Обратный анализ Claude Code выявил две ошибки кэширования, которые могут беззвучно увеличить стоимость API в 10-20 раз

Новостное сообщение с CoinJie. Согласно мониторингу 1M AI News, один разработчик с помощью Ghidra, MITM-прокси и radare2 выполнил реверс-инжиниринг отдельной установочной версии бинарного файла Claude Code объемом 228 МБ и обнаружил два независимых кэширующих бага, которые могут повышать API-расходы в 10–20 раз без ведома пользователя. Соответствующий анализ отправлен на GitHub (issue #40524); Anthropic пометила это как regresсионный баг и назначила на обработку. Первый баг находится в пользовательском рантайме Bun, который используется в отдельной установочной версии. Каждый раз при запросе API рантайм ищет в теле запроса идентификатор биллинга и выполняет замену, но логика замены срабатывает на первое совпадение в теле запроса. Если история диалога содержит эту строку ровно так, как требуется (например, при обсуждении внутренних механизмов биллинга Claude Code), замена попадает в содержимое сообщения, а не в системную подсказку, из-за чего при каждом запросе кэш триггерит полную перестройку. Временный способ обойти проблему — запускать npx @anthropic-ai/claude-code; версии npm-пакета не содержат этой логики замены. Второй баг затрагивает всех пользователей, которые восстанавливают сессию с помощью --resume или --continue; он был введен начиная с v2.1.69. При восстановлении сессии место, куда система внедряет дополнительную информацию, отличается от того, где это происходит при создании новой сессии, из-за чего префикс кэша полностью не совпадает: вся история диалога перестает читаться из кэша и вместо этого полностью переписывается. Последующие раунды восстановления работают нормально, но само действие восстановления уже создало существенные дополнительные затраты; сейчас внешнего обходного решения нет. Разработчик оценивает, что для длинного диалога примерно на 500 000 token Bug 1 при каждом запросе дополнительно расходует около 0.04 доллара США, Bug 2 при каждом восстановлении дополнительно — около 0.15 доллара США; вместе стоимость одного запроса может превышать 0.20 доллара США. Ранее инженер Anthropic Lydia Hallie подтвердила, что скорость достижения лимита пользовательского охвата «значительно выше, чем ожидалось», а в разделе комментариев на Reddit несколько пользователей считают, что эти два кэширующих бага могут быть одной из главных причин аномального расхода трафика.