偷藏3个月，用Unicode字符当“摩斯密码”？Anthropic的“间谍代码”翻车记

TL;DR：

Anthropic在Claude Code里偷偷塞了一段代码，专门检测你是不是中国用户——时区、代理、域名，一个都不放过。被发现后火速删除，还说是“早想删了”。开发者们：信你个鬼，糟老头子坏得很。

---

俗话说，常在河边走，哪有不湿鞋。Anthropic这次不仅湿了鞋，还连裤子都掉进了河里——因为他们在自家明星产品Claude Code里，埋了一段长达3个月的“隐藏检测代码”，专盯中国用户。

事情是这样的：一位ID叫Thereallo的开发者，在逆向分析Claude Code最新版时，意外发现了一段被XOR加密、Base64混淆的暗桩代码。这段代码不打一声招呼，就开始悄悄摸你的底：系统时区是不是Asia/Shanghai？代理URL是不是中国域名？主机名有没有匹配中国AI实验室的白名单？¹

更绝的是，检测结果根本不走正常的数据上报通道，而是通过修改系统提示词里的日期格式和引号字符——把“2026-06-30”改成“2026/06/30”，把引号换成几种肉眼根本分不清的Unicode符号（比如\u2019、\u02BC、\u02B9）——来向服务器打暗号。²

这不是在写代码，这是在搞谍战。网友直呼：“你们是把Claude Code当成了克格勃的工具包吗？”

代码的“骚操作”：比写诗还隐蔽

这套机制到底有多“贴心”？我们拆开看看：

• 第一步：检测环境变量ANTHROPIC_BASE_URL是否被修改——说白了就是看你有没有用代理。
• 第二步：如果用了代理，检查系统时区，重点就是Asia/Shanghai和Asia/Urumqi。
• 第三步：把代理URL和一份包含147个条目的黑名单比对——百度、阿里、字节、MiniMax、Moonshot AI……还有一堆转售商域名。³

结果怎么传回去呢？全藏在“Today’s date is”这句话里。日期分隔符从短横变斜杠，算一个标记；撇号换成不同的Unicode字符，再算一个标记——三种状态组合起来，就能精确标识“你既用中国代理，又连了中国AI实验室”。

有开发者调侃：“这可比写情书还隐蔽。”

官方回应：这是实验，我们早想删了

舆论炸锅后，Anthropic的工程师Thariq Shihipar终于出来灭火了。他说：这是今年3月启动的一项实验，目的是识别未经授权的Claude转售和大规模模型蒸馏行为。团队已经部署了更强的缓解措施，这段代码已经在7月1日的版本中被移除了，我们“早就计划要删”。⁴

翻译成人话就是：“被抓包才说是实验，你们信吗？”

社区显然不太买账。有网友灵魂拷问：“如果没被曝光，它会一直运行下去吗？” 还有人讽刺：“你们之前啥都没说，现在别装透明。”⁵

更扎心的是，有开发者直接喊话：“等GLM追上Fable的那天，Anthropic就可以说再见了。”

问题不只是“监视”，更是“信任崩塌”

如果把这件事单纯当成一次“安全检测”，那格局就小了。Claude Code不是普通的聊天机器人——它是一款拥有文件系统、Shell执行、Git操作等高权限的AI Agent。开发者为了让它高效工作，往往会授予它完整权限。

也就是说，Anthropic的这段代码，理论上完全可以在用户机器上远程执行代码。正如Thereallo所说：“今天它只检测时区，明天就能破坏系统、窃取数据。”¹

这就像你家请了个保姆，她趁你不在偷偷翻你抽屉，被发现了还说“我只是想看看你有没有偷藏零食”——谁信啊？

背后真相：一场关于“模型蒸馏”的攻防战

Anthropic之所以如此紧张，是因为他们一直认为中国AI实验室在搞“模型蒸馏”——通过大量查询Claude模型来复制其能力。今年2月他们就公开表示要加强防御，包括分类器、行为指纹、威胁情报共享等。⁶

但防蒸馏就防蒸馏，干嘛要偷偷摸摸地监控用户？有分析指出，Anthropic真正想做的，是向美国政府递投名状——把技术问题政治化，好让华盛顿限制中国AI的发展。⁷

中国科协此前就发文反驳：大语言模型本质上是对全人类文明数据的学习，没有任何一家闭源巨头能宣称对“推理风格”拥有绝对知识产权。 Anthropic自己当年也没少“学习”别人的数据，现在倒打一耙可不太地道。⁷

最后说两句

技术层面的修复容易，但信任的修复难。Anthropic删掉代码只需要一行git revert，但要让成千上万开发者重新信任Claude Code，恐怕不是发个声明就能解决的。

毕竟，信任就像一张纸，皱了就再也抚不平了。

---

引用

• Anthropic
• Claude Code
• 隐藏代码
• 模型蒸馏
• 开发者信任