Claude Code、システムプロンプト内に接続経路を隠しマークする挙動

独立系開発者 Thereallo の調査により、AnthropicのAIコーディング支援ツール「Claude Code」がシステムプロンプトの日付テキストの中に、目立たない形（ステガノグラフィー）でリクエスト元のタイムゾーンやドメイン情報を記録・送信していることが判明しました。これは、許可されていないプロキシやAPI転売サービス、他社モデルの学習にClaude Codeの出力が「蒸留（distillation）」されるのを防ぐ目的と推測されています。

1. 隠しマーキングの仕組み

Thereallo氏がローカルにインストールされた「Claude Code 2.1.196」を分析したところ、システムプロンプト内の「Today's date is 2026-06-30.」のテキスト表記を変化させるロジックが確認されました。例えば、タイムゾーンが「Asia/Shanghai」または「Asia/Urumqi」の場合、日付の区切り文字が「-」から「/」へと変更されます。また、接続元のホスト名に「DeepSeek」「Moonshot」「Zhipu」などの特定キーワードが含まれる場合、「Today's」のアポストロフィが視覚的に極めて類似した代替文字（\u2019 や \u02BC など）に置き換えられます。

2. 制限された適用条件と隠蔽処理

このマーキングコードは、標準的なAnthropicのAPIに接続する場合にはスキップされ、通常のフォーマットが送信されます。影響を受けるのは、ローカルプロキシ、モデルルーター、社内ゲートウェイ、API転売サービスといった非標準のルートを介した接続です。これら判別用のドメインリストなどは、バイナリ内でBase64やXORによって難読化されていました。

3. 開発者コミュニティの反応

Thereallo氏は、このマーキング自体はホスト名やタイムゾーンを偽装することやバイナリの改変によって比較的容易に回避できると指摘しています。そのため、悪意ある転売業者よりも、正当な理由で独自ゲートウェイ等を使用する一般の開発者が不利益を被りやすい状況になっており、秘密裏な検出ではなく公式ドキュメントで開示されるべきだという意見が出されています。

今回の調査は、クローズドモデル提供企業が自社プロダクトのデータ保護やAPIライセンス違反の検出に高度な追跡技術（プロンプトステガノグラフィー）を導入している実態を浮き彫りにしました。ローカル環境に深くアクセスするデベロッパーツールであるため、ユーザーの信頼を得るにはより高い透明性が求められています。

引用元：GIGAZINE