Em março de 2026, a Anthropic adicionou código oculto ao Claude Code. Quatro meses rodando silenciosamente em ambientes de desenvolvimento do mundo inteiro. O objetivo declarado: detectar empresas tentando roubar modelos por destilação. Quando o engenheiro Thariq Shihipar confirmou ao The Register, em 1 de julho, a frase foi: "We've actually been meaning to take this down for a while."
Tradução livre: estava na hora de remover algo que nunca foi anunciado.
O que estava escondido no Claude Code?
O sistema usava esteganografia, técnica de ocultar informações dentro de dados aparentemente normais. No Claude Code, eram marcadores Unicode invisíveis embutidos em respostas que pareciam texto simples.
O que o código verificava, segundo o The Register:
- Variáveis de ambiente e a URL base da chamada de API
- Timezone do sistema
- Hostnames comparados contra uma lista de laboratórios de IA concorrentes, empresas chinesas de IA e revendedores não autorizados
O objetivo era identificar se o Claude Code estava rodando dentro de um ambiente de terceiro tentando interceptar e destilar os modelos da Anthropic. Destilação, em IA, é quando você usa as respostas de um modelo para treinar outro mais barato. A Anthropic estima que essa prática pode valer bilhões em receita de treinamento que nunca chega a eles.
Por quanto tempo rodou sem anúncio público?
De março a 1 de julho de 2026. Quatro meses.
Durante esse período, qualquer dev usando o Claude Code com configuração de API não padrão, proxy corporativo ou CI/CD integrado estava sujeito a essa inspeção. Não havia menção nos release notes. Não havia entrada no changelog público. Não havia opt-out.
"It's not malicious, but it's a weird choice for a developer tool that asks for trust."
— Thereallo, desenvolvedora, via The Register
A Anthropic tinha alguma razão?
Honestidade obriga dizer: sim, parcialmente.
Destilação não autorizada é um problema real. Empresas têm usado APIs de modelos frontier para criar versões mais baratas sem pagar pelos custos de treinamento. A Anthropic, que investe bilhões para treinar o Claude, tem razão em querer se proteger.
Mas proteção técnica contra destilação é uma coisa. Vigilância de ambiente de desenvolvimento sem disclosure é outra. Existem alternativas: rate limits inteligentes com análise de padrão de uso, watermarking de output, honeypots em API, detecção por volume e padrão de chamada. Nenhuma dessas exige rodar código que inspeciona variáveis de ambiente e hostnames no sistema do dev.
O ponto central da crítica não é que o código fosse malicioso. É que uma ferramenta de desenvolvimento que pede confiança não pode ter features ocultas que inspecionam o ambiente onde código proprietário roda.
O que foi coletado nos seus projetos?
Aqui está o problema central: ninguém sabe exatamente.
O The Register descreve o que o código verificava, não o que foi transmitido. Variáveis de ambiente, timezone e hostnames são dados de infraestrutura. Em ambientes de CI/CD, variáveis de ambiente frequentemente incluem tokens de acesso, nomes de serviços internos e identificadores de infraestrutura privada.
A Anthropic não publicou auditoria detalhando o que foi coletado durante os quatro meses. O anúncio de remoção, feito por Thariq Shihipar, confirma que o código existia e explica a motivação. Não detalha o escopo de coleta nem lista o que foi transmitido.
Se você usou o Claude Code entre março e 1 de julho com proxy interno, CI/CD integrado ou URL base personalizada, não é possível saber com certeza o que foi inspecionado no seu ambiente.
Por que isso importa além de privacidade de código?
É sobre o modelo de confiança que o mercado de agentes de programação está construindo.
Em 2026, o Claude Code é a ferramenta mais amada por devs segundo pesquisa do Pragmatic Engineer com 906 respondentes, com 46% indicando como preferência. Código de startups, empresas de saúde, fintechs e produtos de defesa passa por esse agente todo dia.
Quando a ferramenta mais adotada adiciona vigilância de ambiente sem anúncio público e leva quatro meses e um artigo do The Register para ser removida, o mercado todo aprende algo: o dev é o usuário, mas não é o principal cliente que o produto protege.
A remoção em 1 de julho é o movimento certo. O problema é que demorou.
O que modelos open source mudam nessa equação?
Quando um modelo roda open source em infraestrutura dedicada, o incentivo para vigilância de ambiente desaparece. Não há modelo proprietário para proteger contra destilação porque não há modelo proprietário.
No Verboo Code, os modelos disponíveis como deepseek-v4-flash, mimo-v2.5 e qwen3.6-27b rodam em GPU dedicada com licenças MIT e Apache 2.0. A Verboo não compete no mercado de treinamento de modelos, então não tem incentivo para coletar padrões de uso proprietário para proteger ativos de treinamento.
Isso não resolve todos os desafios de privacidade de código. Qualquer agente de programação conectado à internet recebe contexto de código quando você inclui arquivos numa sessão. A diferença é o motivo pelo qual esse contexto seria monitorado adicionalmente.
128 devs já usam o Verboo Code com tokens ilimitados por R$75/mês. O MRR chegou a R$18.824 em julho. Não porque tokens ilimitados resolve privacidade, mas porque a conta de uso para quem programa pesado funciona sem cap.
O que fazer se você usou o Claude Code de março a julho?
- Revise o que estava nas suas variáveis de ambiente durante esse período
- Verifique se tokens de infraestrutura estavam expostos no ambiente onde o CLI rodava
- Acompanhe se a Anthropic publicará auditoria de coleta nas próximas semanas
Para entender o cenário completo dos coding agents em 2026 com custo e benchmark comparado, o comparativo Cursor vs Claude Code vs Verboo Code está publicado aqui no blog.
Enquanto o mercado discute, a Verboo Code já entrega tokens ilimitados em agente de programação. Conheça.
