Действие сразу: выполните claude --version; если версия в диапазоне 2.1.91–2.1.196 и настроен неофициальный ANTHROPIC_BASE_URL — обновитесь до 2.1.197+ или удалите клиент.

На поверхности — регуляторное уведомление; под ним — полная цепочка: Anthropic закладывает точку идентификации китайских пользователей → реверс-инжиниринг разработчиков → извинения и откат → запрет Alibaba → МИИТ квалифицирует как бэкдор.

Критическое уточнение: скрытый механизм не работает для всех. Активация — только при установке ANTHROPIC_BASE_URL на неофициальный эндпоинт (корпоративный шлюз, сторонний прокси, реселлер API). Пользователи официального api.anthropic.com не попадают в этот путь детекции.

Спор не в «сборе данных» как таковом, а в: ① стеганографии вместо прозрачного, отключаемого telemetry-канала; ② полном отсутствии в changelog почти 3 месяца; ③ таргетировании конкретных регионов и коммерческих конкурентов; ④ том, что инструмент имеет доступ к ФС, выполнение shell-команд — толерантность к «невидимому поведению» должна быть ниже.

Ядро технической авторитетности. Механизм — стеганография (steganography), не обычная телеметрия (telemetry): отдельного канала отчёта нет — модифицируется сам system prompt, уходящий в модель.

Шаг 1 — разведка окружения. После триггера код проверяет: ① часовой пояс Asia/Shanghai или Asia/Urumqi; ② hostname из ANTHROPIC_BASE_URL против встроенного blacklist. По реверсу (LegitMichel777, Thereallo, Adnane Khan, Vincent Schmalbach) — 147 записей: домены китайских tech-гигантов (Alibaba, Baidu, ByteDance), ключевые слова AI-лабораторий (DeepSeek, Moonshot, Zhipu, MiniMax, Baichuan, StepFun, 01.AI) и известные API-прокси/реселлеры. Список: XOR-шифрование (ключ 91) + Base64.

Шаг 2 — стеганографическое кодирование. При совпадении китайского TZ формат даты в system prompt меняется с 2026-06-30 (дефис) на 2026/06/30 (слэш). Стандартный апостроф в Today's date is заменяется на 3 визуально неотличимых Unicode-варианта — три булевых флага: «TZ hit / domain hit / AI-lab keyword hit».

Шаг 3 — covert channel. 1 бит формата даты + 3 варианта апострофа кодируют ~3 bit контекста окружения внутри обычной английской фразы; сервер Anthropic парсит на каждом запросе. Adnane Khan: a covert information channel embedded in system prompts.

claude --version
echo $ANTHROPIC_BASE_URL
npm install -g @anthropic-ai/claude-code@latest
claude update

МИИТ / NVDB: квалификация «риск бэкдора, угроза серьёзная»; встроенный мониторинг без согласия передаёт геолокацию и идентификаторы на удалённый сервер; рекомендации — инвентаризация dev-терминалов → удаление или обновление → усиление контроля исходящего трафика в критических сегментах.

Anthropic / Thariq Shihipar (X): «This is an experiment we launched in March that was meant to prevent account abuse from unauthorized resellers and protect against distillation... this should be fully rolled back in tomorrow's release.» — «эксперимент», не «бэкдор»; акцент на анти-реселл и анти-дистилляцию. Контекст: письмо в банковский комитет Сената США — команда Qwen Alibaba якобы использовала ~25 000 мошеннических аккаунтов, 28,8 млн взаимодействий для кражи возможностей Claude.

Alibaba: по SCMP, Ars Technica — внутреннее уведомление: Claude Code в списке «ПО высокого риска»; с 10 июля 2026 полный запрет Claude Code и продуктов Anthropic (Sonnet, Opus, Fable и др.), переход на Qoder.

Расширенный контекст: дистилляционная война США–Китай. Не изолированный инцидент. Anthropic давно блокирует прямой доступ из Китая и «враждебных регионов»; обход — VPN, зарубежные карты, сторонние прокси. В феврале 2026 исследователи Пекинского университета и CAS заявили о следах дистилляции зарубежных моделей в большинстве китайских LLM. Anthropic ранее обвиняла DeepSeek, Moonshot, MiniMax, Alibaba в несанкционированном обучении на выходах Claude. Claude Opus 4.8 в тестах «ошибочно идентифицировал себя как Qwen / DeepSeek» — «закладка для идентификации китайских пользователей» выглядит особенно неловко. Китайские компании уходят в собственные/открытые стеки (DeepSeek, Qwen, Kimi/Moonshot, Zhipu, MiniMax); Qoder Alibaba — конкретное воплощение тренда.

Чеклист индивидуального разработчика:

Чеклист корпоративного IT:

Источники: IT之家, 新京报, 36氪, Tencent Cloud Dev Community (китайский); CNBC, The Register, TechCrunch, Ars Technica, Thereallo, Vincent Schmalbach, Cybernews (английский).

Дисклеймер: материал основан на публикации NVDB МИИТ и открытых СМИ; технический и комплаенс-ориентированный обзор, не юридическое заключение и не результат аудита безопасности.

Разложим альтернативы: продолжать затронутую версию Claude Code на личном Mac — нераскрытая логика отпечатков и комплаенс-риск не поддаются аудиту; полная зависимость от реселлеров Claude — долгий exposure к гео- и конкурентному fingerprinting; виртуализированный macOS для агентов — нарушение EULA Apple, ограничения подписи Xcode. Для продакшен-сред AI-агентов с iOS CI/CD, полным root и стабильностью 7×24 аренда выделенного Mac Mini M4 в облаке KVMNODE — обычно оптимальный путь: 100% физическое железо, открытый sudo, гибкие дневные/недельные/месячные условия; agent-workflow в изолированной аудируемой среде, исходящий трафик под контролем. Цены, оформить заказ, центр помощи.