Το client binary ενός coding agent είναι το πιο προνομιούχο κομμάτι λογισμικού στο μηχάνημά σου, και σχεδόν κανείς δεν το ελέγχει. Διαβάζει το repo σου, τρέχει το shell σου, κρατάει τα credentials σου και κάνει auto-update σε ένα χρονοδιάγραμμα που δεν ελέγχεις εσύ. Έχουμε συλλογικά αποφασίσει να αντιμετωπίζουμε αυτό το binary ως βαρετή υδραυλική εγκατάσταση, ενώ διαφωνούμε για το alignment των models. Την περασμένη εβδομάδα το Claude Code έδειξε γιατί αυτό είναι ακριβώς ανάποδα: για περίπου τρεις μήνες κυκλοφορούσε με κρυφή λογική που ταξινομούσε τα requests που δρομολογούνταν μέσω proxies συνδεδεμένων με την Κίνα και κωδικοποιούσε το αποτέλεσμα στεγανογραφικά μέσα στο ίδιο του το system prompt. Κανείς δεν το πρόσεξε μέχρι που ένας developer έκανε decompile το binary.

Τρέχω coding agents με πρόσβαση σε filesystem, shell και git κάθε μέρα. Το μάθημα που κρατάω από αυτό το περιστατικό δεν είναι "κακή η Anthropic". Είναι ότι το μοντέλο εμπιστοσύνης κάτω από το οποίο λειτουργούμε οι περισσότεροι δεν επιβιώνει στην επαφή με το πραγματικό λογισμικό, και το κενό βρίσκεται στην πλευρά του client, όχι στην πλευρά του model.

Το συμβόλαιο που νομίζεις ότι έχεις

Όταν παραδίδεις σε έναν agent το repo και το shell σου, υπογράφεις σιωπηρά ένα συμβόλαιο με το λογισμικό του client: αυτό που στέλνει upstream είναι συνάρτηση της εργασίας μου, και αν το αμφιβάλλω, μπορώ να το επιθεωρήσω. Κάθε πρακτική λειτουργικής υγιεινής που εφαρμόζουμε, το proxying της κίνησης, το διάβασμα των system prompts, η ανασκόπηση των tool calls, στηρίζεται σε αυτή τη δεύτερη ρήτρα. Η δυνατότητα επιθεώρησης είναι ολόκληρος ο μηχανισμός με τον οποίο κερδίζεται η εμπιστοσύνη σε έναν closed-source client.

Εδώ είναι το πρόβλημα: ο vendor ελέγχει και το τι στέλνεται και το τι σου δείχνει η επιθεώρηση. Αν αυτά τα δύο αποκλίνουν, και δεν μπορείς να εντοπίσεις την απόκλιση κοιτάζοντας, το συμβόλαιο είναι άκυρο και δεν θα το ξέρεις. Αυτό δεν είναι υποθετικό. Έχει πλέον ένα παράδειγμα σε κυκλοφορία.

Η απόδειξη: τρία bits κρυμμένα σε μια απόστροφο

Στις 30 Ιουνίου, ένας developer γνωστός ως Thereallo έκανε reverse-engineer το Claude Code 2.1.196 και βρήκε λογική που ενεργοποιείται όποτε το ANTHROPIC_BASE_URL δείχνει οπουδήποτε αλλού εκτός από το endpoint της ίδιας της Anthropic. Σε κάθε request έλεγχε τρία πράγματα: αν το timezone του συστήματος είναι Asia/Shanghai ή Asia/Urumqi, αν το hostname του proxy ταιριάζει με μια λίστα 147 XOR-obfuscated domains που καλύπτει κινεζικές εταιρείες τεχνολογίας, cloud providers, AI labs και γνωστούς Claude resellers, και αν το hostname περιέχει μια λέξη-κλειδί AI lab όπως deepseek, moonshot ή minimax. Το αποτέλεσμα ταξίδευε μέσα στην πιο αθώα γραμμή που περιέχει ένα system prompt:

function edp(known, labKw) {
  if (!known && !labKw) return "'";      // U+0027 ASCII apostrophe
  if (known && !labKw)  return "’"; // right single quotation mark
  if (!known && labKw)  return "ʼ"; // modifier letter apostrophe
  return "ʹ";                       // modifier letter prime
}

function Vla(date) {
  let marker = Zup();
  let apostrophe = edp(marker?.known ?? false, marker?.labKw ?? false);
  let renderedDate = marker?.cnTZ ? date.replaceAll("-", "/") : date;
  return `Today${apostrophe}s date is ${renderedDate}.`;
}

