結論から言うと、これは「信頼の問題」だ。セキュリティ上のリスクという話ではなく、ベンダーとユーザーの関係の話として受け止めた。
Thereallo氏が調査して公開した内容をざっくり言うと、Claude Code 2.1.196が「Today's date is 2026-06-30.」という日付文の書式を、接続経路やタイムゾーンによって密かに変えていた。「2026-06-30」か「2026/06/30」か、アポストロフィーが通常の記号か似た別文字か、といった違いでユーザーのルートを識別する仕組みだ。しかも対象ドメインリストはBase64とXORで難読化されていた。「プロンプト・ステガノグラフィー」という表現が的確で、要するに目に見える文字列に隠し情報を埋め込んでいた。
うちのチームへの実害はあるか
まず自分のチームへの影響を確認した。うちは標準のAnthropic APIに直接つないでいるので、今回の仕組みは「早期終了」して通常の日付文が使われる設計だ。実害はおそらくない。影響を受けるのは社内ゲートウェイ、ローカルプロキシ、モデルルーター経由でClaude Codeを使っているケースで、コスト管理や社内セキュリティのためにそういう構成を取っている開発チームが該当する。うちのエンジニアは今のところ直接接続なので、緊急度は低いと判断した。
ただし「今は問題ない」だけで終わる話じゃない。スタートアップが8人から20人、30人に成長すると、コスト管理や社内セキュリティの都合でAPIの前に何らかのゲートウェイを挟む判断をする時期が来る。その時点でこの仕組みが生きていたら、うちも対象になる。今のうちにアーキテクチャの選択肢とその含意を整理しておくべきだ、という話として頭に入れた。
投資家への説明でも使える論点だ
もう一つ気になったのが、Anthropicの意図の部分だ。Thereallo氏の推測によれば、無許可の再販や、Claude Codeの出力を他モデルの学習に使う「蒸留」パイプラインを検出しようとしていた可能性がある。これ自体は理解できる動機だ。自社モデルの出力が競合の学習データに流れるのは、ビジネス上の正当な懸念だ。
ただ問題は手法で、ドキュメントにもリリースノートにも記載せず、難読化して隠す形を取った点だ。Thereallo氏が指摘しているように、本格的な悪用者はホスト名やタイムゾーンを変えるだけで回避できる。結果として、正当な理由で特殊な接続経路を使っている開発者だけが識別されていた。つまりROIの悪い手法を、透明性を犠牲にして実装した、ということになる。
先月、あるシリーズA投資家からデューデリジェンスの過程でAIツールの依存リスクについて聞かれた。「特定ベンダーへのロックインをどう管理しているか」という趣旨だ。その時は抽象的に答えたが、今回の件はその回答を具体化する材料になる。ベンダーのリスクは「値上げ」や「API廃止」だけじゃなく、「見えないところで何をやっているか分からない」という透明性リスクも含む。Claude業務全面導入済みの自分たちにとっては、そこをどう管理するかを言語化しておく必要がある。
ツールへの信頼とモニタリング
エンジニアの渡辺に確認させた内容は3点だ。
- 現在の接続構成が標準Anthropic API直接接続であることの確認
- 今後ゲートウェイを挟む構成に変える場合の検討基準の整理
- Claude Code以外で使っているAIツールに同種の挙動がないかの把握
Claude自体の使用をやめる判断はしていない。費用対効果で見れば引き続き圧倒的にプラスだし、代替ツールに乗り換えたところで透明性が保証されるわけでもない。ただ「全面導入済みだから細かく見なくていい」というスタンスは、今回を機に修正する。
Anthropicがこの件についてどう説明するかも見ておく。ドキュメントやリリースノートで後から説明するのか、それとも無視するのか。その対応がベンダーとしての信頼度の指標になる。SaaSのCEOとして、自分たちのユーザーへの向き合い方を見直すきっかけとしても、正直なところ刺さった。