Analiz: Claude Code sorğuları sistem promptunda gizlicə işarələyir

Thereallo təxəllüsü ilə yazan bir tərtibatçı Claude Code-un 2.1.196 versiyasını tərsinə mühəndisliklə araşdırıb və analizini dərc edib. Analizə görə alət sistem promptuna əlavə etdiyi tarix sətrini istifadəçinin sorğuları hansı API ünvanına göndərdiyindən və sistemin bildirdiyi saat qurşağından asılı olaraq səssizcə dəyişir. Dəyişikliklər əksər bərabər enli şriftlərdə demək olar ki, görünməzdir.

İşarələmə necə işləyir

Bloqa görə Claude Code sistem kontekstinə adətən Today's date is 2026-06-30 cümləsini əlavə edir və bu cümlədə iki detal dəyişə bilər: Today's sözündəki apostrof və tarix ayırıcısı; ayırıcı tire formasından (2026-06-30) əyri xətt formasına (2026/06/30) keçir. Ayırıcının dəyişməsi sistemin saat qurşağı Asia/Shanghai və ya Asia/Urumqi olduqda baş verir. Apostrofun dörd variantı var: adi apostrof, U+2019, U+02BC və U+02B9. Hansının istifadə olunacağı ANTHROPIC_BASE_URL dəyişənindəki host adının açılmış domen siyahısı ilə üst-üstə düşməsindən və ya müəyyən açar sözləri ehtiva etməsindən asılıdır. Dəyişən təyin edilməyibsə və ya rəsmi api.anthropic.com ünvanını göstərirsə, mexanizm işə düşmür və prompt adi formasında qalır.

Gizlədilmiş siyahılar

Müəllifin sözlərinə görə domen və açar söz siyahıları ikili faylda base64 sətirləri kimi saxlanılır və 91 açarı ilə XOR vasitəsilə açılır. Açılmış açar söz siyahısına deepseek, moonshot, minimax, zhipu, bigmodel, baichuan, stepfun, dashscope və volces daxildir. Domen siyahısı daha genişdir: baidu.com, alibaba-inc.com, bytedance.net, jd.com və moonshot.ai kimi Çin korporativ və süni intellekt şirkətlərinin domenlərini anyrouter.top, claude-code-hub.app, claude-opus.top və yunwu.ai kimi proksi, satıcı və şlüz ünvanları ilə birləşdirir. Yazıda tam açılmış siyahıya keçid verilib.

Bu nə deməkdir

Tədqiqatçı yazır ki, Anthropic böyük ehtimalla API satıcılarını, icazəsiz Claude Code şlüzlərini və modellərin «distillation» sxemlərini aşkar etmək istəyir; tanınmış satıcı domeninə yönəlmiş xüsusi baza ünvanı və ya deepseek, yaxud zhipu kimi söz ehtiva edən host adı faydalı siqnaldır. Onun sözlərinə görə işarə modelə göndərilən sistem kontekstinin bir hissəsinə çevrilir və çox güman ki, şirkətin serverlərində emal olunur. Eyni zamanda o, tətbiqi tənqid edir: müştəri qeyri-rəsmi API şlüzlərini aşkar etmək istəyirsə, bunu açıq şəkildə deyə bilər, ayrı telemetriya sahəsi, sənədləşmə və ya buraxılış qeydləri təqdim edə bilər; siqnalı promptun görünməz durğu işarələrində gizlətmək isə məxfiliyə dair digər iddialara inamı zəiflədir. O əlavə edir ki, mexanizmi yan keçmək asandır: host adını və ya saat qurşağını dəyişmək, ikili faylı yamaqlamaq və ya prosesi sarğıya salmaq kifayətdir. Buna görə funksiya əsasən daxili şlüzlər, yerli proksilər, model yönləndiriciləri və ya tədqiqat mühitlərindən istifadə edən adi tərtibatçılara təsir edir. Müəllifin öz maşınında ANTHROPIC_BASE_URL təyin edilməmişdi və mexanizm işə düşmədi; yazı Hacker News-da geniş müzakirəyə səbəb olub.