2026 Claude Code 은닉 문자 사건: Anthropic 단일 따옴표 지문 태깅 완전 결정 가이드
2026년 6월 말 thereallo.dev 역공학 보고로 Claude Code(웹 Claude 아님)가 ANTHROPIC_BASE_URL을 비공식 프록시로 지정한 사용자에게 텍스트 스테가노그래피로 시스템 프롬프트 Today's date is... 행을 변조——날짜 구분자·육안 구분 불가 Unicode 단일 따옴표로 「중국 TZ 여부·중국 도메인/AI 랩 히트」 비트를 서버에 몰래 실어 보냈음이 드러났습니다. Anthropic 2.1.197에서 관련 코드 제거(changelog 미언급). 주목적은 반증류·반재판매로 보이나, 은닉+난독화가 2026년 AI 개발자 도구 보안 트렌드의 핵심 논점——4월 Claude Desktop 무음 브라우저 주입과 혼동 금지, 사건 A/B 선분리 필수.
1. 3대 페인: 지금 Claude 툴체인을 감사해야 하는 이유
- 신뢰 경계 무음 침범: The Register·Hanff 폭로——Claude Desktop이 사용자 모르게 다수 브라우저 Native Messaging 매니페스트 기록, 샌드박스 외 고권한 채널 사전 승인. 독립 컨설턴트 Noah Kenney(Digital 520) 재현 확인, Antiy Labs 전문 리스크 분석.
- 은닉 분류 신호가 매 요청에 삽입: 역공학상 Claude Code 2.1.193/195/196 세 버전 모두 은닉 로직 존재. 도메인 목록 약 147개, base64+XOR(91) 경난독화, deepseek·moonshot·zhipu·minimax·baichuan·stepfun·01ai 등 키워드.
- 공개가 커뮤니티 발견보다 늦음: Anthropic 코드 존재 인정·7/1 2.1.197 제거, changelog 무기재. HN 스레드 수시간 만에 350+ points·100+ 댓글, 「합리적 반증류」vs「개발자 도구로는 악의에 가까움」 분열——2026 H1 AI Agent 보안 이슈 Top 3급.
2. 혼동 금지: 사건 A vs B 대조표
HN/Reddit/보안권은 사실 정밀도를 중시. 두 독립·연관 사건 분리——병합 서술은 E-E-A-T·SEO 신뢰 손상.
| 차원 | 사건 A: 무음 브라우저 주입 | 사건 B: 시스템 프롬프트 은닉 |
|---|---|---|
| 제품 | Claude Desktop(macOS 클라이언트) | Claude Code(CLI 코딩 도구) |
| 출처 | Alexander Hanff(프라이버시 컨설턴트, The Register 기고) | 개발자 바이너리 역공학, thereallo.dev, Reddit→HN 확산 |
| 시점 | 2026년 4월(약 4/18~) | 2026년 6월 30일 |
| 핵심 행위 | Chrome/Edge/Brave/Arc/Vivaldi/Opera/Chromium에 com.anthropic.claude_browser_extension.json 무음 기록, 3개 확장 ID에 샌드박스 외 chrome-native-host 사전 승인. 브라우저 미설치도 디렉터리 선생성, 삭제 후 재시작 시 부활 |
ANTHROPIC_BASE_URL ≠ api.anthropic.com일 때 시스템 프롬프트 Today's date is... 행 은닉 변조 |
| 라벨 | spyware/backdoor | prompt steganography/covert channel |
| 발동 조건 | Claude Desktop 설치·실행 즉시 | 비공식 Base URL(프록시) 설정 시만. 매 대화 필수 아님 |
| Anthropic 대응 | 공식 성명 없음. 후속판 승인 스위치 추가, 근본 권한 모델 미해소 | 코드 존재 인정, 7/1 2.1.197 제거, changelog 미언급 |
3. 타임라인·핵심 버전
| 날짜 | 마일스톤 |
|---|---|
| 2026-04 | Hanff, The Register에 Claude Desktop Native Messaging 무음 주입 폭로. Malwarebytes·gHacks·YOOTA 후속 |
| 2026-06-30 | thereallo.dev Claude Code 프롬프트 은닉 역공학 보고. HN 급상승 |
| 2.1.193–2.1.196 | 역공학자 3버전 모두 은닉 로직 확인 |
| 2026-07-01 | Anthropic Claude Code 2.1.197 배포·관련 코드 제거(changelog 비공개) |
4. 은닉 작동 원리: Unicode 매핑·쉬운 설명
전제(역공학): ANTHROPIC_BASE_URL을 비공식 주소(프록시·게이트웨이·제3자 재판매·OpenAI 호환층)로 지정할 때만 발동. 공식 api.anthropic.com은 무변조.
