Claude Code や Claude Desktop を使う開発者向けに、2026年6月のプロンプトステガノグラフィ暴露と4月のサイレントブラウザ注入は別事件です。前者はプロキシ経由時に Today's date 行の Unicode アポストロフィを書き換え、後者は macOS で Native Messaging マニフェストを事前書き込みします。逆解析報告によれば Anthropic は 2.1.197 でステガノグラフィコードを削除しました。目的は反蒸留と見られますが、手段は隠蔽・未開示でした。本文では事件 A/B 対照表、Unicode マッピング表、HN 論争、六ステップチェックリスト、FAQを整理します。ノード料金は料金ページをご確認ください。
[ SECTION_01 ] // TL;DR Claude Code ステガノグラフィとは？30秒で要点
結論：2026年6月30日、thereallo.dev の逆解析報告によれば、Claude Code（CLI コーディングツール、Web アプリではありません）は ANTHROPIC_BASE_URL が api.anthropic.com 以外を指すと、システムプロンプトの Today's date is... 行を書き換えていました。日付区切り（- と /）と視覚的に同一の Unicode アポストロフィ（U+0027 / U+2019 / U+02BC / U+02B9）で、中国タイムゾーンかどうか、中国関連ドメインや AI ラボキーワードに一致したかを各リクエストに符号化していました。これは典型的な隠れチャネル（covert channel）です。Anthropic は7月1日に 2.1.197 を出荷しコードを削除しましたが、changelog には記載がありませんでした。
- 二つの話が混同されやすい：Desktop ブラウザ注入（4月 Hanff 報道）と Code プロンプトステガノグラフィ（6月 RE）は製品・トリガー・仕組みが異なり、混同は E-E-A-T を損ないます。
- 全員が対象ではない：事件 B は非公式 Base URL 設定時のみ発動し、公式エンドポイント利用者には影響しません。
- 意図と手段は分けて考える：コミュニティの主流は反蒸留・転売対策と見ており、目的は理解できても隠蔽は開発者ツールの信頼を損ないます。
- HN で二極化：スレッドは数時間でフロントページ入り、350 points 超。「合理的な反蒸留防御」対「開発者ツールとしてマルウェアに近い」。
- 表現上の配慮：本文では「報告によれば」「逆解析で確認された」と述べ、ベンダー意図を確定事実としては書きません。
[ SECTION_02 ] // TIMELINE Claude Desktop 注入 vs Claude Code ステガノグラフィ：完全対照
| 次元 | 事件 A：サイレントブラウザ注入 | 事件 B：プロンプトステガノグラフィ |
|---|---|---|
| 製品 | Claude Desktop（macOS クライアント） | Claude Code（CLI コーディングツール） |
| 情報源 | Alexander Hanff（プライバシーコンサルタント、The Register 寄稿者） | thereallo.dev 上の開発者 RE、Reddit 経由で HN に拡散 |
| 日付 | 2026年4月（4月18日前後〜） | 2026年6月30日 |
| 挙動 | Chrome/Edge/Brave/Arc/Vivaldi/Opera/Chromium に com.anthropic.claude_browser_extension.json をサイレント書き込み、3 つの拡張 ID を sandbox 外 chrome-native-host 呼び出しに事前承認。ブラウザ未インストールでもディレクトリ作成。削除後も再生成 |
ANTHROPIC_BASE_URL ≠ api.anthropic.com のとき Today's date is... をステガノグラフィで書き換え |
| ラベル | スパイウェア / バックドア | プロンプトステガノグラフィ / 隠れチャネル |
| トリガー | Claude Desktop のインストール・起動 | 非公式 Base URL のみ。全セッションではない |
| Anthropic の対応 | 公式声明なし。後続ビルドで同意トグル追加。権限モデルは完全撤去されていない | コード存在を認め 2.1.197（7月1日）で削除。changelog には未記載 |
事件 A については、独立コンサルタント Noah Kenney（Digital 520）が Hanff の主張を再現可能と確認しました。Antiy Labs も専用リスク分析を公開しています。事件 B では RE により 2.1.193 / 2.1.195 / 2.1.196 に当該ロジックが含まれることが確認されています。
[ SECTION_03 ] // TECH Claude Code の Unicode フィンガープリントはどう動くか
前提条件：ANTHROPIC_BASE_URL が api.anthropic.com 以外（プロキシ、ゲートウェイ、転売、OpenAI 互換レイヤー）を指す場合のみ発動します。公式エンドポイントでは変更されません。
