# Anthropic在Claude Code中植入隐写术代码识别中国用户 - 来源：数字生命卡兹克 (@Khazix0918) - 发布时间：2026-07-01 16:28 - AIHOT 分数：76 - AIHOT 链接：https://aihot.virxact.com/items/cmr1u7r7z021usl8z9wmem0kg - 原文链接：https://x.com/Khazix0918/status/2072235797592658395 ## AI 摘要 社区逆向发现，Anthropic在Claude Code中植入代码，通过读取本地系统时区（如Asia/Shanghai）和ANTHROPIC_BASE_URL环境变量（与内置147个域名的列表比对）识别中国用户。识别后，使用隐写术修改系统提示词中的Unicode字符（如单引号从U+0027替换为其他字符）和日期分隔符（连字符改为斜杠），形成2-3比特标记回传服务器，而人类肉眼无法察觉。该工具拥有文件系统权限、可执行Shell命令，此举引发开发者对信任安全的广泛质疑。 ## 正文 http：//x.com/i/article/2072233587114680321 # Anthropic偷偷在Claude Code中植入了隐形代码，只为识别中国用户。 这两天，Claude大面积封号。 国内的Claude用户，几乎被封完了。 我的两个Max订阅账号，已经阵亡了一个了。。。 剩下一个老号在苟延残喘，感觉过不了两天这个号基本上也会没了。 而且非常骚的是，大家发现，Anthropic在给大家封号的邮件里，甚至还偷偷埋了一个地址追踪。 就属于，小聪明贼多，但是全都在为了防中国用户。 但很快大家就发现，在邮件里面塞追踪器，也不是啥特别骚的操作，因为，还有更骚一万倍的。 事情的起因，是昨天，Reddit上有大佬逆向了一下Claude Code，然后在里面发现了一个Anthropic为了封堵中国用户，而搞出来的究极骚操作。 一段话总结就是："Claude Code会静默的读取你本地的电脑的信息，并且用一种极度隐秘的方式，秘密的向服务器传输这个用户是否是中国用户。" 这个老哥，甚至用"间谍软件"四个字来形容。 但是我讲道理，如果不是他发现，这个传输和识别是否是中国用户的做法，真的是又狗又隐秘。 我也把我本地的Claude Code用Codex逆向验证了一遍，答案是真的。 先从最多人关心的问题说起，它到底是怎么在你开了魔法的情况下，还能识别出你是中国用户的。 传统的地域封锁靠的是IP地理位置判断，你开个魔法就能绕过。 但Claude Code这段代码走的是两条完全不同的路径，跟你的网络出口IP没有任何关系。 因为，它根本不看你的IP。 第一条路径是操作系统时区。 它读的是你macOS或者Linux系统本地设置的时区，因为绝大多数中国开发者可能会挂魔法，但是我们也得正常生活看时间，所以电脑时区几乎不可能改，设的都是北京时间，而Claude Code，会直接读取你的本地时区。 第二条路径是ANTHROPIC_BASE_URL这个环境变量。 国外正常使用Claude Code的用户，如果使用官方API请求的话，是直接发给api.anthropic.com，不需要设置这个变量。 但国内因为基本用不了Claude，但是这个模型在过去，又确实好，所以大量中国开发者只能通过中转站来用Claude Code，方式就是把ANTHROPIC_BASE_URL改成中转站的地址。 而且很多大厂或者公司，因为不可能给每一个员工单独注册一个Claude账号，所以也是通过自建公司内部中转站的方式，来给大家Claude的API，从而让大家完成调用。 路径也就是变成了用户的消息，先统一去到中转站那边，中转站再发送到Anthropic的服务器上。 Claude Code在本地拿到你设置的这个地址之后，会自动把域名取出来，跟一份内置的列表做比对。 这份列表是Anthropic收集到的所有已知中转站、国内大厂内网代理、竞品AI公司的域名合集。 我在我的电脑上也解码出来了，一共147个域名。 不仅有N个中转站地址，国内各大厂的域名，也都赫然在列。 包括美团、网易、百度、携程、小红书、阿里巴巴、蚂蚁、字节跳动、京东、B站、月之暗面、MiniMax、阶跃星辰等等等等。 还有一个很有意思的是。 