Alibaba vieta Claude Code per il tracciamento nascosto degli utenti cinesi

      TL;DRAlibaba ha vietato Claude Code dopo che i ricercatori di sicurezza hanno scoperto che Anthropic aveva incorporato un codice di tracciamento steganografico per identificare gli utenti cinesi. Il divieto segue l'accusa di Anthropic secondo cui Alibaba ha condotto il più grande attacco di distillazione noto sui suoi modelli.

      Alibaba ha vietato ai propri dipendenti di utilizzare Claude Code, l'agente di codifica alimentato dall'IA di Anthropic, dopo che i ricercatori di sicurezza hanno scoperto che lo strumento conteneva un codice nascosto progettato per identificare gli utenti cinesi. Il divieto, in vigore dal 10 luglio, segue settimane di conflitto crescente tra le due aziende riguardo alle accuse che Alibaba abbia rubato le capacità di IA di Anthropic attraverso la distillazione su scala industriale.

      “Poiché Claude Code è stato recentemente scoperto contenere rischi di backdoor, dopo una valutazione completa, Claude Code è stato ora aggiunto a un elenco di software ad alto rischio con vulnerabilità di sicurezza,” ha dichiarato Alibaba in un avviso interno riportato dal South China Morning Post. L'azienda ha raccomandato ai dipendenti di utilizzare Qoder, la propria piattaforma di agenti di codifica, come sostituto.

      Come funzionava il tracciamento

      Un utente di Reddit identificato come LegitMichel777 ha ingegnerizzato inversamente Claude Code il 30 giugno e ha trovato codice offuscato che era silenziosamente presente dalla versione 2.1.91, rilasciata il 2 aprile, senza alcuna menzione nelle note di rilascio. Il codice controllava se il fuso orario del sistema di un utente era impostato su Asia/Shanghai o Asia/Urumqi e scansionava gli URL dei proxy contro un elenco hardcoded di domini cinesi e indirizzi di laboratori di IA.

      Invece di registrare i risultati in modo convenzionale, il sistema utilizzava la steganografia per nascondere i suoi segnali nel prompt di sistema inviato ai server di Anthropic. Se il fuso orario era cinese, il formato della data cambiava da trattini a barre, e l'apostrofo in “La data di oggi è” veniva sostituito con uno dei tre caratteri Unicode visivamente identici ma tecnicamente distinti a seconda di quali flag venivano attivati.

      Le alterazioni sono invisibili agli utenti umani e potenzialmente anche al modello di IA stesso, ma sono leggibili dalle macchine dai server di Anthropic. Parti del codice di rilevamento erano XOR-offuscate con la chiave 91, una tecnica utilizzata per prevenire l'estrazione in chiaro durante l'analisi del codice.

      La risposta di Anthropic

      Thariq Shihipar, un ingegnere di Anthropic del team di Claude Code, ha dichiarato su X che il tracciamento era “un esperimento che abbiamo lanciato a marzo che mirava a prevenire l'abuso degli account da parte di rivenditori non autorizzati e a proteggere contro la distillazione.” Ha detto che il team aveva “intenzione di rimuoverlo da un po'” e che la richiesta di pull per rimuoverlo è stata unita il 1 luglio.

      Il rollback è coinciso con il ripristino dei modelli Fable 5 e Mythos 5 di Anthropic, che il Dipartimento del Commercio degli Stati Uniti aveva ordinato all'azienda di disabilitare per tutti i cittadini stranieri a metà giugno dopo che i ricercatori di Amazon avevano trovato una vulnerabilità di jailbreak. I controlli all'esportazione sono stati revocati il 30 giugno, e Anthropic ha ripristinato l'accesso il 2 luglio, affermando che avrebbe “aumentato la collaborazione con il governo” sulla sicurezza dell'IA di frontiera.

      Il contesto della distillazione

      La giustificazione di Anthropic per il codice di tracciamento si inserisce in una campagna più ampia contro quello che chiama furto sistematico delle capacità dei suoi modelli. In una lettera al Comitato Bancario del Senato degli Stati Uniti del 10 giugno, l'azienda ha accusato operatori affiliati con il laboratorio di IA Qwen di Alibaba di aver condotto il più grande attacco di distillazione noto su Claude, utilizzando circa 25.000 account fraudolenti per generare 28,8 milioni di scambi tra aprile e giugno.

      Alibaba ha negato l'accusa. Anthropic aveva precedentemente nominato DeepSeek, Moonshot AI e MiniMax a febbraio come autori di campagne simili, inquadrando la distillazione come una minaccia esistenziale ai modelli di business delle aziende di IA di frontiera.

      La questione della fiducia degli sviluppatori

      Claude Code richiede un accesso profondo al file system locale di uno sviluppatore per leggere, modificare ed eseguire codice, il che significa che qualsiasi funzionalità nascosta nello strumento ha effettivamente accesso a tutto sulla macchina. Huorong Security, una società cinese di cybersecurity, ha dichiarato che il tracciamento di Anthropic non era solo una questione di trasparenza, ma sollevava anche preoccupazioni sulla conformità ai dati transfrontalieri.

      “Oggi è un controllo del fuso orario, domani potrebbe essere sabotaggio del sistema o esfiltrazione di dati,” ha scritto un utente di Reddit. La politica sulla privacy di Anthropic afferma che raccoglie il tipo di dati in questione, ma i critici sostengono che il metodo steganografico, progettato per essere invisibile agli utenti, supera una linea che una divulgazione standard sulla privacy non attraversa.

      Il quadro generale

      L'episodio accelera la spinta della Cina a ridurre la dipendenza dagli strumenti di IA americani, che le aziende cinesi vedono sempre più come portatori di rischi legali, di sicurezza e operativi. Alibaba ha costruito aggressivamente il proprio stack di IA, integrando i suoi modelli Qwen in prodotti che vanno dall'e-commerce alla robotica, e il divieto di Claude Code le fornisce ulteriori giustificazioni per spingere i dipendenti verso alternative domestiche.

      Lizzi Lee, una ricercatrice presso il Centro per l'Analisi della Cina dell'Asia Society Policy Institute, ha dichiarato che il conflitto ha mostrato come la competizione tra Stati Uniti e Cina nell'IA sia passata oltre la tecnologia, entrando nel controllo degli accessi e nella sovranità. “Se uno strumento di codifica IA americano può rilevare l'uso cinese o l'accesso tramite proxy, allora non sorprende che le principali aziende tecnologiche cinesi non vogliano che i dipendenti lo utilizzino internamente,” ha detto.

      I modelli di Anthropic sono stati a lungo ufficialmente inaccessibili in Cina, ma rimangono popolari tra gli sviluppatori domestici che utilizzano soluzioni alternative per mantenere l'accesso. Se la controversia sul tracciamento spinga più di loro verso alternative cinesi o semplicemente confermi ciò che molti già sospettavano sui rischi di dipendere dagli strumenti di IA americani è una questione che si estende ben oltre Alibaba.