Anthropic hat letzte Woche einen heimlichen Tracker aus seinem Claude Code Dienst entfernt, nachdem ein Sicherheitsforscher den verborgenen Code aufgedeckt hatte. Der Tracker überwachte Nutzer in China und sammelte Informationen über ihre Zeitzone, Proxys und mögliche Verbindungen zu chinesischen KI-Laboren, die Anthropic der Destillationsangriffe beschuldigt.
Details zum Tracking-Experiment
Der Webentwickler „Thereallo“ entdeckte den Tracker, der mittels einer Methode namens „Prompt-Steganographie“ in Claude Code versteckt war. Dieser Code war nicht bösartig, aber er sendete Informationen an Anthropic, die Nutzer normalerweise nicht bemerkt hätten.
Thariq Shihipar, Ingenieur bei Anthropic, bestätigte auf X, dass der Tracker im März als „Experiment“ in Claude Code integriert wurde. Laut Shihipar sollte der Code „Konto-Missbrauch durch nicht autorisierte Wiederverkäufer verhindern und vor Destillation schützen“. Es wurde festgestellt, dass nicht autorisierte Händler Zugänge zu kostenlosen Modellen für 1 US-Dollar pro Monat und Pro-Abonnements, die 100 US-Dollar kosten, für nur 12 US-Dollar verkauften.
Shihipar erklärte weiter, dass Anthropic den Code ohnehin entfernen wollte, da „stärkere Gegenmaßnahmen“ entwickelt worden seien.
Kritik und Kontext der Überwachung
Datenschutzbefürworter kritisierten die Erklärung und warnten, dass der Code beweise, dass Anthropic bereit sei, Grenzen bei der Nutzerüberwachung zu überschreiten. Dies überrascht, da Anthropic zuvor der US-Regierung die Nutzung von Claude zur Überwachung von US-Nutzern verweigerte und das Weiße Haus deswegen verklagte.
Der Vorfall deutet darauf hin, dass US-Firmen wie Anthropic „zunehmend aggressive Maßnahmen“ ergreifen, um chinesische KI-Firmen am Kopieren ihrer Modelle zu hindern. Chinesische Firmen haben in den letzten Monaten die Fähigkeiten von US-Modellen oft innerhalb weniger Monate erreicht. Ein Beispiel ist ein neues, kostenloses KI-Modell des chinesischen Unternehmens Zhipu AI, das sich als effektiver beim Auffinden von Computer-Schwachstellen erwies als Anthropic’s Claude Opus 4.8.
US-China KI-Wettbewerb und Destillation
Um einen Vorsprung von 12 bis 24 Monaten für die USA zu sichern, fordert Anthropic verstärkte Interventionen der US-Regierung. Dazu gehören mögliche Sanktionen gegen Destillationsangriffe, wie die Blockierung des Zugangs zu fortschrittlichen Modellen, Chips und Rechenzentren in den USA.
Obwohl Destillation, das millionenfache Abfragen von Modellen zur Beschleunigung der Entwicklung eigener Modelle, nicht illegal ist (und auch von führenden US-Firmen praktiziert wird), verstößt es gegen Anthropic’s Nutzungsbedingungen. Anthropic hat sich OpenAI angeschlossen und fordert die USA auf, Destillationsangriffe als Diebstahl geistigen Eigentums zu betrachten.
Forschungsergebnisse untermauern die Bedenken: Chinesische Forscher der Peking Universität und der staatlich finanzierten Chinesischen Akademie der Wissenschaften entwickelten Methoden zum Nachweis von Destillation. Sie fanden „erhebliche Beweise“ für Destillation in den meisten chinesischen Modellen, primär von US-Modellen. Eines von Alibaba’s Qwen AI-Modellen imitierte Claude wiederholt und identifizierte sich in intensiven Tests manchmal sogar selbst als Claude.
Alibabas Reaktion auf den Tracker
Als direkte Reaktion auf die Nachrichten über den Tracker verbot Alibaba seinen Mitarbeitern letzte Woche die Nutzung von Claude Code für die Arbeit. Ein internes Memo, das vom South China Morning Post eingesehen wurde, erklärte, dass Claude Code wegen „Backdoor-Risiken“ und „Sicherheitslücken“ in die Liste der Hochrisiko-Software aufgenommen wurde.
Für Alibaba birgt die Missachtung von Anthropic’s Bemühungen, Nutzer mit Verbindungen zu führenden chinesischen KI-Laboren zu identifizieren, erhebliche Risiken. Im Gegensatz zu Einzelnutzern, die günstig technische Umgehungslösungen nutzen können, könnte Alibaba bei Verstößen gegen Anthropic’s Bedingungen rechtlichen und Compliance-Risiken ausgesetzt sein.
Kritik an mangelnder Transparenz
Der Webentwickler „Thereallo“ kritisierte, dass Anthropic sich für ein geheimes Vorgehen entschieden habe, anstatt Nutzer transparent über die Datenerfassung zu informieren. Er betonte, dass derartige Funktionen klar dokumentiert und in Release Notes aufgeführt werden sollten. Die Geheimhaltung untergrabe das Vertrauen in die Datenschutzbehauptungen des Unternehmens, insbesondere da Coding-Agenten bereits „auf der falschen Seite einer beängstigenden Grenze“ agieren, indem sie Code inspizieren und sensible Informationen verarbeiten können.
Thema: Anthropic. Quelle/Inspiration: Ars Technica.