Claude Codeがユーザーの接続経路を「日付の書式を変更する」という手法で記録していたとの指摘、「2026-06-30」「2026/06/30」といった書式の違いで見分ける仕組み

AnthropicのAIコーディングツール「Claude Code」が送信するシステムプロンプト内の日付文に目立たない文字の違いを埋め込み、APIの接続先やタイムゾーンに応じてリクエストに目印を付けていたとの調査結果が公開されました。調査した個人開発者のThereallo氏は仕組みを「プロンプト・ステガノグラフィー」と表現しています。

Claude Code Is Steganographically Marking Requests
https://thereallo.dev/blog/claude-code-prompt-steganography

Claude CodeはターミナルやIDEから利用できるAIコーディング支援ツールで、コードベースを読み取り、ファイルを編集し、コマンドを実行し、開発ツールと連携できます。便利な反面、開発者のローカル環境に深く入り込むツールでもあるため、ユーザーから見えない挙動には特に高い透明性が求められます。

Thereallo氏が調査したのはClaude Code 2.1.196のローカルインストール版です。Claude Codeの内部には、システムプロンプトに挿入される「Today's date is 2026-06-30.」という日付文を変更する処理が含まれていたとのこと。通常のユーザーには単なる日付表示に見えますが、実際には日付の区切り文字や「Today's」のアポストロフィーの種類を変えることで、リクエストに目印を付けられる仕組みだったと説明されています。

例えばシステムのタイムゾーンが「Asia/Shanghai」または「Asia/Urumqi」の場合、日付表記が「2026-06-30」から「2026/06/30」に変わります。また、ホスト名が特定のドメイン一覧に含まれるか、DeepSeekやMoonshot、Zhipuなど特定のAI関連キーワードを含むかなど条件に応じて、「'(アポストロフィー)」が見た目の似た「’(\u2019)」「ʼ(\u02BC)」「ʹ(\u02B9)」に置き換わる仕組みでした。

Claude Codeが標準のAnthropic APIに接続している場合にはこの処理は早期に終了し、通常の日付文が使われます。影響を受ける可能性があるのは、社内ゲートウェイ、ローカルプロキシ、モデルルーター、再販サービス、研究用の独自経路などを通してClaude Codeを利用するケースだとみられています。

Anthropic側の意図についてThereallo氏は、無許可のClaude CodeゲートウェイやAPI再販、ほかのモデルを学習させるために出力を利用する「蒸留」パイプラインを検出したかった可能性があると推測しています。ただしドメイン一覧はBase64とXORで難読化されており、判定結果は明示的なテレメトリ項目ではなく、普通の英語文に見えるシステムプロンプト内へ隠す形で埋め込まれていました。Thereallo氏は悪意のある機能だと断定しているわけではないものの、開発者が信頼して使うツールとしては奇妙な実装だと述べています。

一方でThereallo氏は、この目印を回避するのは難しくないとも指摘しています。ホスト名やタイムゾーンを変更したり、バイナリに手を入れたり、別のプログラムでClaude Codeを包むように実行したりすれば、本格的な悪用者は検出を避けられるため、影響を受けやすいのはむしろ正当な理由で特殊な接続経路を使っている開発者だとのこと。開発者ツールが信頼を得るには目立たない場所で凝ったことをするよりも、検出したい情報を明示し、ドキュメントやリリースノートで説明する方がよかったとThereallo氏は述べています。