Claude Code 隐写术曝光：你的 AI 编程助手，在背后标记了你

“你们的隐写 Claude Code 还能用吗？”6月30日下午，一位开发者在朋友圈发出疑问。术曝

与此同时，编程背后标记大批量 Claude Code 用户账户遭遇封禁——账号注册时间跨度从两年至一个月不等。助手

这一现象背后，隐写是术曝当天几乎同时发生的两件事：

1. 美国商务部正式解除对 Anthropic Claude 模型（Fable 5 和 Mythos 5）的出口管制，Anthropic 随即在 X 平台高调宣布“感激用户耐心等待”。编程背后标记
2. Reddit开发者 AdnaneKhan 在 r/ClaudeAI 板块发布重磅帖子，助手标题简短却极具冲击力：“Anthropic embedded spyware in Claude Code and 隐写made it open-source.”（Anthropic 在开源的 Claude Code 中偷偷植入了监控代码——正因为它是开源的，才有人发现了这件事。术曝）

尽管帖子随后被删除，编程背后标记但其内容已被多个技术社区存档。助手同日，隐写AdnaneKhan 在 GitHub Gist 发布了一份详细的术曝技术分析报告，还原了他在 Claude Code 编译二进制文件中发现的编程背后标记可疑逻辑。

此后，技术社区的讨论焦点迅速从“Claude Code 是否封禁中国用户”转向一个更根本的问题：你可以封禁我的账号，但不能在我不知情的情况下标记我。

Claude Code 做了什么？

AdnaneKhan 在 Reddit 的帖子及后续的技术分析报告引发了国内外媒体的快速关注。Anthropic 技术团队成员 @trq212 随后在相关讨论中回应称，下个版本将移除这段代码。

换言之——这件事是真的。

根据 AdnaneKhan 在 GitHub Gist 发布的技术分析报告（已被多家媒体交叉验证），自 2026年4月2日发布的 v2.1.91 版本起，Claude Code 客户端便植入了一段隐写逻辑。该逻辑主要执行以下三步操作：

第一步：探测你的环境

代码会检查 ANTHROPIC_BASE_URL环境变量。如果用户将其指向非官方端点（例如使用 API 中转服务），程序将执行以下操作：

• 提取配置的代理域名；
• 读取系统时区，重点比对 Asia/Shanghai和 Asia/Urumqi；
• 将代理域名与一份包含 147 个条目的解码清单进行比对。

这份清单包含什么？根据分析报告，其中涵盖了百度、阿里巴巴、蚂蚁集团、字节跳动、Moonshot AI（Kimi）、MiniMax、StepFun 等中国科技公司和 AI 实验室的域名特征。

第二步：把信息编码进系统提示词

这是整个设计最精巧（也最令人不安）的部分。

Claude Code 每次向服务器发送请求时，都会在系统提示词中包含一行固定文字：“Today's date is 2026-06-30.”。这段代码会偷偷修改这行文字，将环境信息编码其中：

第三步：用混淆掩盖这一切

这段代码的字符串经过 XOR 密钥 91进行混淆后，嵌入编译后的二进制文件中。函数名被压缩，逻辑被拆分，使得正常的二进制审查难以发现。

更重要的是：v2.1.91 的发版说明中，只字未提此功能。

结合 Anthropic 此前公开指控关联实体发动大规模模型蒸馏攻击，以及其官方明确不支持任何中国用户使用的条款，或许可以解释其动机。

但问题的核心在于手段，而非目的。

将监控逻辑用隐写术藏进系统提示词、用 XOR 混淆规避审查、且在发版说明中不予披露——这些行为即使以“防止滥用”为由，也越过了一条明确的红线：用户知情权。

当一个开发工具在用户不知情的情况下，把环境信息编码进每一次请求，这已经不是“风控”，而是植入。

与此同时，戏剧性的时间巧合令人唏嘘：解禁与曝光在同一天。

如果说美国商务部的出口管制理由是“国家安全”——担心先进 AI 模型流入中国、被滥用或用于蒸馏攻击，那么在这个叙事中，Anthropic 是被动遵守管制的一方。

但同一天曝光的事实说明：Anthropic 根本不需要靠出口管制来监控中国用户。他们早就在客户端做了标记系统，悄悄识别、追踪中国用户和代理服务。管制令解除后，监控逻辑依然在运行。

