo.

Après la révélation en ligne du traceur, l'ingénieur d'Anthropic Thariq Shihipar a déclaré sur X qu'il avait été introduit en mars comme une «expérience» pour empêcher l'abus de compte par des revendeurs non autorisés et protéger Claude des attaques par distillation.

«L'équipe a mis en place des mesures d'atténuation plus robustes depuis et nous avions en fait l'intention de le retirer depuis un certain temps», a écrit Shihipar la semaine dernière. «Nous avons fusionné le [pull request] et cela devrait être complètement annulé dans la version de demain.»

Cette nouvelle survient alors qu'Anthropic a multiplié les avertissements concernant la distillation de modèles d'IA, où les sorties d'un système sont utilisées pour entraîner un autre modèle. Bien que cette pratique soit courante dans la recherche en IA, en matière de géopolitique, la distillation devient une préoccupation de sécurité nationale. Plus tôt ce mois-ci, Alibaba a interdit à ses employés d'utiliser Claude Code, qualifiant l'outil de logiciel «à haut risque» en raison de problèmes de sécurité.

En février, Anthropic a accusé les développeurs d'IA chinois DeepSeek, Moonshot AI et MiniMax d'utiliser des comptes frauduleux pour extraire des millions de réponses de Claude afin d'entraîner des modèles concurrents. Ces allégations ont suscité des réactions négatives de la part de critiques qui se sont interrogés sur la différence entre cette pratique et les méthodes utilisées dans l'ensemble de l'industrie de l'IA.

En avril, Elon Musk a témoigné que xAI avait «partiellement» utilisé des modèles OpenAI lors de l'entraînement de Grok, qualifiant la distillation de pratique industrielle plus large. En juin, Dario Amodei, PDG d'Anthropic, a exhorté le Congrès à renforcer les protections contre l'extraction d'IA étrangère après avoir allégué que des opérateurs liés à Alibaba avaient généré 28,8 millions d'échanges Claude en utilisant près de 25 000 comptes frauduleux.

Anthropic n'a pas immédiatement répondu à une demande de commentaire de Decrypt.