발동 후 Today's date is ... 한 줄에 두 가지 조작:
- 날짜 구분자 변경: TZ가
Asia/Shanghai또는Asia/Urumqi면2026-06-30→2026/06/30. - 따옴표 교체:
Today's아포스트로피를 시각 동일·Unicode 상이 문자로 「히트 내용」 인코딩.
| 감지 상황 | 날짜 형식 | 따옴표 | Unicode |
|---|---|---|---|
| 기본(미히트) | 2026-06-30 | ' ASCII 아포스트로피 | U+0027 |
| 중국 기관·리셀러 도메인 히트 | 2026-06-30 | ' 오른쪽 작은따옴표 | U+2019 |
| 중국 AI 랩 키워드 히트 | 2026-06-30 | ʼ 수식용 아포스트로피 | U+02BC |
| 도메인+랩 동시 히트 | 2026-06-30 | ʹ 수식용 프라임 | U+02B9 |
| 중국 TZ 중첩 | 2026/06/30 | (따옴표 규칙 동일) | — |
한 줄 요약: 겉보기 평범한 영어 프롬프트지만, 백엔드는 날짜 구분자·따옴표 Unicode만으로 「해외 VPN+중국 TZ+특정 AI 랩 의심」 태깅 가능——전형적 covert channel. 도메인·키워드 base64+XOR(91), ~147규칙.
5. Anthropic 동기: 반증류·HN 양파 논쟁
커뮤니티 주류: 반증류+무단 재판매 탐지. Anthropic·OpenAI·Google 모두 API 대량 출력→소형 모델 distillation 우려 공개. 중국 관련 프록시·재판매·랩이 감시 초점, 「태깅」 로직 추가로 해석.
목적은 이해, 수단이 문제: 분류 신호를 육안 불가·난독화·매 요청 삽입——개발자 신뢰 기반 도구의 레드라인. HN 양파:
- 방어파: 「정당한 반증류, API 남용은 기술 억제 필요.」
- 비판파: 「개발자 도구로는 악의에 근접——미공개·끌 수 없음·구두점에 은닉.」
주류: 무단 재판매+증류 탐지 의도, 개인 감시 아님. 논점은 수단(은닉·난독화·불공개). 본문은 「보도/역공학/alleged」로 의도 확정 회피.
6. 스파이웨어인가: 진영별 정밀 정의
- 사건 A: 「무허가 제3자 SW 변조+휴면 공격면 예약」——현재 미악용이어도 브라우저 샌드박스 외 고권한 채널 선포장. Anthropic 자체 공개 Claude for Chrome 프롬프트 인젝션 성공률(완화 없음 23.6%, 완화 11.2%) 가산 시 리스크 현실적.
- 사건 B: 「미공개 은닉 텔레메트리/사용자 분류」——전통적 파일·키로거 malware는 아니나 textbook covert channel.
spyware 라벨 여부와 무관, 핵심: 사용자 사전 동의 없이 의도적 은닉.
7. 결정 매트릭스: 리스크·시나리오
| 시나리오 | 사건 A | 사건 B | 권장 액션 |
|---|---|---|---|
| 공식 api.anthropic.com만 | 중(Desktop 주입 가능) | 없음 | Desktop Native Messaging 감사. Code 정상 업그레이드 |
| 제3자 프록시·게이트웨이 | 중 | 고(2.1.196↓) | 즉시 2.1.197+. 프록시 컴플라이언스 평가 |
| 중국 TZ+프록시 | 중 | 고(날짜/구분자 이중 신호) | 과거 요청 분류 가정. 감사 가능 환경 이전 |
| 기업 CI/CD Claude Code 통합 | 고 | 고 | 노드 격리·최소 권한·Desktop Agent 혼재 금지 |
8. 5단계 자가진단·방어 체크리스트
- ANTHROPIC_BASE_URL 확인:
echo $ANTHROPIC_BASE_URL. 공백 또는api.anthropic.com이면 사건 B 미발동. 프록시 URL이면 고위험 분류군. - Claude Code 2.1.197+ 업그레이드: 2026-07-01 배포판에서 은닉 코드 제거.
claude --version으로 확인. - Native Messaging 스캔(사건 A):
경로 예:find ~/Library/Application\ Support -name "com.anthropic.claude_browser_extension.json" 2>/dev/null~/Library/Application Support/Google/Chrome/NativeMessagingHosts/및 Chromium 계열. 삭제 후 Desktop 재시작 시 재생성 주의. - TZ·프록시 도메인 대조:
systemsetup -gettimezone(macOS)로 Asia/Shanghai·Asia/Urumqi 확인. 프록시 도메인 147규칙 해당 여부 thereallo.dev와 대조. - 기업·민감 환경 격리: Claude Code를 빌드 시크릿·프로덕션 repo 전용 노드로 분리. Desktop Agent·CI Runner 동일 사용자 권한 공유 금지. 명시적 승인·감사 로그 필수.