而商务部长 Lutnick 在解禁信中写道：“已确保适当的保障措施到位，允许某些‘受信任合作伙伴’访问模型。”这句话此刻显得极具讽刺意味。Anthropic 的“保障措施”似乎是：我们早就在盯你们了，解禁与否无所谓。

国内开发者还能用什么？

隐写术曝光之后，许多国内开发者第一次认真思考一个问题：如果不用 Claude Code，我还有什么选择？

这个问题其实包含两个层面：一是“能用到什么水平”，二是“用起来安不安全”。

关键问题：能力到底差多少？

这是开发者最关心的问题。根据公开测评和开发者社区反馈：

• 代码补全：国产工具在中文注释 + 中文需求描述的场景下，已经持平或超越Claude Code；
• 多文件重构：Claude Code 仍然领先，但 CodeBuddy 和 Trae 在 2026 年上半年的迭代中显著缩小了差距；
• AI Agent 自主编程（Claude Code 的核心卖点）：国产工具正在快速追赶，CodeBuddy Code 2.0（2026年2月发布）已支持类似能力；
• 上下文长度：国产工具普遍支持 128K-256K 上下文，Claude Code 支持 200K，差距不大。

更深层的问题：数据安全

隐写术事件之后，数据安全成为国内开发者和企业不得不面对的问题。

使用 Claude Code（通过任何方式）意味着：

• 你的代码、注释、项目结构，都会发送到 Anthropic 的服务器；
• 即使通过 API 中转，请求最终仍然到达 Anthropic；
• Anthropic 的隐私政策明确：为了“改善服务”，可以使用用户数据训练模型（企业版除外）。

使用国产工具的优势：

• 数据留在国内，遵从《数据安全法》和《个人信息保护法》；
• 企业版可以私有化部署，代码不出内网；
• 合规审计路径清晰。

Claude Code 此次事件并非突发，国内大厂也在加速推进 AI 编程工具的企业版私有化部署方案，技术实力差距正在逐步缩小。我们希望让最方便的工具用得最顺手，但前提是安全。

开发者自测——你的 AI 工具安全吗？

隐写术事件之后，每个开发者都应该问自己几个问题：

1. 你用的 AI 编程工具，数据存储在哪里？
2. 它的隐私政策是怎么说的？是否会用你的代码训练模型？
3. 它有没有开源客户端，让你可以审计它发送了什么？
4. 如果你用了代理/中转服务访问 Claude，中转方能看到你的代码吗？
5. 你的项目是否包含敏感业务逻辑？如果有，你确定代码上传到境外服务器是安全的吗？
6. 如果明天 Claude Code 彻底封禁所有中国账号，你的工作流能在多长时间内恢复？

或者，如果你决定切换，目标迁移 AI 工具可以给出一些可行的配置路径。

信任是 AI 工具的底线

防止滥用、防止蒸馏攻击、遵守出口管制，这些都是合理的目标，但 Anthropic 的手段越过了红线。

把监控逻辑用隐写术藏进系统提示词，这意味着：即使用户读了系统提示词，也发现不了自己被标记了。这种设计的目的，显然不是风控，而是不让用户知道自己在被监控。

当一个开发工具获得了访问你整个代码库的权限，信任就是它唯一的合法性基础。一旦信任被破坏，再好的模型能力也无法弥补。

Claude Code 隐写术事件可能不会是最后一例。

AI 工具需要收集数据来改进模型，这是行业现实。但如何收集、收集什么、用户是否知情、是否可以拒绝，这些问题的答案决定了 AI 工具是否值得信任。

Anthropic 的隐写代码，在任何一个严肃的监管框架下，都很难被认定为合规。

这次事件，让很多人开始直面选择，答案每个人不同，但起码，我们应该有知情的权利。

（本文首发钛媒体APP，作者 | 硅谷Tech_news，编辑 | 盖虹达）

(责任编辑：娱乐)