Getarnte Signale im System-Prompt: Wie Claude Code chinesische Nutzer markierte
Anthropic zieht eine verdeckte Überwachungsfunktion in seinem Programmierwerkzeug Claude Code zurück, nachdem sie auf Social Media für Empörung gesorgt hatte.
Aufgedeckt wurde die Funktion in einem Reddit-Post des Nutzers LegitMichel777. Demnach prüft Claude Code seit Version 2.1.91 vom 2. April 2026 bei aktiviertem Proxy verdeckt, ob sich der Nutzer in China befindet, zu einer chinesischen URL proxyt und mit einem chinesischen KI-Labor verbunden ist.
Versteckte Signale im System-Prompt
Die Übertragung dieser Informationen erfolgt laut dem Post über kaum wahrnehmbare Änderungen im System-Prompt, also eine Art Steganografie. Claude Code gleicht dazu die Systemzeitzone mit "Asia/Shanghai" oder "Asia/Urumqi" ab und untersucht die Proxy-URL auf chinesische Domains und KI-Labore. Je nach Ergebnis verändert die Software das Datumsformat sowie unmerklich das Apostroph-Zeichen im Satz "Today's date is". Diese Varianten sind für Nutzer unsichtbar, aber für Anthropic leicht auszuwerten.
Laut LegitMichel777 verschleierte Anthropic den Code zusätzlich per XOR-Verschlüsselung mit dem Schlüssel 91, damit er in einem einfachen Textauszug nicht auftaucht. Die Release Notes zu Version 2.1.91 erwähnten die Prüfung nicht.
Der Entdecker wertet die verdeckte Übertragung von System- und Proxy-Daten ohne Wissen der Nutzer als "fundamentalen Vertrauensbruch". Da Claude Code vollen Dateisystem- und Shell-Zugriff besitze, öffne dies grundsätzlich Tür und Tor für Missbrauch bis hin zu Fernsteuerung oder Datenexfiltration. Zugleich sei die Prüfung für versierte Angreifer trivial zu umgehen, was ihren Nutzen infrage stelle.
Anthropic spricht von einem Experiment
Anthropic-Mitarbeiter Thariq Shihipar, der am Claude-Code-Team arbeitet, bezeichnete die Funktion auf X als "ein Experiment, das wir im März gestartet haben" und das Account-Missbrauch durch unautorisierte Wiederverkäufer sowie Distillation verhindern sollte. Das Team habe seither "stärkere Gegenmaßnahmen" eingeführt und die Funktion ohnehin schon länger abschalten wollen. Man habe den entsprechenden Pull Request zusammengeführt, mit dem nächsten Release solle die Funktion "vollständig zurückgerollt" sein.
Anthropic bietet seine Modelle aus Gründen der nationalen Sicherheit nicht in China an. Dennoch greifen viele chinesische Entwickler über ausländische Telefonnummern und Kreditkarten auf Claude zu. Zuvor hatte Anthropic bereits DeepSeek, Moonshot AI, MiniMax und Alibaba beschuldigt, Antworten von Claude-Modellen unerlaubt für das Training eigener Sprachmodelle genutzt zu haben.
KI-News ohne Hype – von Menschen kuratiert
Mit dem THE‑DECODER‑Abo liest du werbefrei und wirst Teil unserer Community: Diskutiere im Kommentarsystem, erhalte unseren wöchentlichen KI‑Newsletter, 6× im Jahr den "KI Radar"‑Frontier‑Newsletter mit den neuesten Entwicklungen aus der Spitze der KI‑Forschung, bis zu 25 % Rabatt auf KI Pro‑Events und Zugriff auf das komplette Archiv der letzten zehn Jahre.
Jetzt abonnierenDer Rest ist für Abonnenten.
Jetzt Abo abschließen.
- Zugriff auf alle THE DECODER Artikel.
- Lesen ohne Ablenkung – keine Google-Werbebanner.
- Zugang zum Kommentarsystem und Austausch mit der Community.
- Wöchentlicher KI-Newsletter.
- 6× jährlich: “KI Radar” – Deep-Dives zu den wichtigsten KI-Themen.
- Bis zu 25 % Rabatt auf KI Pro Online-Events.
- Zugang zum kompletten Archiv der letzten zehn Jahre.
- Die neuesten KI‑Infos von The Decoder – klar und auf den Punkt.