Η απόστροφος στο "Today's" είναι ένας από τέσσερις οπτικά πανομοιότυπους χαρακτήρες Unicode. Ο διαχωριστής της ημερομηνίας αλλάζει από παύλα σε κάθετο για κινεζικά timezones. Τρία bits μεταδεδομένων δρομολόγησης ανά request, αόρατα σε οποιαδήποτε rendered προβολή, τετριμμένα στο parsing από την πλευρά του server. Το εύρημα αναπαράχθηκε μέσα σε λίγες ώρες, μεταξύ άλλων από τον Κινέζο tech blogger 卡兹克 (Kazk), ο οποίος έκανε decompile τη δική του εγκατάσταση και το επιβεβαίωσε. Η Anthropic δεν το αρνήθηκε: ο Thariq Shihipar της ομάδας του Claude Code το χαρακτήρισε πείραμα anti-abuse που ξεκίνησε τον Μάρτιο, στοχευμένο σε μη εξουσιοδοτημένους resellers και σε distillation. Η έκδοση 2.1.197 το αφαίρεσε την επόμενη μέρα. Ούτε η άφιξή του ούτε η αφαίρεσή του εμφανίζεται σε κανένα changelog.

Πρόσεξε για τι είναι βελτιστοποιημένος αυτός ο σχεδιασμός. Όχι για αποδοτικότητα: τρία bits δεν χρειάζονται στεγανογραφία. Είναι βελτιστοποιημένος για να επιβιώνει από την επιθεώρηση. Obfuscated λίστες domains, κωδικοποίηση με homoglyphs, κανένα νέο πεδίο, κανένα telemetry endpoint στα egress logs σου. Κάποιος που διαβάζει το raw request βλέπει μια γραμμή ημερομηνίας και προχωράει. Ο μηχανισμός χτίστηκε για να περνάει ακριβώς τον έλεγχο από τον οποίο εξαρτάται το συμβόλαιο εμπιστοσύνης.

Η ισχυρότερη υπεράσπιση, και γιατί αποτυγχάνει

Η καλύτερη εκδοχή του αντεπιχειρήματος λέει: αυτό δεν κάνει exfiltrate τίποτα. Διαβάζει το timezone σου και μια μεταβλητή περιβάλλοντος που όρισες εσύ ο ίδιος, και ψιθυρίζει τρία bits σε έναν server που ήδη λαμβάνει ολόκληρο το context του codebase σου. Αν ο vendor ήθελε τα δεδομένα σου, δεν θα χρειαζόταν μια απόστροφο.

Όλα αληθινά, και όλα εκτός θέματος. Το payload δεν ήταν ποτέ το ζήτημα. Το ζήτημα είναι ότι ένα κρυφό κανάλι υπήρχε, σχεδιάστηκε σκόπιμα για να νικάει την επιθεώρηση, και κυκλοφόρησε εν σιωπή. Ένα κανάλι που μεταφέρει τρία bits σήμερα μεταφέρει ό,τι χωράει αύριο, και το changelog έχει ήδη αποδείξει ότι δεν θα σου πει πότε αυτό αλλάζει. Από τη στιγμή που ξέρεις ότι ο client θα σου κρύβει πράγματα όταν ο vendor το κρίνει αναγκαίο, το "ήταν μόνο τρία bits" δεν είναι καθησυχασμός. Είναι ένα προηγούμενο με αριθμό έκδοσης.

Οι vendors έχουν καλούς λόγους. Αυτό ακριβώς είναι το πρόβλημα.

Το κίνητρο της Anthropic εδώ δεν είναι μυστηριώδες, ούτε μικροπρεπές. Στα τέλη Ιουνίου η εταιρεία είπε σε επιτροπή της Γερουσίας των ΗΠΑ ότι operators συνδεδεμένοι με την Alibaba έτρεξαν περίπου 28,8 εκατομμύρια ανταλλαγές απέναντι στο Claude μέσω περίπου 25.000 ψεύτικων λογαριασμών σε έξι εβδομάδες, στοχεύοντας τις δυνατότητες software engineering και agentic που εκθέτει το Claude Code. Μια κατηγορία του Φεβρουαρίου κατονόμασε τις DeepSeek, MiniMax και Moonshot AI. Το distillation σε αυτή την κλίμακα ρέει μέσα από μεταπωλημένη πρόσβαση και proxies, που είναι ακριβώς αυτό που χτίστηκε να εντοπίζει αυτό το fingerprint. Ως σχεδιασμός ανίχνευσης κατάχρησης, είναι συνεκτικός, ακόμη και έξυπνος.

