Hier, certains internautes ont remarqué qu'il y avait du code obscurci caché dans Claude Code pour détecter le fuseau horaire du système et l'URL du point de terminaison de l'API. Cette détection s'adresse principalement aux utilisateurs chinois, notamment aux développeurs chinois ordinaires et aux sociétés chinoises d'IA. Par exemple, s'il est détecté que le développeur a configuré des adresses API telles que Dark Side of the Moon dans Claude Code, les informations pertinentes seront automatiquement ajoutées au mot d'invite du système, puis envoyées au serveur de la société A.
L'entreprise A peut effectuer un traitement ciblé en fonction des mots d'invite reçus par le serveur, par exemple en réduisant l'intelligence du modèle ou en ralentissant le taux de génération. Bien entendu, il peut également être utilisé pour identifier le compte d'abonnement Claude Pro/Max de la station de transfert API puis le bannir. Cependant, le code caché par la société A est trop sombre, c'est pourquoi les internautes qui ont publié ce message ont déclaré qu'il ressemblait même à une porte dérobée et ont appelé la société A à accroître la transparence.
Après avoir attiré l'attention de la communauté, la société A a annoncé qu'elle supprimerait le code demain :
À l'heure actuelle, le code de détection caché de Claude Code a attiré une attention considérable dans la communauté, c'est pourquoi les ingénieurs de la société A ont publié une réponse disant qu'ils annuleraient la suppression du code. La raison pour laquelle le code peut être supprimé maintenant est que la société A a déployé un mécanisme de détection plus puissant. Quant au type de mécanisme de détection dont il s'agit, il est temporairement inconnu, mais compte tenu de la situation actuelle d'interdiction de compte, le nouveau mécanisme de détection mis en œuvre par la société A est nettement plus strict.
Un ingénieur de la société A a répondu comme suit : Il s’agit d’une expérience que nous avons lancée en mars pour empêcher les revendeurs non autorisés d’abuser de leurs comptes et prévenir les attaques par distillation. Depuis lors, l'équipe a mis en œuvre des mesures d'atténuation plus strictes et nous prévoyons d'annuler cette expérience depuis un certain temps. Nous avons fusionné le PR et cela devrait être entièrement annulé dans la version de demain.
Les utilisateurs de la communauté se sont plaints du fait que l'entreprise A utilisait les expériences comme excuse :
De nombreux développeurs considèrent Claude Code comme leur principal outil de productivité. La société A a directement ajouté un mécanisme de détection similaire au code de porte dérobée à Claude Code sans faire d'annonce ni le noter dans l'accord de confidentialité. Maintenant qu’il a été découvert, il a utilisé les expériences comme prétexte pour réduire l’impact. Les utilisateurs de la communauté estiment qu'il s'agit d'un comportement très irresponsable. Bien que Claude Code ne cible cette fois que les utilisateurs chinois, si l'entreprise A le souhaite, elle peut également utiliser ce mécanisme pour identifier et cibler d'autres groupes d'utilisateurs différents. Il s’agit d’une approche très contraire à l’éthique et dangereuse.