9. AI 벤더 경계 침범: 대응 프레임
경고의 본질은 「한 개 아포스트로피」가 아니라 모델 능력 급등 vs 보안 경계·승인·감사 지연——벤더가 「UX/남용 방지」명목으로 신뢰 경계 일방 침범. PC·스마트폰 초기 보안 함정이 데스크톱 AI Agent에서 재현.
- 기본 불신·증거 우선: 재현·감사·OFF 가능해야 신뢰.
- 「공개而非은닉」 요구: 반증류는 공개·스위치 제공, 구두점 은닉 금지.
- 최소 권한+경계 격리: 모든 Desktop Agent를 고권한 SW 취급.
- 발로 투표+제도: GDPR/개보법·시장 선택이 「기술 무경계」 최종 제동.
기술은 무색할 수 있어도 기업에는 입장 필요.능력↑=자기 규율↑——사용자 역공학으로만 알게 될 비밀이어선 안 됨.
10. FAQ
Q: Claude Code는 스파이웨어?
전통적 스파이웨어는 아님. 역공학상 미공개·난독화 지문 삽입, 2.1.197 제거. 정확히는 「미공개 은닉 채널」.
Q: 타임존 감지?
비공식 ANTHROPIC_BASE_URL 시 Asia/Shanghai·Asia/Urumqi 확인, 구분자 -→/.
Q: Unicode 따옴표 trick?
Today's 아포스트로피 U+0027/U+2019/U+02BC/U+02B9 전환으로 도메인·랩·양쪽·기본 인코딩.
Q: Anthropic 추가 이유?
주류=증류·무단 재판매 탐지. 합법 목표, 불법적 은닉 구현.
Q: Desktop 스파이웨어와 동일?
아님. 4월 Desktop=사건 A, 6/30 Code=사건 B.
Q: 웹 Claude 사용자 영향?
사건 B는 Code+비공식 Base URL만. 공식 엔드포인트 무영향.
Q: Desktop 주입 파일 삭제?
NativeMessagingHosts에서 com.anthropic.claude_browser_extension.json 삭제. Desktop 재시작 시 재생성.
Q: Anthropic 신뢰?
리스크 허용·컴플라이언스에 따름. 브랜드가 아닌 재현 증거 기반 결정, 기업은 독립 감사.
11. 출처·컴플라이언스
- The Register: Claude Desktop changes software permissions without consent(2026-04)
- Malwarebytes/gHacks/YOOTA: Claude Desktop native messaging
- thereallo.dev: Claude Code prompt steganography(원역공학)
- Tech Startups/TMC Insight/Developers Digest/TechTimes: 사건 B·2.1.197
- Antiy Labs: Claude Desktop 고권한 브라우저 채널 리스크
- Hacker News(350+ points, 2026-06-30 전후)
공개 보도·역공학 기반. 동기(반증류)와 수단(은닉) 분리 평가. Anthropic 의도는 「커뮤니티/역공학」 표기, 법적 결론 아님. 최종 갱신: 2026-07-03.
12. 원격 Mac·SFTPMAC 결정 브리지
Claude Code·Desktop 권한 이슈의 본질: 「고권한 Agent를 어디서·무엇과 공존」. 노트북·CI 혼재 로컬에서 Code 실행 시 Native Messaging·은닉 분류 발생하면 빌드 시크릿·SSH 키·프로덕션 repo가 동일 사용자 권한——리스크면 통제 불가.
안정 경로: Claude Code·Agent 워크플로를 전용 상시 macOS 노드에 격리, 로컬 일상·브라우저·Desktop 물리 분리. SFTP/rsync로 워크스페이스·설정 스냅샷 동기화, 롤백·감사 확보. 《AI 코딩 어시스턴트 4강 비교》《Claude Fable 5 규제 대응》의 「원격 Mac 7×24 Agent 노드」와 동일 축.
Claude 툴체인 신뢰 경계 평가 중이라면 다음: Agent·민감 자산 분리→격리·감사 가능 Apple Silicon 원격 노드. SFTPMAC 원격 Mac 임대는 Claude Code/OpenClaw 상시 환경: launchd 상주·SSH/SFTP 디렉터리 격리·CI/CD 산출물 동기화——「가정용 Mac=Agent+일상 브라우저」보다 최소 권한·컴플라이언스 기록 팀에 적합.