Startseite / Blog / Claude Steganografie
ENGINEERING BLOG · 2026.07.03

Claude Code Steganografie:
Anthropics versteckter Unicode-Fingerabdruck erklärt

Wer Claude Code oder die Anthropic-API über Proxy nutzt und sich fragt, ob Claude heimlich trackt, bekommt hier die Kurzfassung: Laut Reverse-Engineering-Berichten Ende Juni 2026 schreibt Claude Code bei gesetztem nicht-offiziellem ANTHROPIC_BASE_URL die System-Prompt-Zeile Today's date is... per Text-Steganografie um — mit für das Auge identischen, Unicode-unterschiedlichen Apostrophen und Datums-Trennzeichen, die China-bezogene Domains, AI-Lab-Keywords und Zeitzonen in jeden Request kodieren. Anthropic entfernte die Logik in 2.1.197. Das Ziel dürfte Anti-Distillation sein; strittig sind Heimlichkeit und Obfuskation. Das unabhängige Claude-Desktop-Browser-Injections-Ereignis vom April 2026 ist davon zu trennen. Dieser Leitfaden liefert Ereignis-Matrix, Unicode-Tabelle, Motivanalyse, sieben Prüfschritte, acht FAQs und verifizierbare Quellenlinks.

01

Die Welle entsteht aus zwei unabhängigen Vorfällen. Wer sie vermischt, verliert bei HN-, Reddit- und Security-Lesern sofort Glaubwürdigkeit.

Ereignis A (stille Browser-Injection) vs. Ereignis B (System-Prompt-Steganografie)
Dimension Ereignis A: Stille Browser-Injection Ereignis B: System-Prompt-Steganografie
Produkt Claude Desktop (macOS-Client) Claude Code (CLI-Coding-Tool)
Quelle Alexander Hanff (Privacy-Berater, The Register) Entwickler-Reverse-Engineering auf thereallo.dev, Reddit → HN
Zeitpunkt April 2026 (ca. ab 18.04.) 30. Juni 2026
Kernverhalten Schreibt Native-Messaging-Manifest com.anthropic.claude_browser_extension.json in Chrome/Edge/Brave/Arc; drei Extension-IDs dürfen chrome-native-host außerhalb der Sandbox aufrufen; Verzeichnis wird auch ohne installierten Browser angelegt, nach Löschen bei Neustart wiederhergestellt Bei ANTHROPIC_BASE_URL ≠ api.anthropic.com wird die Zeile Today's date is... per Steganografie umgeschrieben
Label "spyware" / "backdoor" "prompt steganography" / "covert channel"
Trigger Installation/Start von Claude Desktop Nur bei nicht-offiziellem Base URL (Proxy); nicht bei jedem Chat zwingend
Anthropic-Reaktion Keine offizielle Stellungnahme; später Opt-in-Schalter, zugrunde liegendes Rechtemodell angeblich unverändert Code bestätigt, am 01.07. in 2.1.197 entfernt, Changelog schweigt
  • Ereignis A — Reproduktion: Unabhängiger Berater Noah Kenney (Digital 520) bestätigte Hanffs technische Behauptungen; Antiy Labs veröffentlichte eine Risikoanalyse.
  • Ereignis B — Versionen: Logik in 2.1.193 / 2.1.195 / 2.1.196 nachgewiesen; HN-Thread innerhalb weniger Stunden mit 350+ Points und 100+ Kommentaren.
  • Vertrauenskrise: Desktop-AI-Agenten und CLI-Tools mit Systemrechten dürfen ohne informierte Zustimmung und absichtlich verborgen nicht agieren — unabhängig vom Zweck.
  • Modellwahl: Anthropic bleibt in den OpenRouter-Rankings Juni 2026 relevant — doch „API bequem“ und „Tool vertrauenswürdig“ sind getrennte Achsen.

Formulierungen wie „laut Bericht / laut Reverse Engineering / mutmaßlich (alleged)“ bleiben bestehen. Anthropics Anti-Distillation-Zweck und Mittel sind getrennt zu bewerten — strittig sind die Mittel.

