Steganographie: Claude Code fügt kaum sichtbare Marker in Prompts ein
Unicode kennt eine Reihe von Zeichen, die annähernd identisch aussehen. Die nutzt Anthropic bei Claude Code, um über den System-Prompt Informationen zu Nutzern an die Server des Unternehmens zu übertragen, wie ein Entwickler bei der Analyse des Codes herausfand(öffnet im neuen Fenster). Zur Codierung werden ein Apostroph sowie die Zahlentrennzeichen in der Zeichenkette, welche das Datum überträgt, verwendet.
Normalerweise werden die einzelnen Zahlen des Datums durch Bindestriche getrennt (2026-07-01). Ist auf dem System von Nutzern allerdings die Zeitzone Asia/Shanghai oder Asia/Urumqi (Ürümqui(öffnet im neuen Fenster) ist die Hauptstadt der Provinz Xinjiang) gesetzt, wird stattdessen ein Schrägstrich (Slash) verwendet (2026/07/01). Darüber hinaus analysiert der Code die Host-Domain des Rechners.
Diese wird mit zwei obfuskierten Listen an Domains verglichen, die einen Hinweis auf den Hintergrund der Maßnahme geben: Hier tauchen eine Reihe chinesischer KI-Entwickler auf, neben Alibaba Deepseek, Minimax und Moonshot. Ihnen allen warf Anthropic bereits Destillationsangriffe auf seine Modelle vor. Daneben will das Unternehmen wohl auch Weiterleitungen von Resellern und Gateways erkennen, möglicherweise mit dem gleichen Hintergrund.
Passt der Hostname zu mindestens einer der Listen, wird dies über drei dem Apostroph ähnliche Zeichen im Datum (Today's date is 2026-07-01.) markiert. Andernfalls findet sich dort das normale Apostroph, die minimalen Unterschiede sind kaum erkennbar.
Vertrauensbruch?
Wie effektiv Anthropics Markierungen sind, ist fraglich, da sie leicht zu umgehen sind. Auch ernsthaften Angreifern wären die Markierungen wohl früher oder später aufgefallen.
Der Entwickler, der sie entdeckte, hat aber noch einen ganz anderen Kritikpunkt: Er sieht die heimliche Markierung als Vertrauensbruch. Anthropic habe das Recht, Verstöße gegen seine Nutzungsbedingungen und Destillationsversuche zu erkennen. Dies ohne Information der Nutzer zu tun, missbrauche aber deren Vertrauen. Seiner Meinung nach würden mit der Maßnahme hauptsächlich Nutzer ohne böswillige Absichten erfasst, eben weil sie leicht zu entdecken und zu umgehen ist.
Die Nutzung von Zeichen mit kaum erkennbaren Unterschieden ist im KI-Kontext nicht neu: Googles SynthID nutzt dies, um KI-generierte Texte zu kennzeichnen, auch ChatGPT hinterließ zeitweise solche Marker in generierten Texten.
- Anzeige Hier geht es zu Künstliche Intelligenz: Wissensverarbeitung bei Amazon Wenn Sie auf diesen Link klicken und darüber einkaufen, erhält Golem eine kleine Provision. Dies ändert nichts am Preis der Artikel.