한 보안 분석가가 클로드 코드(Claude Code) 바이너리를 뜯어보니, 사용자가 공식 서버 대신 외부 프록시(ANTHROPIC_BASE_URL 변경)로 우회할 때 시스템 프롬프트의 '오늘 날짜' 문장에 눈에 안 띄는 유니코드 표식을 끼워 넣더래요. 도메인·키워드가 알려진 리셀러나 AI 연구소(deepseek·zhipu 등)와 맞으면 따옴표 모양을 살짝 바꾸고, 시간대가 중국(Asia/Shanghai 등)이면 날짜 구분선을 '-'에서 '/'로 바꾸는 식인데, 독립 연구자의 검증과 해외 개발자 토론에서도 실제 동작으로 확인됐어요. 다수 전문가는 이를 '스파이웨어'가 아니라 무단 재판매·모델 베끼기(distillation)를 잡으려는 프록시 식별로 해석하지만, 공식 고지 없이 숨겨 둔 방식이라 투명성 논란이 있고 정상 프록시 사용자가 같이 걸린다는 지적도 나와요. Anthropic은 이 표식을 직접 확인·해명하진 않았어요.
용어 풀이
- steganography (스테가노그래피)
- 겉보기엔 평범한 데이터(여기선 날짜 문장)에 눈에 안 띄게 다른 정보를 숨겨 넣는 기법.
- distillation (증류)
- 큰 모델의 답을 대량으로 받아내 그걸로 다른(보통 더 싼) 모델을 학습시켜 성능을 베끼는 행위.
- 프록시·리셀러 (proxy/reseller)
- 요청을 원 서버 대신 중계하는 중간 서버. 여기선 Anthropic 공식 서버를 거치지 않고 우회하거나 접근권을 되파는 경로를 뜻함.
- ANTHROPIC_BASE_URL
- 클로드 도구가 어느 서버로 요청을 보낼지 정하는 환경변수. 이 값을 외부 주소로 바꿔 우회할 때만 표식이 켜짐.
운영자 인사이트
사내 게이트웨이나 LiteLLM 같은 프록시로 클로드 코드를 돌리고 있다면 의도와 무관하게 이 표식 대상이 될 수 있다는 점을 알아 두면 좋아요. 당장 데이터가 새는 건 아니지만, 공급사가 클라이언트 단에 고지 없는 신호를 심을 수 있다는 사례라, 외부 모델 도구를 신뢰 경계 안에 둘 때 바이너리 거동까지 점검 대상에 넣을 근거가 돼요.
여러 관점으로 보기
- 관찰된 기술 사실(원본 분석) 한 보안 분석가가 클로드 코드 바이너리에서 외부 프록시 경유 시 시스템 프롬프트에 보이지 않는 유니코드 표식이 끼워진다는 걸 코드 단위로 짚었어요. thereallo.dev
- 독립 검증 다른 연구자가 같은 동작을 독립 검증하고, 표식 대상이 되는 도메인 147개를 바이너리에서 풀어냈어요. GitHub Gist (Adnane Khan)
- 전문가 해석·'스파이웨어' 반론 해외 개발자 토론에선 동작은 사실로 인정하면서도 '스파이웨어'가 아니라 무단 리셀러·프록시를 잡는 식별로 봐야 한다는 의견이 많았어요. Hacker News
- Anthropic 관련 입장(직접 대응 아님) Anthropic은 이 표식을 직접 해명하진 않았지만, 중국 연구소들의 무단 모델 베끼기를 행동 기반 식별로 잡고 있다고 2월에 공개적으로 밝혔어요. Anthropic
- 배경 맥락(왜 막으려 하나) 중국 회색시장이 훔친 자격증명·프록시로 클로드 API를 90% 싸게 되팔며 사용자 데이터를 거둬간다는 보도예요 — 이 표식이 겨냥하는 배경이에요. Tom's Hardware