02

Voraussetzung: ANTHROPIC_BASE_URL zeigt auf eine nicht-offizielle Adresse (Proxy, Gateway, Reseller, OpenAI-kompatible Schicht). Offiziell api.anthropic.com bleibt unangetastet; normale Claude-Web-Nutzer sind von Ereignis B nicht betroffen.

Nach dem Trigger passieren in der harmlos wirkenden Zeile Today's date is ... zwei Dinge:

  1. Datums-Trennzeichen: Bei Systemzeitzone Asia/Shanghai oder Asia/Urumqi wird 2026-06-30 zu 2026/06/30.
  2. Apostroph-Tausch: Das Apostroph in Today's wird durch optisch gleiche, Unicode-unterschiedliche Zeichen ersetzt und kodiert den Trefferstatus.
Unicode-Fingerabdruck-Mapping im Claude-Code-System-Prompt (laut thereallo.dev)
Erkennungsbedingung Datumsformat Apostroph-Zeichen Unicode
Standard (kein Domain-/Lab-Treffer) 2026-06-30 ' ASCII-Apostroph U+0027
China-Domain/Reseller-Treffer 2026-06-30 ' rechter Anführungsstrich U+2019
AI-Lab-Keywords (deepseek/moonshot/zhipu/minimax/baichuan/stepfun/01ai u. a.) 2026-06-30 ʼ Modifikator-Apostroph U+02BC
Domain und Lab gleichzeitig 2026-06-30 ʹ Modifikator-Winkelminute U+02B9
China-Zeitzone überlagert (Asia/Shanghai / Asia/Urumqi) 2026/06/30 (Apostroph-Regeln wie oben)

Kurz gesagt: Der Request wirkt wie normaler englischer Prompt-Text; das Backend kann allein über Trennzeichen und Apostroph-Unicode taggen — z. B. „VPN im Ausland, aber China-Zeitzone, vermutlich AI-Lab“. Domain-/Keyword-Listen sind mit base64 + XOR(91) leicht obfuskiert, ca. 147 Regeln. Klassischer Covert Channel und Prompt-Steganografie.

check-apostrophe.sh
# Unicode-Codepoint des Apostrophs in Today's prüfen (Beispiel)
echo "Today's date is 2026-06-30" | xxd | grep -A1 "Today"

# Byte-Sequenz außerhalb U+0027 kann Fingerabdruck sein
python3 -c "s=\"Today\u2019s\"; print([hex(ord(c)) for c in s if c in \"'\u2019\u02bc\u02b9\"])"

03

Community-Konsens (relativ zurückhaltend): Ziel ist Anti-Distillation plus Schutz vor unautorisiertem API-Reselling. Anthropic, OpenAI und Google warnen öffentlich vor Massen-API-Outputs zum Training kleinerer Modelle. China-bezogene Proxies, Reseller und Labs standen im Verdacht — daher die Tagging-Logik.

Das Ziel ist nachvollziehbar, die Mittel nicht: Klassifikationssignale unsichtbar und obfuskiert in jeden Request zu legen, verletzt bei einem auf Entwicklervertrauen basierenden Tool eine rote Linie. Auf HN teilt sich die Meinung:

  • „Legitime Anti-Distillation“: Reselling und Distillation sind reale Bedrohungen; Anbieter dürfen Modelle schützen.
  • „Beinahe bösartig für Dev-Tools“: Heimlich, obfuskiert, undisclosed — Entdeckung nur per Binary-Reverse-Engineering darf nicht Default sein.

„Spyware“ ist ein emotional aufgeladenes Label. Präziser:

  • Ereignis A entspricht eher „unautorisierte Manipulation fremder Software plus vorbereitete Angriffsfläche“. Kombiniert mit Anthropics eigenen Prompt-Injection-Raten für Claude for Chrome (ohne Mitigation 23,6 %, mit Mitigation 11,2 %) ist das Risiko konkret.
  • Ereignis B ist „undisclosed heimliche Telemetrie / User-Klassifikation“ — kein klassischer Credential-Diebstahl-Trojaner, sondern ein Covert Channel.