而且这些列表不是明文存储的，它们是被base64编码之后又做了一次XOR异或运算，密钥是91，如果你自己去打开Claude Code的包，看到的是一串完全无法阅读的乱码，不反混淆出来，你其实根本不知道里面写了什么。 好，识别机制说清楚了。 接下来才是最骚的，也就是它识别出来之后，到底做了什么。 每一次你在Claude Code里输入一个指令，不管是让它写段代码还是干个啥，Claude Code在把你的请求发给Anthropic的后端之前，都会自动在最前面拼接一段系统提示词。 这段系统提示词为了让模型知道一些最新的事实信息，所以一般会在里面拼一行很普通的信息，就是这个： Today's date is 2026-06-30. 其实就是告诉模型今天是几号，比如今天是6月30号。 这行字，就是Anthropic动手脚的地方。 Reddit那个老哥发现，Claude Code的打包文件里藏了一组函数，这组函数会根据上面两条路径的识别结果，如果在本地发现你是中国的用户，就会在你真正的发送请求之前，对这行日期字符串做两处修改。 而且两处修改都是人类肉眼几乎不可见的，你在任何编辑器、任何终端里看这行字，它跟正常版本长得一模一样。 但是从机器解码角度来说，也就是在Unicode编码层面，它已经变了，完完全全变成了另一个字符。 第一处修改是「Today's」里那个单引号。 正常情况下，这个单引号的Unicode编码是U+0027，就是我们一般按键盘敲出来的那个单引号。 但Claude Code如果根据你的环境，识别到你是个中国用户，它就会极其鸡贼的把它这个单引号，替换成另外三个长得完全一样的Unicode字符之一，然后这段被修改过的Prompt，就会发回到他们的服务器上。 第二处修改是日期里的分隔符。 正常的Prompt日期格式是2026-06-30，用连字符分隔。 但如果Claude Code检测到你的操作系统时区设置是Asia/Shanghai（上海）或者Asia/Urumqi（乌鲁木齐），它就会把连字符换成斜杠，变成2026/06/30。 这两个信号叠在一起，构成了一个2到3比特的分类标记。 Anthropic的服务器在收到你的请求时，不需要做任何额外的检测，只需要机器识别一下系统提示词里那个单引号是哪个Unicode字符、日期分隔符是连字符还是斜杠，就能判断出这条请求是否来自中国大陆时区。 这个东西在技术上有个名字，叫隐写术，steganography。 就是把信息藏在看起来完全正常的载体里。 如果不是这次，几乎没有人能发现Anthropic这么狗，因为即使Claude Code在本地识别到你是中国区用户，传不回Anthropic的服务器，也没啥用处。 但是如果直接大大咧咧把时区之类的封装一下传回去，那大家其实也不傻，都能看到传输的数据记录，是完全可以针对性的做清洗的。 但是没想到Anthropic这么玩，几乎真的发现不了。 我现在是真的有点佩服他们。 为了防止中国用户用上他们高贵的Claude，都已经做到这个地步了。 社区在发现这件事后，直接就炸了，不仅中国开发者炸了，国外的开发者也炸了。 这篇帖子已经100万了。 最最最核心的点是，Claude Code，这不是一个普普通通的APP而已。 它拥有你电脑的文件系统权限，它能执行Shell命令，它能读你的代码、改你的配置、操作你的Git仓库，换句话说，它几乎拥有着你家的最高权限。 而这个东西，在你完全不注意的时候，在你家门上画了一个你几乎无法察觉的标记，就是为了告诉它的同伙，这户人家不对劲，记得把他们灭门了。 大概就是这个意思。 而且软件行业一直有一个被广泛接受的原则，就是你可以收集用户信息，但你必须告诉用户你在收集什么、为什么收集、怎么收集。 GDPR是这么要求的，苹果的App Store审核指南是这么要求的，甚至Anthropic自己的安全白皮书里，也在反复强调"透明"和"可信"这两个词。 结果你自己的开发者工具里，用隐写术藏了一个分类标记，用XOR加密把检测目标混淆成乱码，用最不透明最狗的方式，传了用户的标记数据回来。 那对所有用Claude Code的开发者来说，信任还何在？ 今天是中国，那明天，就有可能是别的国家。 "中国"，只是全球的代名词。 而且这只是目前针对中国的被爆出来的标记，那还有没有可能，有更多呢？ 没有人知道。 但我知道，信任这个东西，建起来可能要三年。 而塌掉的时候。 仅仅只需要1秒。