発動時、無害に見える Today's date is ... 行に二つの信号が隠れます。
- 日付区切り：タイムゾーンが
Asia/ShanghaiまたはAsia/Urumqiの場合、2026-06-30が2026/06/30になります。 - アポストロフィ差し替え：
Today'sのアポストロフィが、一致条件を符号化する Unicode 類似文字に置き換わります。
| 検出条件 | 日付形式 | アポストロフィ | Unicode |
|---|---|---|---|
| デフォルト（不一致） | 2026-06-30 |
' ASCII アポストロフィ |
U+0027 |
| 中国関連 org/転売ドメイン | 2026-06-30 |
' 右シングルクォート |
U+2019 |
| AI ラボキーワード（deepseek, moonshot, zhipu, minimax, baichuan, stepfun, 01ai 等） | 2026-06-30 |
ʼ 修飾文字アポストロフィ |
U+02BC |
| ドメインとラボの両方 | 2026-06-30 |
ʹ 修飾文字プライム |
U+02B9 |
| ＋中国タイムゾーン | 2026/06/30 |
（上記アポストロフィ規則に従う） | — |
RE 報告によれば、ドメイン・キーワードリストは base64 + XOR（キー 91） で難読化され、約 147 件のドメインパターンが含まれていました。人間には普通のプロンプトに見えますが、Anthropic バックエンドには一文字のアポストロフィのコードポイントで VPN 利用、中国 TZ、中国 AI ラボの可能性が伝わります。
echo "$ANTHROPIC_BASE_URL"
claude --version[ SECTION_04 ] // WHY Anthropic の動機は？反蒸留 vs 信頼の境界
コミュニティの主流見解では、これはほぼ確実に反蒸留と不正転売対策でした。Anthropic、OpenAI、Google は競合が API 出力を収集して小モデルを訓練することを公に懸念しています。中国関連の転売業者、プロキシ、ラボが主要な疑いの対象でした。
目的は擁護可能でも、手段は擁護できない。分類を目に見えない句読点に変換し、バイナリ内で難読化し、信頼に依存する開発者ツールの全リクエストに同梱するのは境界を越えています。
Hacker News では「合理的な反蒸留防御」と「開発者ツールとしてマルウェアに近い挙動」に分かれました。主流の読み方は、個人監視ではなく不正転売＋蒸留の検知が目的で、争点は手段（隠蔽・難読化・未開示）にあります。
[ SECTION_05 ] // SPYWARE Claude Code は本当にスパイウェアか？より正確なラベル
「スパイウェア」は強い言葉です。より正確には次のとおりです。
- 事件 A は第三者ソフトウェアへの無許可改変＋休眠中の高権限チャネルの事前配置に近い。未悪用でもブラウザサンドボックス外に高権限経路を事前インストールします。Anthropic 自身の数値では Claude for Chrome のプロンプトインジェクション成功率は23.6%（未緩和）/ 11.2%（緩和後）です。
- 事件 B は未開示テレメトリ／隠れユーザー分類に近い。古典的な窃取マルウェアではありませんが、未開示の隠れチャネルです。
ラベルが何であれ、核心は同じです。インフォームドコンセントがなく、意図的に隠されていた。
[ SECTION_06 ] // PROTECT 確認と保護：六ステッププレイブック
- Base URL を確認する：
echo $ANTHROPIC_BASE_URLを実行します。非公式プロキシは事件 B のトリガーになり得ます。本番はapi.anthropic.comまたは監査済みエンタープライズゲートウェイを推奨します。 - Claude Code をアップグレードする：バージョン ≥ 2.1.197（2026年7月1日）を確認します。公開報告ではステガノグラフィが削除されています。
- Native Messaging マニフェストをスキャンする（事件 A）：macOS で
~/Library/Application Support/<browser>/NativeMessagingHosts/com.anthropic.claude_browser_extension.jsonを Chrome、Edge、Brave、Arc、Vivaldi、Opera で確認します。 - 削除して再生成を監視する：JSON を削除し Claude Desktop を再起動し、再作成されるか記録します。権限モデルが本当に修正されたかの証拠になります。
- タイムゾーンとプロキシの組み合わせを監査する：旧 Claude Code で VPN ＋ 中国 TZ（
Asia/Shanghai/Asia/Urumqi）＋ 非公式 Base URL は完全なフィンガープリントベクトルでした。 - エンタープライズ／機密環境：デスクトップエージェントを高権限ソフトとして扱い、最小権限・明示承認・監査可能な挙動を徹底します。個人ノート PC ではなく隔離された 24/7 サーバーでホストすることを検討してください。