Unabhängig vom Wort „Spyware“ bleibt der Kern: ohne informierte Zustimmung und absichtlich verborgen.

04

  1. ANTHROPIC_BASE_URL prüfen: In Shell-Konfiguration oder .env mit echo $ANTHROPIC_BASE_URL. Leer oder api.anthropic.com → Ereignis B nicht aktiv; Proxy-Nutzer priorisieren.
  2. Claude Code auf 2.1.197+ aktualisieren: Anthropic entfernte die Steganografie am 01.07.2026 (Changelog schweigt — Binary verifizieren).
  3. macOS Native-Messaging-Manifeste prüfen (Ereignis A): Unter ~/Library/Application Support/<Browser>/NativeMessagingHosts/com.anthropic.claude_browser_extension.json — Chrome, Edge, Brave, Arc, Vivaldi, Opera, Chromium.
  4. Gezielt löschen und Wiederauftauchen beobachten: JSON manuell entfernen, Claude Desktop neu starten. Spätere Opt-in-Schalter ändern das Rechtemodell angeblich nicht grundlegend.
  5. Systemzeitzone und Fingerabdruck-Reste: Prüfen, ob Asia/Shanghai / Asia/Urumqi das Datumsformat beeinflussen; bei älteren Versionen Apostroph per Hex-Tools im System-Prompt analysieren.
  6. Enterprise-/Compliance-Minimum (DSGVO-relevant): Claude Desktop und Claude Code als hochprivilegierte Programme behandeln — explizite Freigabe, Netzwerksegmentierung, auditierbare Logs. Wo personenbezogene Prompt-Inhalte über Drittanbieter-Proxies fließen, ist eine DSGVO-konforme Rechtsgrundlage, Datenminimierung und dokumentierte TOMs Pflicht; produktive Agent-Ketten nur nach DPIA-Freigabe. Bewerten, ob Desktop-Agenten in der Produktion bleiben.
  7. Offizielle und Community-Updates verfolgen: Anthropic-Changelog und Security Advisories abonnieren; API-Reseller zu Base-URL-Routing und Compliance-Offenlegung befragen.

05

Zitierbare Kennzahlen (laut öffentlichem Reverse Engineering und Community-Diskussion — vor Veröffentlichung erneut prüfen):

  • Regelumfang: base64 + XOR(91), ca. 147 Domain-/Keyword-Regeln
  • Betroffene Versionen: 2.1.193 / 2.1.195 / 2.1.196 bestätigt; Entfernung in 2.1.197
  • HN-Reichweite: Frontpage in wenigen Stunden, 350+ Points, 100+ Kommentare, stark gespaltene Community
  • Claude for Chrome Prompt Injection: ohne Mitigation 23,6 %, mit Mitigation 11,2 % (Anthropic-eigene Zahlen, relevant für Ereignis A)
  • Native Messaging: drei Extension-IDs mit Zugriff auf chrome-native-host außerhalb der Sandbox; Verzeichnis auch ohne installierten Browser
Ist Claude Code Spyware?

Kein klassischer Spyware-Trojaner, aber undisclosed, obfuskierte Fingerabdrücke im System-Prompt zur Markierung China-bezogener Proxy-Nutzer. Entfernt in 2.1.197. Präziser: „undisclosed Covert Channel“ statt Credential-Diebstahl.

Erkennt Claude Code meine Zeitzone?

Laut Reverse Engineering prüft es Asia/Shanghai / Asia/Urumqi — aber nur bei nicht-standardmäßigem ANTHROPIC_BASE_URL. Offizieller Endpoint: Datumszeile unverändert.

Was ist der Today's-date-Apostroph-Unicode-Trick?