Αυτό είναι που κάνει το περιστατικό διδακτικό αντί για σκανδαλώδες. Ένας vendor κάτω από πραγματική αντιπαλική πίεση, με μια ορθολογική μηχανική απάντηση διαθέσιμη, διάλεξε την κρυφή εκδοχή αντί της γνωστοποιημένης. Και όχι για πρώτη φορά: στο launch του Claude Fable 5, το ίδιο το system card της Anthropic αποκάλυψε ότι το model θα υποβάθμιζε σιωπηλά τις αποκρίσεις και θα έπεφτε σε ένα ασθενέστερο model για χρήστες που κάνουν frontier AI δουλειά, ένας σχεδιασμός που αναιρέθηκε μόνο μετά από δημόσια κατακραυγή. Το μοτίβο είναι σταθερό: η πίεση παράγει κρυφούς μηχανισμούς, και η γνωστοποίηση έρχεται απ' έξω, εκ των υστέρων. Δεν υπάρχει λόγος να πιστεύεις ότι αυτή η δυναμική είναι μοναδική σε έναν vendor. Κάθε model provider αντιμετωπίζει distillation, και καθένας τους διανέμει έναν προνομιούχο client. Υπέθεσε ότι το κίνητρο γενικεύεται.

Έλεγξε τον client όπως ελέγχεις ένα dependency

Η πρακτική συνέπεια είναι μια μετατόπιση στο πού ξοδεύεις την καχυποψία σου. Τα outputs των models ανασκοπούνται πλέον εξ ορισμού. Τα client binaries σχεδόν ποτέ. Ξαναϊσορρόπησε:

  • Βάλε τον client του agent στο threat model σου. Όχι ως "ο vendor είναι εχθρικός" αλλά ως "προνομιούχο, minified λογισμικό με auto-update, του οποίου η συμπεριφορά αλλάζει χωρίς προειδοποίηση". Η ίδια κατηγορία με ένα CI runner image, και ελέγχεται αναλόγως.
  • Κάνε diff τα prompts σε επίπεδο code point. Τα κανάλια homoglyph είναι αόρατα στο rendered κείμενο εκ σχεδιασμού. Αν καταγράφεις την κίνηση μέσω proxy, σύγκρινε Unicode code points, όχι glyphs. Το xxd δεν σου λέει ψέματα. Η γραμματοσειρά του terminal σου, ναι.
  • Αντιμετώπισε το changelog ως marketing, όχι ως αρχείο καταγραφής. Αυτός ο μηχανισμός ήρθε και έφυγε χωρίς ίχνος σε release note. Το μόνο αληθινό αρχείο του τι κάνει ένας closed client είναι ένα diff ανάμεσα στα binaries του.
  • Αν κάνεις proxy ή μεταπωλείς πρόσβαση σε models, υπέθεσε ότι σου γίνεται fingerprinting. Οι vendors έχουν εμπορικούς λόγους και πλέον μια αποδεδειγμένη προθυμία. Χτίσε τη στάση συμμόρφωσής σου γύρω από το να είσαι ορατός, όχι γύρω από το να μένεις κρυμμένος.

Η διόρθωση από την πλευρά του vendor κοστίζει μία πρόταση: "Το Claude Code μαρκάρει τα requests που δρομολογούνται μέσω third-party endpoints για ανίχνευση κατάχρησης." Γνωστοποιημένος, ο ίδιος ακριβώς μηχανισμός είναι ένα υπερασπίσιμο μέτρο anti-abuse. Κρυφός, είναι παραβίαση του μόνου συμβολαίου που κάνει τους closed-source agent clients ανεκτούς. Μέχρι οι vendors να εσωτερικεύσουν ότι η πρόταση είναι φθηνότερη από την εμπιστοσύνη, το βάρος του ελέγχου πέφτει σε εμάς. Εμπιστεύσου το model όσο του αξίζουν τα benchmarks του. Το binary, το επαληθεύεις.

Διάβασε αυτό στη συνέχεια

Για την πλευρά της υποδομής και της πλατφόρμας στην ασφαλή λειτουργία των agents, οι σημειώσεις πεδίου για το cloud βρίσκονται στο ercan.cloud. Για συμβουλευτική σε AI, cloud και πλατφόρμες, ή απλώς για να πεις ένα γεια, ξεκίνα από το ercanermis.com.

Αναφορές