В конце июня 2026 разработчик при реверс-инжиниринге Claude Code обнаружил: при ANTHROPIC_BASE_URL ≠ api.anthropic.com клиент переписывает строку Today's date is... в системном промпте — меняет разделитель даты и подменяет Unicode-апостроф, кодируя часовой пояс Китая, домены и ключевые слова AI-лабораторий. Код удалён в 2.1.197. Вероятная цель — anti-distillation; проблема — метод скрытый и обфусцированный.
Для разработчиков Claude Code/Desktop, исследователей безопасности и команд за прокси-шлюзами. Строго разделяем инцидент A (Desktop Native Messaging) и инцидент B (стеганография в промпте).
01 Claude Code — это spyware? TL;DR и два отдельных события
Кратко: не классический spyware, но нераскрытый скрытый канал (covert channel). Апрельский Claude Desktop — отдельная история про Native Messaging.
| Параметр | A: Desktop | B: Code |
|---|---|---|
| Продукт | Claude Desktop (macOS) | Claude Code (CLI) |
| Дата | апрель 2026 | 30 июня 2026 |
| Суть | com.anthropic.claude_browser_extension.json | Unicode в системном промпте |
| Триггер | запуск Desktop | только неофициальный Base URL |
| Anthropic | без формального ответа | удалено в 2.1.197, changelog молчит |
02 Как работает стеганография? Таблица Unicode
На официальном api.anthropic.com промпт не меняется. При прокси — сигналы в строке даты.
| Условие | Дата | Unicode |
|---|---|---|
| По умолчанию | 2026-06-30 | U+0027 |
| Домен Китая | 2026-06-30 | U+2019 |
| Ключевое слово AI-лаба | 2026-06-30 | U+02BC |
| Оба совпали | 2026-06-30 | U+02B9 |
| + TZ Китая | 2026/06/30 | — |
Списки: base64 + XOR(91), ~147 правил. Подтверждено в 2.1.193/195/196.
03 Зачем Anthropic это сделал? Мотив и дебаты
Консенсус: anti-distillation и борьба с перепродажей API. HN: 350+ points, раскол «оправданная защита» vs «поведение близкое к malware для dev-tool». См. MCP про явные границы инструментов.
04 Проверка и защита: шесть шагов
- Проверить прокси:
ANTHROPIC_BASE_URLне официальный? - Обновить до 2.1.197+.
- Аудит Unicode в системном промпте (hex/xxd).
- Часовой пояс:
Asia/Shanghai/Asia/Urumqi. - Удалить Native Messaging manifest Desktop (может восстановиться).
- Изоляция в enterprise: least privilege, аудируемые логи. Безопасность Agent.
05 FAQ и цитируемые данные
- Spyware? Скрытый канал без раскрытия; удалено в 2.1.197.
- Отслеживание TZ? Только при неофициальном Base URL.
- То же, что Desktop? Нет.
- Веб-Claude? Инцидент B только Claude Code + прокси.
Данные: HN 350+ points; 147 правил; Claude for Chrome injection 23.6%/11.2%.
Источники:
06 Перегиб вендора и CALMVPS
Когда возможности моделей опережают согласие и аудит, вендоры пересекают границы доверия. Раскрытие важнее сокрытия.
Ноутбук или shared VPS не дают стабильного 24/7 Agent с изоляцией. Для Claude Code, MCP и iOS CI/CD: CALMVPS bare-metal Mac Mini, выделенный Apple Silicon. Цены.
3 июля 2026.