Esteganografía de Claude Code y modelo de riesgo en 4 capas de Anthropic

1. Análisis del incidente de esteganografía en Claude Code

En abril de 2026, la ingeniería inversa del CLI oficial @anthropic-ai/claude-code reveló que, cuando los usuarios enrutaban solicitudes por un endpoint no oficial mediante ANTHROPIC_BASE_URL, el CLI ejecutaba lógica de detección del lado del cliente sin divulgación al usuario:

• Comprobación de zona horaria: evaluaba si la zona horaria del sistema era Asia/Shanghai o Asia/Urumqi. Si coincidía, el separador de fecha en la línea del system prompt Today's date is 2026-06-30 pasaba de guiones a barras: 2026/06/30.
• Lista negra de host y palabras clave de laboratorios: cruzaba el host del proxy con una lista en base64 de más de 147 dominios cifrada con XOR (clave: 91) y palabras clave de laboratorios de IA chinos (p. ej. deepseek, moonshot, zhipu, minimax, dashscope, *.cn).
• Sustitución de apóstrofo Unicode: modificaba el apóstrofo en "Today's date" usando variantes Unicode similares visualmente:
  • Host coincide con lista de dominios de revendedores → reemplazo por U+2019 (’ Right Single Quotation Mark)
  • Host coincide con palabras clave de laboratorios de IA → reemplazo por U+02BC (Modifier Letter Apostrophe)
  • Coinciden ambos → reemplazo por U+02B9 (Modifier Letter Prime)

Esta carga esteganográfica sobrevivió al reenvío por proxy, permitiendo a los clasificadores del backend de Anthropic rastrear campañas de destilación y reventa comercial no autorizada sin añadir encabezados HTTP explícitos.

Salvaguardas del entorno y mitigaciones

# 1. Tell client to treat custom endpoint as first-party
export _CLAUDE_CODE_ASSUME_FIRST_PARTY_BASE_URL=1

# 2. Override system timezone for CLI executions
export TZ=Asia/Tokyo

# Launch Claude Code
claude

2. Modelo de control de riesgo en cuatro capas de Anthropic

Anthropic aplica un pipeline integral de seguridad contra abuso y destilación en claude.ai, endpoints de API y Claude Code:

1. Capa de red e IP: rangos de IP de datacenter (AWS, Hetzner, DigitalOcean, Linode) reciben puntuaciones de riesgo altas. IP residenciales dedicadas con doble ISP en regiones admitidas (EE. UU., Reino Unido, SG, JP, TW) llevan el riesgo más bajo.
2. Huella de navegador y dispositivo: combina zona horaria del SO (Intl.DateTimeFormat), lista de idiomas del navegador (navigator.languages), sondeo de ancho de Canvas para fuentes chinas (Microsoft YaHei, PingFang SC, MiSans) y encabezados User-Agent CH.
3. Capa de pago e identidad: BIN de tarjetas virtuales de alto riesgo (p. ej. BIN de prepago sobreemitidos), países de dirección de facturación desajustados y números de teléfono virtuales VoIP activan cancelación instantánea de suscripción o rechazo de pago.
4. Clasificadores de comportamiento y destilación: scripts automatizados que envían millones de prompts repetitivos, saturaciones de ventana de contexto de alta frecuencia y uso indebido de prompt caching activan bloqueos automáticos de cuenta y cuotas de organización.