La scoperta porta la firma di uno sviluppatore web noto come Thereallo. Mentre analizzava le questioni di privacy in Claude Code, si è imbattuto in qualcosa di inatteso: Anthropic aveva inserito un tracker nascosto in bella vista usando una tecnica di steganografia prompt. Il codice – non dannoso di per sé – era progettato per segnalare silenziosamente informazioni come fuso orario, proxy e possibili collegamenti con laboratori AI cinesi, quelli che l’azienda accusa di attacchi di distillazione.

La mossa, confermata dall’ingegnere Thariq Shihipar come un “esperimento” di marzo, era finalizzata a contrastare abusi da parte di rivenditori non autorizzati e a prevenire la distillazione. Numeri del Washington Post raccontano un mercato sommerso: modelli gratuiti rivenduti a un dollaro al mese, abbonamenti pro da 100 dollari scontati fino a 12. Un problema reale, che Anthropic ha provato a risolvere con un segreto tecnicico.

La steganografia prompt, qui, non è altro che l’inserimento di marcatori criptici direttamente nel flusso di dialogo con l’utente: segnali che l’interfaccia normale non mostra ma che il sistema può leggere per tracciare l’origine della richiesta. Per chi cerca di proteggere la proprietà intellettuale dei modelli, è uno strumento potente. Ma quando viene attivato senza trasparenza, diventa un boomerang. Thereallo l’ha definito una “grave violazione della fiducia degli utenti”, e ha ragione.

Qui non si tratta solo di una svista di comunicazione. Il caso apre una frattura più profonda: quella tra la difesa dei modelli da usi impropri e il diritto dell’utente di sapere cosa accade ai propri dati. Sui forum specializzati, il dibattito si è subito polarizzato. Da un lato, c’è chi ricorda che la distillazione è un pericolo concreto, capace di svuotare investimenti miliardari in ricerca. Dall’altro, c’è chi vede in queste pratiche l’ennesima ragione per evitare servizi cloud opachi.

Per le aziende che valutano dove far girare i propri Large Language Models, la vicenda ha un effetto catalizzante. Quando un fornitore può iniettare codice di monitoraggio non dichiarato, l’intero edificio della conformità GDPR e della sovranità dei dati vacilla. Non basta più la promessa contrattuale: serve la garanzia tecnica che nessun bit lasci il perimetro aziendale senza controllo. È esattamente il terreno su cui prosperano i deployment on-premise e self-hosted, dove l’audit è possibile perché l’infrastruttura è sotto il dominio diretto del team IT.

Chi produce hardware per l’inference on-prem – dalle GPU consumer ad alta VRAM ai server specializzati – potrebbe leggere in questo episodio un acceleratore di domanda. Le organizzazioni che trattano dati sensibili, dalle banche alla sanità, ora hanno un argomento in più per spostare il budget dal canone cloud all’acquisto di capacità locale. Non è una questione ideologica ma di Total Cost of Ownership e di rischio legale: con un tracker nascosto, il titolare del trattamento perde la possibilità di dimostrare la compliance.

Certo, la sicurezza dei modelli resta cruciale. Il self-hosting non è una bacchetta magica: protegge la privacy ma rende più difficile per i fornitori bloccare attacchi sistematici. La tensione tra queste due esigenze diventerà uno dei temi centrali per chi progetta pipeline di inference nei prossimi anni. La rimozione rapida del tracker da parte di Anthropic non chiude la discussione; al contrario, solleva la domanda scomoda: quante altre funzionalità di sorveglianza silenziosa abitano i tool AI che usiamo ogni giorno senza che ce ne accorgiamo?