Claude Codeはスパイウェアか？Anthropicの隠されたUnicodeフィンガープリント

Claude Codeはスパイウェアか？2つの別事件

結論から言えば、従来型のスパイウェアではありません。ただしAnthropicは、開発者向けツール内で未開示かつ意図的に隠されたユーザー分類を行っていたと報告されています。目的（蒸留対策）と手段（ステガノグラフィ）は別々に評価する必要があります。関連はあっても別物の2つの話を混同しないでください。HNやセキュリティ読者は事実誤認をすぐに指摘します。

1. A

   事件A · Claude Desktopのサイレントブラウザ注入（2026年4月）：プライバシーコンサルタントAlexander Hanff氏（The Register）は、macOSにClaude Desktopをインストールすると、Chrome、Edge、Brave、Arc、Vivaldi、Opera、Chromiumへcom.anthropic.claude_browser_extension.jsonが無言で書き込まれ、3つの拡張機能IDがブラウザサンドボックス外のchrome-native-hostをフルユーザー権限で呼び出せるよう事前承認されると報告しました。未インストールのブラウザ用ディレクトリも作成され、削除しても再起動で復活する可能性があります。Noah Kenney（Digital 520）が再現を確認し、Antiy Labsが専用リスク分析を公開しました。Anthropicの公式回答は未確認です。後続ビルドでは承認トグルが追加されましたが、権限モデル自体は依然として論争の的です。

2. B

   事件B · Claude Codeのプロンプトステガノグラフィ（2026年6月30日）：開発者がClaude Codeバイナリをリバースエンジニアリングし、thereallo.devで公開。RedditとHacker Newsで拡散しました。ANTHROPIC_BASE_URL ≠ api.anthropic.comのとき、システムプロンプトの日付行が改変されます。デフォルトでは毎会話発動ではありません。HNスレッドは数時間でフロントページに上がり、350点超、100件超のコメントを記録しました。

3. 03

   呼び方の違い：事件Aは「スパイウェア」「バックドア」、事件Bは「プロンプトステガノグラフィ」「隠れチャネル」と呼ばれました。

4. 04

   Anthropicの対応：事件Aへの公式回答は未確認です。事件Bについては複数メディアがAnthropicがコードを認め、Claude Code 2.1.197（2026年7月1日）で削除したと報じています。変更履歴への記載はありません。

5. 05

   バージョン監査：リバースエンジニアは2.1.193、2.1.195、2.1.196でも存在を確認しました。ドメイン・キーワードリストはbase64 + XOR(91)で難読化され、約147ルールあります。

確認と保護：6ステップRunbook

1. 01

   ANTHROPIC_BASE_URLを監査：シェル設定とCIシークレットで非公式エンドポイントを検索します。事件Bはプロキシ経路でのみ発動します。

2. 02

   Claude Codeをアップグレード：報告によれば2.1.197以降（2026年7月1日リリース）を使用してください。

3. 03

   システムタイムゾーンを確認：Asia/ShanghaiまたはAsia/Urumqiが意図的かどうかを確認します。日付区切りの/と-はタイムゾーン信号をエンコードします。

4. 04

   Native Messagingマニフェストをスキャン（事件A）：macOSでは~/Library/Application Support/<browser>/NativeMessagingHosts/com.anthropic.claude_browser_extension.jsonを確認します。

5. 05

   削除して再生成を観察：JSONを削除し、Claude Desktopを再起動して再生成されるか記録します。エンタープライズ監査証跡に重要です。

6. 06

   エンタープライズ最小権限：デスクトップエージェントを高権限プログラムとして扱い、本番APIキーを個人ブラウザから分離し、機密CIチェーンには専用Macノードを推奨します。

claude --version
for b in "Google/Chrome" "Microsoft Edge" "BraveSoftware/Brave-Browser"; do
  f="$HOME/Library/Application Support/$b/NativeMessagingHosts/com.anthropic.claude_browser_extension.json"
  [ -f "$f" ] && echo "FOUND: $f"
done
echo "${ANTHROPIC_BASE_URL:-not set}"

2026年のAIベンダー信頼について

• HNシグナル：thereallo.devの所見は数時間で350点超、100件超のコメントを集めました。
• ルールセット規模：約147件のbase64 + XOR(91)難読化ドメイン/キーワードパターンが中国系AIラボエンドポイントを標的にしています。
• 複合リスク：高権限Native Messagingチャネル（A）と未開示プロンプトフィンガープリント（B）が、デスクトップAIエージェントの信頼面を拡大します。

実践的な対応は、デフォルトで不信し証拠を求めること、トグルとドキュメントで蒸留対策を公開すること、最小権限を徹底すること、足で投票し規制（GDPR型の法整備）を求めることです。

Claude Desktop、個人ブラウザ、本番APIキーを1台のノートPCに混在させると境界が曖昧になり、削除したマニフェストも再生成される可能性があります。本番レベルのiOS CI/CDとAIエージェント自動化には、VpsMesh Mac Mini クラウドレンタルが隔離されたmacOSノード、rootレベル制御、24時間稼働を提供し、個人デスクトップエージェントと本番シークレットを混在させるより安定した選択肢となります。

出典

The Register、Malwarebytes、gHacks、YOOTA、thereallo.dev、Tech Startups、TMC Insight、Developers Digest、TechTimes（2.1.197修正）、Antiy Labsリスク分析。