147 доменов, таймзона и ваш прокси: что Claude Code три месяца тайно зашивал в каждый запрос — и почему это всплыло в один день с возвратом Fable

Anthropic за одни сутки сделал два противоположных хода: вернул отрубленную модель Fable 5 «ради безопасности» и по-тихому выпилил из Claude Code скрытую метку, которая помечала, кто вы и откуда. Разбираю, почему это одна история, а не две.

Вчера я собирал утренний разбор новостей и наткнулся на две вещи от Anthropic, вышедшие буквально в один день. На первый взгляд они спорят друг с другом. На второй — это одна и та же история, просто показанная с двух сторон.

Сначала факты, потом почему это важно вам, даже если вы ни Claude, ни Fable в глаза не видели.

Разработчик разобрал бинарник Claude Code и обнаружил там механизм, которого не было ни в одном чейнджлоге. Инструмент незаметно вшивал скрытую метку прямо в системный промпт — тот служебный текст, который уходит модели вместе с каждым вашим запросом.

Работало это как стеганография, то есть тайнопись на виду. Если у вас была выставлена таймзона Шанхая или Урумчи, разделитель в дате менялся с дефиса (2026-06-30) на слэш (2026/06/30). А апостроф в английском слове Today's подменялся на один из четырёх визуально одинаковых символов Unicode и кодировал, совпал ли ваш прокси со спрятанным списком из 147 доменов. В списке — Baidu, Alibaba, ByteDance, Moonshot, MiniMax и пачка адресов реселлеров и зеркал Claude.

Итог: скрытый трёхбитный отпечаток, замаскированный под обычную дату. По нему можно было прикинуть, откуда вы, через что ходите и не тянете ли вы модель через серый доступ. Сидел этот код там с апреля, три месяца, молча.

Целились, судя по списку, в дистилляцию — китайские лаборатории до этого уже качали Claude через 24 тысячи фейковых аккаунтов, чтобы обучать свои модели. Но под гребёнку попадал вообще любой, кто ходит через корпоративный шлюз, исследовательский прокси или роутер для экономии на токенах. То есть половина нормальных команд, включая нас с вами.

Anthropic наличие кода признал и в тот же день выкатил новую версию, где его убрали. В чейнджлоге про это, разумеется, ни слова.

В те же сутки Anthropic возвращает Fable 5 — ту самую мощную модель, которую три недели назад отрубили по требованию властей США, оставив кучу компаний без продуктов, построенных на ней (я про эту историю уже писал в июне).

И вот тут наконец назвали причину блокировки. Оказалось, Amazon показал регуляторам, что Fable по паре промптов читает чужую кодовую базу, находит в ней уязвимости и пишет рабочий код, чтобы их использовать. Отчёт улетел в Белый дом, доступ вырубили через три дня после релиза.

Вернули модель без всякого дообучения. Просто повесили сверху классификатор пожёстче, который ловит опасные запросы и перекидывает их на другую модель, Opus 4.8. Доступ раскатывают всем уже сегодня, личность пока не проверяют, до 7 июля можно тратить на Fable половину недельного лимита, дальше пойдут кредиты.

И там, и там речь про один и тот же слой. Классификатор поверх модели, который решает, где проходит граница между «можно» и «нельзя».

Anthropic сам рисует это ровно так. Вот их собственная схема (ниже): слева зелёная зона «разрешено», дальше пунктир, за которым «заблокировано», а джейлбрейк — это стрелка, которая тащит запрос за пунктир. Весь вопрос в том, кто держит этот пунктир и куда его двигает.

[ИЛЛЮСТРАЦИЯ: диаграмма Anthropic — спектр Benign / Safety margin / Ambiguous / Harmful с порогом Allowed | Blocked и тремя типами джейлбрейка. Файл Downloads/5dfd2fdf...webp] Подпись: спектр от «безопасно» до «вредно», пунктир — граница, которую рисует классификатор. Источник: Anthropic.

И вот в чём фокус. В случае с Fable этот классификатор показывают вам как заботу: смотрите, мы огородили опасное. В случае с Claude Code механизм ровно того же духа три месяца работал молча и метил, кто вы и откуда. Одна рука ставит забор и громко говорит про безопасность. Другая ставит скрытую камеру и про неё молчит. Слой один и тот же. Разница только в том, показали вам его или нет.

Мой вывод не меняется который месяц. Сама модель — это сменная деталь. Реальный продукт и реальная власть — это контур вокруг неё: кто ставит фильтр, кто раздаёт права, кто метит ваши запросы. Пока все спорят, какая модель умнее, вопрос давно в другом: видите ли вы этот контур и на чьей он стороне.

Практический минимум, если у вас на AI-инструменте что-то стоит:

Первое. Не держите продукт на одной модели одного вендора. Fable показала, что доступ могут выключить за ночь по причине, которую вам даже не объяснят вовремя. Абстрагируйте вызов модели за свой слой, чтобы сменить её было решением на пять минут, а не переписыванием половины продукта.

Второе. Знайте, что именно ваш инструмент дописывает в запрос. Если он умеет тайком вшить в промпт вашу таймзону и прокси, он умеет вшить туда что угодно ещё.

Третье. Читайте, что уходит наружу, особенно с корпоративными данными. То, что сегодня безобидная метка «свой-чужой», завтра легко станет чем-то большим.

А дальше, боюсь, по накатанной. Сегодня метят таймзону и прокси. Через полгода никто не удивится, если по вашему же загруженному в чат резюме подтянут ваши соцсети и профиль. Технически для этого уже всё стоит на месте, не хватает только повода.

Вы вообще уверены, что знаете, что ваш AI-инструмент дописывает в запрос, который вы ему отправляете? Напишите в комментариях, проверяли ли когда-нибудь.

Пишу про изнанку AI-инструментов и как на них не обжечься в бизнесе — в телеграм-канале Под капотом: t.me/gorilla_under_hood