[ SECTION_07 ] // TRUST AI ベンダーの越権：どう応答すべきか
教訓は「アポストロフィ一文字」ではありません。モデル能力が先行しセキュリティ境界・同意・監査可能性が遅れると、ベンダーは「UX」や「悪用防止」の名の下に信頼境界を越え続けます。PC やスマートフォン初期のセキュリティ過ちがデスクトップ AI エージェントで再演されています。
引用可能な技術事実（2026年6〜7月、公開報告・RE に基づく）：
- ルールセット規模：base64 + XOR(91) 難読化、約 147 ドメイン/キーワードパターン。
- 影響バージョン：Claude Code 2.1.193 / 2.1.195 / 2.1.196 にロジックあり。2.1.197 で削除。
- HN 反響：数時間でフロントページ、350 points 超、100 コメント超。
- Claude for Chrome 注入成功率（Anthropic 開示）：未緩和 23.6%、緩和後 11.2%。
実際にできること：
- デフォルトで不信、証拠を要求する。再現可能・監査可能・オフにできることが基準です。
- 隠蔽より開示。蒸留対策は公開文書化しトグルを出荷すべきで、句読点に埋め込むべきではありません。
- 最小権限と隔離をすべてのデスクトップエージェントに適用します。
- 足で投票し、規制で裏付ける。GDPR 型の法制度と市場選択が最終的な歯止めです。
技術は中立に見えても、企業は中立ではありません。モデルが強力になるほどベンダーは自らを制約すべきであり、それはバイナリを逆解析して初めて見つかる秘密であるべきではありません。
[ SECTION_08 ] // FAQ Claude Code ステガノグラフィ FAQ と参考資料
Q: Claude Code はスパイウェアですか？
従来型ではありませんが、RE により未開示・難読化フィンガープリントが確認され、Anthropic は 2.1.197 で削除しました。未開示の隠れチャネルと表現するのが適切です。
Q: Claude Code はタイムゾーンを追跡しますか？
RE によれば Asia/Shanghai / Asia/Urumqi を非デフォルト ANTHROPIC_BASE_URL 時のみ確認していました。公式エンドポイント利用者は対象外です。
Q: アポストロフィ / Unicode トリックとは？
「Today's」のアポストロフィが U+0027、U+2019、U+02BC、U+02B9 の間で切り替わり、中国関連ドメイン、AI ラボキーワード、両方、いずれでもないかを符号化していました。
Q: Anthropic が追加した理由は？
おそらく反蒸留と不正転売対策です。目的は理解できても実装と開示は問題でした。
Q: Claude Desktop スパイウェア報道と同じですか？
いいえ。4月 Desktop Native Messaging が事件 A、6月 Code ステガノグラフィが事件 B です。
Q: Web 版 Claude ユーザーは影響を受けますか？
事件 B は非公式 ANTHROPIC_BASE_URL を使う Claude Code のみです。
Q: Claude Desktop ブラウザ注入を削除するには？~/Library/Application Support/<browser>/NativeMessagingHosts/ 下の com.anthropic.claude_browser_extension.json を削除します。Claude Desktop が再作成する場合があります。
Q: 事件 A と B を分ける理由は？
混同すると HN、Reddit、セキュリティ読者が即座に指摘する事実誤りが生じ、E-E-A-T と SEO 信頼性を損ないます。
主要参考資料。上流更新後はリンクを再確認してください。
thereallo.dev: Claude Code prompt steganography（原典 RE 報告）
The Register: Claude Desktop changes software permissions without consent（2026年4月）
Hacker News: Claude Code steganography 議論
Claude Code の長時間セッション、MCP ツールチェーン、マルチモデルルーティングをスリープするノート PC で回すと、ジョブ中断、OAuth 失効、Native Messaging 再生成が監査作業を食い潰します。ローカル確認だけでは 24/7 ホストの予測可能性が不足し、隔離クラウド Mac への移行には安定した Apple Silicon と SSH が必要です。
24/7 エージェントホスティング、安定 SSH、予測可能な Apple Silicon 容量が必要な場合、Claude Code のスケジュールジョブ、MCP 設定、マルチベンダーフォールバックを専用ベアメタルサーバーへ移す方が、不安定なノート PC での火消しより合理的です。NOVAKVM は多リージョンの Mac Mini M4 / M4 Pro 柔軟契約、固定帯域、デフォルト SSH を提供し、iOS CI/CD と AI エージェント自動化に適しています。料金ページ、注文ページ、ヘルプセンターをご覧ください。