偷藏3個月，Anthropic刪除識別“中國AI”的隱藏代碼，官方回應：這只是一次實驗，我們早想刪了

整理 | 屠敏

出品 | CSDN（ID：CSDNnews）

這兩天，Anthropic 因一段藏在 Claude Code 中的“隱藏檢測代碼”，站上了開發者社區的輿論風口。

一切起因是 Reddit 上一位開發者在逆向分析 Claude Code 時發現，Anthropic 從今年 4 月起就在這款備受歡迎的 AI 工具中加入了一套特殊檢測機制：當檢測到用戶通過代理訪問時，程序會進一步判斷系統是否位于中國時區、代理是否屬于中國域名，以及是否與中國 AI 實驗室存在關聯，并通過修改系統提示詞中的日期與標點字符，將檢測結果以不同 Unicode 形式進行編碼。

由于整個過程既沒有向用戶提示，也沒有出現在任何更新日志中，相關代碼還經過了混淆處理，因此迅速引發了關于隱私、透明度以及開發者信任的大討論。

事件持續發酵后，Anthropic 如今首次作出公開回應。

Anthropic 首度承認隱藏代碼的存在，稱只是一項實驗

日前，負責 Claude Code 的 Anthropic 工程師 Thariq Shihipar 表示，相關修復會在 7 月 1 日發布的版本中上線。

他解釋稱：“這項檢測機制最初是今年 3 月啟動的一項實驗，主要用于識別未經授權的 Claude 轉售服務以及可能存在的大規模模型蒸餾行為。”

所謂「模型蒸餾」，指的是 AI 行業中通過大量查詢模型輸出，從而復制模型能力的一種做法。

Thariq Shihipar 還表示，Anthropic 團隊在此之后已經部署了更強的緩解措施，「事實上我們也已經計劃將其移除一段時間了。我們已經合并了相關 PR，這一功能將在最新的版本發布中被完全回滾。」

這也是 Anthropic 首次公開承認，這套檢測邏輯真實存在。

值得注意的是，Anthropic 并沒有否認開發者此前逆向分析出的技術細節，也沒有解釋為什么相關機制此前一直沒有公開說明，而是將重點放在了代碼存在的目的以及即將移除這一事實上。

這段代碼到底做了什么？

正如我們，整場風波最初源于一位名為 Thereallo 的開發者在逆向分析 Claude Code 最新版本時的一次意外發現。

Thereallo 稱，一段已經存在近三個月的隱藏代碼始終沒有被外界注意。

這段隱藏代碼首先會檢查 Claude Code 的 Base URL 環境變量。這個變量通常用于將 API 請求轉發至代理服務器或網關。如果發現 Base URL 被修改，程序便會進一步檢查系統時區，以及當前主機名是否與一份預設名單中的條目匹配。這份名單包含了已知的中國 AI 實驗室、其他 AI 公司、賬號轉售商以及代理網關域名等。

簡單而言，當 Claude Code 檢測到用戶啟用了代理時，程序會：

• 檢查系統時區是否為 Asia/Shanghai 或 Asia/Urumqi；

• 檢查代理 URL 是否屬于中國域名、是否命中特定域名列表，以及是否關聯中國 AI 實驗室。

隨后，Anthropic 會根據這兩項檢測結果，修改 System Prompt 中日期相關的內容。

例如，如果系統時區屬于中國，日期格式會從「2026-06-30」變成「2026/06/30」。

除此之外，“Today’s date is” 中的英文引號也會根據代理 URL 的檢測結果替換成不同的 Unicode 字符：

• 代理 URL 為中國域名或匹配域名白名單，但并非 AI 實驗室：撇號使用 \u2019（右單引號——‘）；

• 代理 URL 非中國域名或不匹配白名單，但關聯中國 AI 實驗室：撇號使用 \u02BC（修飾字母撇號——?）；

• 代理 URL 既為中國域名又關聯中國 AI 實驗室：撇號使用 \u02B9（修飾字母上撇號——?）。

這些內容都可以在 Claude Code 的源代碼中得到驗證。隨即，也確實有不少網友實錘出了這一隱藏代碼。

這些字符在人眼看來幾乎完全一致，但對于服務器而言，每一種字符都對應著一種不同的狀態。

Thereallo 表示，Anthropic 希望識別與中國 AI 競爭對手或賬號轉售商相關的域名，這一目的本身并不難理解，但問題在于，這套機制被刻意隱藏了起來。

