✨︎ Resumen (TL;DR):
- Anthropic confirmó el retiro de un mecanismo encubierto en su herramienta Claude Code que marcaba solicitudes de usuarios con proxies ligados a China.
- El sistema utilizaba esteganografía dentro del system prompt para ocultar datos mediante caracteres Unicode modificados y listas cifradas con XOR.
- La compañía justificó la medida como un experimento para evitar la reventa de API y el entrenamiento no autorizado de modelos competidores.
Anthropic comenzó a retirar de Claude Code un mecanismo oculto que, desde el 2 de abril de 2026, marcaba en secreto las peticiones de los desarrolladores que utilizaban proxies o servidores vinculados a China. La decisión ocurre tras la denuncia pública de la comunidad técnica sobre el uso de técnicas de esteganografía dentro de una herramienta con acceso directo a la terminal del sistema.
Claude Code es un agente de programación por línea de comandos que lee archivos, ejecuta comandos de terminal e integra ediciones directas de código en la computadora del usuario. Debido a este profundo nivel de acceso a los sistemas locales, el descubrimiento de un rastreador oculto encendió las alarmas de privacidad a nivel global.
Un análisis técnico publicado en el sitio thereallo.dev reveló que el software modificaba silenciosamente el system prompt enviado a la inteligencia artificial. En lugar de mandar la fecha actual en formato plano, como “Today’s date is 2026-06-30”, el cliente alteraba el guion por una diagonal o reemplazaba el apóstrofo por un carácter Unicode idéntico pero con distinto valor de bytes para transmitir datos de forma encubierta.
Este marcador se activaba bajo condiciones muy específicas. El sistema analizaba si la zona horaria correspondía a Asia/Shanghai o Asia/Urumqi, o si el dominio del proxy coincidía con una lista de 147 dominios corporativos de firmas como Baidu, Alibaba y ByteDance, u 11 palabras clave de laboratorios chinos de inteligencia artificial, como DeepSeek, Moonshot, MiniMax, Zhipu, Stepfun y 01ai.
Un mecanismo limitado a endpoints personalizados
El rastreador solo funcionaba cuando el usuario configuraba la variable de entorno ANTHROPIC_BASE_URL para redirigir el tráfico mediante un servidor intermedio o gateway corporativo. Los desarrolladores que se conectaban directamente a la API oficial de Anthropic nunca vieron alteradas sus peticiones.
Para ocultar los dominios vigilados, el código fuente utilizaba una ofuscación simple basada en operaciones XOR con clave 91. Esta técnica evitaba que las palabras clave aparecieran en búsquedas de texto plano dentro del binario de la aplicación, una práctica común en el desarrollo de software para ocultar funciones de telemetría o seguridad.
Un reporte de verificación independiente confirmó la presencia de este canal de comunicación encubierto en las versiones 2.1.193, 2.1.195 y 2.1.196 del cliente de línea de comandos, sin que existiera mención alguna en los registros de cambios oficiales durante casi tres meses.
La respuesta de Anthropic y la guerra de la destilación
La respuesta de la empresa no llegó mediante comunicados de prensa, sino a través de la red social X. Thariq Shihipar, integrante del equipo de desarrollo de Claude Code, admitió la existencia del rastreador y lo calificó como “un experimento que lanzamos en marzo, pensado para prevenir el abuso de cuentas por parte de revendedores no autorizados y proteger contra la destilación”.
La destilación de modelos consiste en utilizar las respuestas de una inteligencia artificial avanzada para entrenar y mejorar un modelo competidor de menor costo. Anthropic sostiene una disputa abierta contra firmas asiáticas por esta práctica. En febrero de 2026, acusó a DeepSeek, Moonshot AI y MiniMax de realizar más de 16 millones de interacciones con sus sistemas a través de 24,000 cuentas falsas para este fin.
Posteriormente, en junio de 2026, la compañía denunció ante legisladores de Estados Unidos que el laboratorio Qwen, propiedad de Alibaba, ejecutó el mayor ataque de destilación registrado en su contra, elevando el caso a un asunto de seguridad nacional.
La actualización 2.1.197 de Claude Code, publicada en el registro de npm el 1 de julio de 2026, eliminó finalmente el código de rastreo. Aunque el objetivo de proteger la propiedad intelectual es legítimo para las corporaciones de Silicon Valley, el uso de técnicas de ocultamiento en herramientas de desarrollo local deteriora la confianza de los programadores, quienes ahora enfrentan la necesidad de auditar más de cerca las aplicaciones que ejecutan en sus propios entornos de trabajo.
