Claude Code，被发现隐藏监视代码

这期图文笔记拆解 Claude Code 隐写标记争议：一段被逆向发现的隐藏代码，如何在特定代理/API 中转场景下读取本地时区、比对代理域名，并把结果藏进系统提示词里。Reddit 用户 LegitMichel777 称，这段逻辑从 Claude Code v2.1.91 起存在，直到 2026 年 6 月 30 日被公开讨论；相关帖子发布后在开发者社区快速扩散。12

争议的触发条件很具体：用户设置了 ANTHROPIC_BASE_URL，也就是把 Claude Code 请求导向自定义端点或代理/API 中转时，相关检测才会激活；直连官方 API 的用户不在这一触发路径内。检测逻辑包括本地时区是否为 Asia/Shanghai 或 Asia/Urumqi，以及代理域名是否命中中国公司、AI 实验室或中转站相关条目。13

最引发不安的是传输方式。公开分析显示，它没有新增一条显眼的网络请求，而是改写每次请求里本来就会发送的系统提示词：日期格式从 2026-06-30 变成 2026/06/30，Today's 里的撇号也被替换成肉眼很难区分的 Unicode 字符，用来标记不同命中状态。相关代码还经过混淆处理，版本更新日志也未直接说明这项检查。13

Anthropic 方面没有否认这段机制的存在。Claude Code 团队成员 Thariq Shihipar 在 X 上称，这是 3 月启动的实验，目的是防止未授权账号转售及模型蒸馏攻击；他同时表示团队已经合并回滚 PR，次日版本会完全移除。这个回应解释了「为什么做风控」，但没有解释几个关键问题：为什么要读取本地时区和代理地址，为什么关键词集中指向中国厂商，为什么用隐写术而非常规日志或透明风控提示。43

这件事对开发者尤其敏感，是因为 Claude Code 不是普通聊天网页。Anthropic 官方文档描述，Claude Code 可以理解整个代码库、跨文件编辑、运行命令、处理 Git 工作流，并能接入开发工具链；当一个拥有深度系统权限的 Agent 工具暗中扫描环境并打标，用户很难判断自己到底授权了什么。5

对个人和企业来说，这次争议提醒我们：公域 AI 工具的数据处理链路，很多时候对用户并不透明。用户看见的是一次对话或一次代码任务，工具背后可能还有日志、风控、审核、路由、第三方端点、策略实验等环节。真正的结构性保护，不能只靠「少传一点」或「相信设置开关」，还需要从数据进入系统前就降低明文暴露面：本地加密、密态推理、密态存储、服务端不可见、用户本地持有密钥，才更接近高敏感场景需要的 AI 加密平台能力边界。

Claude Code 这次争议，真正让开发者不安的点很具体：

它不是普通隐私条款更新，也不是一句「我们会做风控」就能解释过去的事。

逆向分析者在 Claude Code 里发现了一段隐藏逻辑：当用户通过 ANTHROPIC_BASE_URL 使用代理或 API 中转时，工具会检查本地时区和代理域名；命中后，不是额外发一条明显请求，而是把标记藏进系统提示词里。

最隐蔽的地方在第 4 张：

日期里的横杠变成斜杠，Today's 里的撇号换成几种视觉上几乎一样的 Unicode 字符。人眼看不出，系统能读出来。

官方回应说，这是 3 月启动的反滥用实验，用来防止账号转售和模型蒸馏，并承诺回滚删除。这个解释能说明风控目的，但没回答开发者最在意的几个问题：为什么要读本地时区？为什么要集中比对中国厂商和中转站？为什么不做透明日志，而要用隐写术？

更大的问题在于，Claude Code 这类 Agent 工具本来就有很深的系统权限：读写代码库、执行终端命令、接入开发流程。一个工具越能帮你做事，它越需要清楚告诉你自己在读什么、传什么、标记什么。

对企业和高敏感用户来说，真正要看的不是「以后怎么更小心使用某个工具」，而是公域 AI 工具的数据处理链路本身是否可见、可控、可审计。

如果明文输入、推理、返回、记录留存都发生在用户不可见的链路里，风险就很难靠个人习惯完全兜住。AI 加密平台的价值，正是在数据进入系统前就做本地加密，并通过密态推理、密态存储、服务端不可见、本地密钥持有等机制，尽量减少明文暴露面。

你怎么看这次 Claude Code 争议？反滥用风控可以做到多隐蔽，才算越界？

#AI 隐私 #ClaudeCode #Anthropic #AI 安全 #数据合规 #隐私保护 #AI 加密平台 #企业数据安全 #小红书科技 #开发者工具