Alibaba zakazuje pracownikom Claude Code po odkryciu ukrytego mechanizmu śledzenia

Alibaba wprowadza od 10 lipca całkowity zakaz używania Claude Code, agentowego narzędzia programistycznego Anthropic, we wszystkich swoich biurach. W wewnętrznym komunikacie firma napisała, że po dokładnej ocenie Claude Code trafił na listę oprogramowania wysokiego ryzyka z podatnościami bezpieczeństwa, ponieważ narzędzie miało zawierać mechanizm o cechach backdoora. Pracownicy mają odinstalować wszystkie produkty Claude i przejść na Qoder, własną platformę kodowania Alibaby.

Co znaleźli badacze

Sprawa zaczęła się od reverse engineeringu przeprowadzonego pod koniec czerwca przez użytkownika Reddita o nicku LegitMichel777, który znalazł w Claude Code kod obecny od wersji 2.1.91 z kwietnia. Program sprawdzał, czy strefa czasowa użytkownika to Asia/Shanghai albo Asia/Urumqi, oraz porównywał adresy proxy z zaszytą na sztywno listą chińskich domen.

Zamiast zwykłego logowania tych informacji, narzędzie stosowało steganografię: ukrywało sygnały w promptach systemowych wysyłanych do serwerów Anthropic, zamieniając myślniki na ukośniki w datach i podmieniając zwykłe apostrofy na wizualnie identyczne znaki Unicode. Lista domen była dodatkowo zaszyfrowana XOR-em z kluczem 91 i zakodowana w base64, co utrudniało wykrycie mechanizmu podczas standardowego audytu kodu.

Tłumaczenia Anthropic

Thariq Shihipar, inżynier zespołu Claude Code w Anthropic, napisał na X, że mechanizm powstał jako eksperyment uruchomiony w marcu, mający zapobiegać nadużyciom kont przez nieautoryzowanych odsprzedawców oraz chronić przed destylacją modeli. Przyznał, że zespół od jakiegoś czasu planował usunięcie tego kodu, a odpowiedni pull request scalono 1 lipca, więc mechanizm ma zniknąć w najbliższej aktualizacji.

Krytycy, w tym cytowani przez media analitycy bezpieczeństwa, wskazują jednak, że ukrywanie logiki identyfikującej użytkowników za pomocą steganografii i szyfrowania to praktyka typowa dla złośliwego oprogramowania, a nie standardowych zabezpieczeń antynadużyciowych, niezależnie od deklarowanego celu.

Wojna o destylację modeli

Zakaz Alibaby pada na tle znacznie szerszego sporu. W czerwcu Anthropic oskarżył podmioty powiązane z laboratorium Qwen należącym do Alibaby o przeprowadzenie największej znanej kampanii nielegalnego wyciągania możliwości z modeli Claude. Według Anthropic operatorzy używali około 25 tysięcy fałszywych kont, które między kwietniem a czerwcem wygenerowały 28,8 miliona zapytań, tworząc dane treningowe do destylacji własnych modeli konkurencji.

Anthropic przedstawił te ustalenia w liście do senackiej komisji bankowości 10 czerwca, angażując w spór amerykańskich senatorów i przedstawicieli Białego Domu. Alibaba zaprzecza zarzutom o destylację, a w reakcji na wewnętrzny zakaz skupiła się na kontrataku, wskazując właśnie na mechanizm śledzący jako dowód na to, że to Anthropic stosuje niebezpieczne praktyki wobec użytkowników.

Kontekst eksportowy

Sprawa zbiega się w czasie z zawirowaniami wokół dostępności modeli Anthropic poza USA. W połowie czerwca amerykański Departament Handlu nakazał Anthropic wyłączenie modeli Fable 5 i Mythos 5 dla użytkowników zagranicznych po tym, jak badacze Amazona znaleźli lukę umożliwiającą jailbreak. Ograniczenia eksportowe zniesiono 30 czerwca, a Anthropic przywrócił pełny dostęp do Fable 5 na całym świecie 2 lipca, obejmując Claude.ai, Claude Platform API, Claude Code i Claude Cowork.

Dla firm korzystających z narzędzi AI do programowania, także w Polsce, sprawa pokazuje, że nawet czołowi dostawcy potrafią wbudowywać w swoje produkty niejawne mechanizmy zbierania danych bez jasnej informacji dla klientów. Zespoły techniczne odpowiedzialne za bezpieczeństwo łańcucha dostaw oprogramowania powinny traktować tego typu ukryte funkcje telemetryczne jako realne ryzyko przy ocenie narzędzi AI dopuszczanych do pracy z kodem firmowym, niezależnie od deklarowanych dobrych intencji producenta.

Zakaz Alibaby dotyczy na razie tylko jej własnych pracowników, ale przy skali sporu i zaangażowaniu polityków obu krajów trudno oczekiwać szybkiego wygaszenia napięć. Anthropic zapowiedział usunięcie spornego kodu w kolejnej aktualizacji Claude Code, co może częściowo załagodzić obawy klientów korporacyjnych, jednak sam spór o destylację modeli między Anthropic a Alibabą pozostaje otwarty i prawdopodobnie będzie eskalował w kolejnych tygodniach.

Źródła: Alibaba bans staff from using Claude Code over Anthropic spyware concerns (scmp.com), Alibaba bans Claude Code over hidden Chinese user tracking (thenextweb.com), Alibaba bans Claude Code over security concerns (cybernews.com), Flourish 500M Bezos brain AI research i Alibaba bans Claude Code security risks (cryptobriefing.com), Anthropic is removing its covert code for catching Chinese competitors (theregister.com)