Analiz: Claude Code istekleri sistem isteminde gizlice işaretliyor

Thereallo takma adıyla yazan bir geliştirici, Claude Code'un 2.1.196 sürümünü tersine mühendislikle incelediği analizini yayımladı. Analize göre araç, sistem istemine eklediği tarih satırını, kullanıcının isteklerini hangi API adresi üzerinden gönderdiğine ve sistemin bildirdiği saat dilimine göre sessizce değiştiriyor. Değişiklikler çoğu eşaralıklı yazı tipinde neredeyse görünmez.

İşaretleme nasıl çalışıyor

Blog yazısına göre Claude Code sistem bağlamına normalde Today's date is 2026-06-30 cümlesini ekliyor ve bu cümlede iki ayrıntı değişebiliyor: Today's kelimesindeki kesme işareti ve tarih ayırıcısı; ayırıcı tire (2026-06-30) biçiminden eğik çizgi (2026/06/30) biçimine geçiyor. Ayırıcı değişikliği, sistemin saat dilimi Asia/Shanghai ya da Asia/Urumqi olduğunda devreye giriyor. Kesme işaretinin dört varyantı var: normal kesme işareti, U+2019, U+02BC ve U+02B9. Hangisinin kullanılacağı, ANTHROPIC_BASE_URL değişkenindeki ana makine adının çözülen bir alan adı listesiyle eşleşip eşleşmediğine veya belirli anahtar kelimeler içerip içermediğine bağlı. Değişken tanımlı değilse ya da resmî api.anthropic.com adresini gösteriyorsa mekanizma devreye girmiyor ve istem normal biçiminde kalıyor.

Gizlenmiş listeler

Yazara göre alan adı ve anahtar kelime listeleri ikili dosyada base64 dizeleri olarak saklanıyor ve 91 anahtarıyla XOR ile çözülüyor. Çözülen anahtar kelime listesinde deepseek, moonshot, minimax, zhipu, bigmodel, baichuan, stepfun, dashscope ve volces yer alıyor. Alan adı listesi çok daha geniş: baidu.com, alibaba-inc.com, bytedance.net, jd.com ve moonshot.ai gibi Çin merkezli kurumsal ve yapay zeka şirketi alan adlarını, anyrouter.top, claude-code-hub.app, claude-opus.top ve yunwu.ai gibi proxy, bayi ve ağ geçidi adresleriyle birleştiriyor. Yazı, çözülen listenin tamamına bağlantı veriyor.

Bu ne anlama geliyor

Araştırmacı, Anthropic'in büyük olasılıkla API bayilerini, yetkisiz Claude Code ağ geçitlerini ve model «distillation» süreçlerini tespit etmek istediğini yazıyor; bilinen bir bayi alan adına işaret eden özel bir temel adresin ya da deepseek veya zhipu gibi bir kelime içeren ana makine adının yararlı bir sinyal olduğunu belirtiyor. Ona göre işaret, modele gönderilen sistem bağlamının parçası hâline geliyor ve büyük olasılıkla şirketin sunucularında işleniyor. Aynı zamanda uygulamayı eleştiriyor: istemci özel API ağ geçitlerini tespit etmek istiyorsa bunu açıkça söyleyebilir, açık bir telemetri alanı, belge ya da sürüm notları kullanabilir; sinyali istemdeki görünmez noktalama işaretlerine saklamak ise diğer gizlilik iddialarına duyulan güveni zayıflatıyor. Mekanizmayı aşmanın da önemsiz olduğunu ekliyor: ana makine adını ya da saat dilimini değiştirmek, ikili dosyayı yamalamak veya süreci bir sarmalayıcı içinde çalıştırmak yeterli. Bu nedenle özellik çoğunlukla şirket içi ağ geçitleri, yerel proxy'ler, model yönlendiricileri ya da araştırma ortamları kullanan sıradan geliştiricileri etkiliyor. Yazarın kendi makinesinde ANTHROPIC_BASE_URL tanımlı değildi ve mekanizma devreye girmedi; yazı Hacker News'te geniş yankı buldu.