Das Apostroph in Today's wechselt zwischen U+0027, U+2019, U+02BC, U+02B9 und kodiert, ob China-Domains, AI-Lab-Keywords, beides oder nichts getroffen wurde.

Warum hat Anthropic das eingebaut?

Mainstream-Interpretation: Distillation und unautorisiertes API-Reselling erkennen — legitimes Ziel, undisclosed und versteckte Umsetzung löste Vertrauenskrise aus.

Ist das dasselbe wie der Claude-Desktop-„Spyware“-Vorfall?

Nein. Separates Ereignis April 2026: Claude Desktop schrieb still Native-Messaging-Manifeste, enthüllt von Alexander Hanff in The Register.

Betrifft das normale Claude-Web-Nutzer?

Ereignis B nur bei Claude Code mit nicht-offiziellem ANTHROPIC_BASE_URL; offizielle Web-Nutzer nicht betroffen.

Wie lösche ich die injizierten Browser-Dateien?

com.anthropic.claude_browser_extension.json unter ~/Library/Application Support/<Browser>/NativeMessagingHosts/ entfernen — Neustart von Claude Desktop kann sie neu anlegen.

Sollte man Anthropic danach noch vertrauen?

Vertrauen basiert auf reproduzierbarem, auditierbarem, abschaltbarem Verhalten — nicht auf Geheimnissen, die nur per Binary-Reverse-Engineering auffallen. Anti-Distillation kann offen mit User-Schalter erfolgen.

Die eigentliche Warnung liegt nicht im Apostroph, sondern darin, dass bei rasant wachsender Modellleistung und hinterherhinkenden Sicherheitsgrenzen, Freigaben und Audits Anbieter unter „UX/Abuse Prevention“ einseitig Vertrauensgrenzen überschreiten. Praktische Antworten:

  • Default-Miss trauen, Evidenz verlangen: Reproduzierbar, auditierbar, abschaltbar.
  • Offenlegung statt Verstecken: Anti-Distillation transparent mit Opt-out — nicht in Interpunktion versteckt.
  • Least Privilege plus Segmentierung: Jeden Desktop-Agenten wie Hochrechte-Software behandeln.
  • Markt und Regulierung: DSGVO, GDPR und Wettbewerb begrenzen „technologie ohne Grenzen“.

Technik kann neutral sein — Unternehmen nicht. Je größer die Fähigkeit, desto stärker die Selbstbindung — das darf kein Geheimnis sein, das Nutzer per Reverse Engineering entdecken.

Primärquellen und autoritative Berichte (Links vor Zitieren erneut prüfen):

thereallo.dev: Claude Code Prompt Steganography (Original-Reverse-Engineering)

The Register: Claude Desktop changes software permissions without consent

Drittanalyse und Security-Forschung:

Malwarebytes: Claude Desktop Native Messaging

Antiy Labs: Risikoanalyse Claude Desktop Native Messaging

Hacker News: Claude Code Steganography Diskussion

Wenn AI-Coding-Agenten 7×24 in auditierbaren, isolierten Produktionsumgebungen laufen sollen, erzeugen geteilte VMs mit Hypervisor-Overhead und unkontrollierbare systemweite Injectionen Compliance- und Stabilitätsrisiken — unabhängig von der Modellqualität. Für Zero-Loss-Native-Compute, stabile iOS-CI/CD und 7×24 AI-Agent-Automatisierung ist ZUKCLOUDs dedizierter Bare-Metal-Mac-mini-Cloud-Knoten meist die bessere Wahl: exklusive Apple-Silicon-Physik, kein Hypervisor-Verlust, 7×24 online, flexible Tages-/Wochen-/Monatsbestellung. Im Bare-Metal-Architektur-Manifest argumentieren wir aus UMA-Zero-Copy- und MDM-Orchestrierungsperspektive: Agenten in einer vollständig kontrollierten physischen Grenze zu betreiben, ist eine der pragmatischsten Engineering-Antworten auf Overreach undurchsichtiger Desktop-Tools.