Alibaba prohíbe Claude Code por seguimiento oculto de usuarios chinos

      TL;DRAlibaba prohibió Claude Code después de que investigadores de seguridad descubrieran que Anthropic había incrustado un código de seguimiento esteganográfico para identificar a los usuarios chinos. La prohibición sigue a la acusación de Anthropic de que Alibaba llevó a cabo el ataque de destilación más grande conocido en sus modelos.

      Alibaba ha prohibido a sus empleados usar Claude Code, el agente de codificación impulsado por IA de Anthropic, después de que investigadores de seguridad descubrieran que la herramienta contenía un código oculto diseñado para identificar a los usuarios chinos. La prohibición, efectiva desde el 10 de julio, sigue a semanas de conflicto creciente entre las dos empresas por las acusaciones de que Alibaba robó las capacidades de IA de Anthropic a través de la destilación a escala industrial.

      “Como se descubrió recientemente que Claude Code presentaba riesgos de puerta trasera, después de una evaluación exhaustiva, Claude Code ha sido añadido a una lista de software de alto riesgo con vulnerabilidades de seguridad”, dijo Alibaba en un aviso interno reportado por el South China Morning Post. La empresa recomendó a los empleados usar Qoder, su propia plataforma de agentes de codificación, como sustituto.

      Cómo funcionaba el seguimiento

      Un usuario de Reddit identificado como LegitMichel777 realizó ingeniería inversa de Claude Code el 30 de junio y encontró un código ofuscado que había estado presente silenciosamente desde la versión 2.1.91, lanzada el 2 de abril, sin mención en las notas de lanzamiento. El código verificaba si la zona horaria del sistema de un usuario estaba configurada en Asia/Shanghai o Asia/Urumqi y escaneaba URLs de proxy contra una lista codificada de dominios chinos y direcciones de laboratorios de IA.

      En lugar de registrar los resultados de manera convencional, el sistema utilizó esteganografía para ocultar sus señales en el aviso del sistema enviado de vuelta a los servidores de Anthropic. Si la zona horaria era china, el formato de la fecha cambiaba de guiones a barras, y el apóstrofe en “La fecha de hoy es” se intercambiaba por uno de tres caracteres Unicode visualmente idénticos pero técnicamente distintos, dependiendo de qué banderas se activaran.

      Las alteraciones son invisibles para los usuarios humanos y potencialmente incluso para el propio modelo de IA, pero son analizables por las máquinas en los servidores de Anthropic. Partes del código de detección fueron ofuscadas con XOR con la clave 91, una técnica utilizada para prevenir la extracción de texto plano durante el análisis del código.

      La respuesta de Anthropic

      Thariq Shihipar, un ingeniero de Anthropic en el equipo de Claude Code, dijo en X que el seguimiento era “un experimento que lanzamos en marzo que estaba destinado a prevenir el abuso de cuentas por revendedores no autorizados y proteger contra la destilación”. Dijo que el equipo había estado “pensando en eliminar esto durante un tiempo” y que la solicitud de extracción para quitarlo fue fusionada el 1 de julio.

      La reversión coincidió con la restauración de los modelos Fable 5 y Mythos 5 de Anthropic, que el Departamento de Comercio de EE. UU. había ordenado desactivar para todos los nacionales extranjeros a mediados de junio después de que investigadores de Amazon encontraran una vulnerabilidad de jailbreak. Los controles de exportación fueron levantados el 30 de junio, y Anthropic restauró el acceso el 2 de julio, diciendo que “aumentaría la colaboración gubernamental” en la seguridad de la IA de frontera.

      El contexto de la destilación

      La justificación de Anthropic para el código de seguimiento se sitúa dentro de una campaña más amplia contra lo que llama robo sistemático de las capacidades de sus modelos. En una carta al Comité Bancario del Senado de EE. UU. el 10 de junio, la empresa acusó a operadores afiliados con el laboratorio de IA Qwen de Alibaba de llevar a cabo el ataque de destilación más grande conocido en Claude, utilizando aproximadamente 25,000 cuentas fraudulentas para generar 28.8 millones de intercambios entre abril y junio.

      Alibaba ha negado la acusación. Anthropic había nombrado previamente a DeepSeek, Moonshot AI y MiniMax en febrero como perpetradores de campañas similares, enmarcando la destilación como una amenaza existencial para los modelos de negocio de las empresas de IA de frontera.

      La práctica de la destilación, que consiste en utilizar las salidas de un modelo poderoso para entrenar a uno más pequeño, ocupa un área gris en el desarrollo de IA. Las startups de IA asiáticas han lanzado alternativas a los modelos de Anthropic en parte porque la prohibición de exportación sobre Fable 5 y Mythos 5 dejó un vacío en el mercado, haciendo que la línea entre competencia legítima y extracción ilícita sea cada vez más difícil de trazar.

      El problema de confianza de los desarrolladores

      Claude Code requiere acceso profundo al sistema de archivos local de un desarrollador para leer, modificar y ejecutar código, lo que significa que cualquier funcionalidad oculta en la herramienta tiene acceso efectivo a todo en la máquina. Huorong Security, una firma de ciberseguridad china, dijo que el seguimiento de Anthropic no solo era un problema de transparencia, sino que también planteaba preocupaciones sobre el cumplimiento de datos transfronterizos.

      “Hoy es una verificación de zona horaria, mañana podría ser sabotaje del sistema o exfiltración de datos”, escribió un usuario de Reddit. La política de privacidad de Anthropic establece que recopila el tipo de datos en cuestión, pero los críticos argumentan que el método esteganográfico, diseñado para ser invisible para los usuarios, cruza una línea que una divulgación de privacidad estándar no cruza.

      El panorama general

      El episodio acelera el impulso de China para reducir la dependencia de herramientas de IA estadounidenses, que las empresas chinas ven cada vez más como portadoras de riesgos legales, de seguridad y operativos. Alibaba ha estado construyendo agresivamente su propia pila de IA, integrando sus modelos Qwen en productos que van desde el comercio electrónico hasta la robótica, y la prohibición de Claude Code le da más justificación para empujar a los empleados hacia alternativas nacionales.

      Lizzi Lee, una becaria en el Centro de Análisis de China del Asia Society Policy Institute, dijo que el conflicto mostró cómo la competencia en IA entre EE. UU. y China ha pasado más allá de la tecnología hacia el control de acceso y la soberanía. “Si una herramienta de codificación de IA de EE. UU. puede detectar el uso chino o el acceso a través de proxy, entonces no es sorprendente que las principales empresas tecnológicas chinas no quieran que sus empleados la usen internamente”, dijo.

      Los modelos de Anthropic han estado oficialmente inaccesibles en China durante mucho tiempo, pero siguen siendo populares entre los desarrolladores nacionales que utilizan soluciones alternativas para mantener el acceso. Si la controversia sobre el seguimiento empuja a más de ellos hacia alternativas chinas o simplemente confirma lo que muchos ya sospechaban sobre los riesgos de depender de herramientas de IA estadounidenses es una pregunta que va más allá de Alibaba.