通過分析發現，這套代碼還使用 XOR 和 Base64 對相關域名列表進行了隱藏。這并不是一個惡意功能，但對于一款需要開發者信任的工具來說，這是一種非常奇怪的設計選擇。

對于這種隱瞞的行為，Thereallo 甚至直接其定性為“間諜軟件”。同時，也正是這些細節疊加在一起，讓事件迅速發酵。

早有計劃？

不止如此，外媒 The Register 也披露，在今年 2 月，也就是這套隱藏檢測機制上線前不久，Anthropic 就曾公開表示，公司正在持續投入資源，加強針對模型蒸餾的防御能力。

當時披露的措施包括：利用分類器和行為指紋識別異常訪問，與其他 AI 實驗室共享威脅情報，加強訪問控制，以及采用各種技術手段提高利用模型輸出復現 Claude 模型的難度。

其中一項防御機制，也隨著此前 Claude Code 源代碼泄露而浮出水面。

泄露的代碼顯示，Claude Code 的一個 TypeScript 文件中包含一個名為 ANTI_DISTILLATION_CC 的功能開關。開啟后，它會在 API 請求中注入偽造的工具調用數據，試圖讓這些數據在用于模型訓練時產生干擾，從而降低蒸餾效果。

不過，僅靠技術手段顯然并不是 Anthropic 的全部策略。

此前，Anthropic 還曾呼吁整個 AI 行業、云服務提供商以及政府共同應對模型蒸餾帶來的風險。

官方回應之后，社區并沒有完全買賬

現如今 Anthropic 的回應雖然解釋了代碼存在的原因，卻沒有真正平息爭議。

在 Thariq Shihipar 這條帖子的下方，有網友質問 Anthropic：“如果這件事沒有被公開曝光，它是不是就會一直這樣悄無聲息地運行下去？”

還有人諷刺道：

這不是一個合理的借口。你們是在試圖把東西鎖進控制框架里，更嚴格地約束模型的行為。但這些做法既無助于創新，也無益于公眾利益，而且還是因為有人曝光才浮出水面。你們之前根本什么都沒說，現在也別裝作這件事是公開透明的。

“我們其實早就打算把它移除了”——難道 Mythos 連快速處理這點事的能力都沒有嗎？真的？你們覺得我們都是傻子嗎？

更有開發者期盼：“迫不及待想看到 GLM 和其他模型追上 Fable 的水平了。等到那時候，Anthropic 就可以說再見了。”

雖然也有部分用戶認為，檢測代理、IP、時區等信息，本質上與很多軟件收集的遙測（Telemetry）數據沒有太大區別，遠遠談不上所謂的“間諜軟件”，但使用 Claude Code 的更多開發者還是產生了不安的情緒。

在他們看來，如果 Anthropic 的目的確實是保護模型、防止未經授權的轉售和蒸餾，那么完全可以公開說明。例如，在更新日志中明確新增了一項安全檢測機制；或者直接通過正常的請求字段上傳相關標記，而不是將信息編碼進 System Prompt，再通過 Unicode 字符完成傳遞。

而如今，隱藏、混淆、不披露三件事同時出現，使得整件事情看起來更像是在刻意規避用戶注意，而不是一次普通的安全檢測。

最后

如果只是一個普通聊天機器人，這件事或許不會引起如此大的反響。但 Claude Code 并不是普通聊天工具。

現實應用中，為了讓它能夠完成編碼、修改項目、運行測試等任務，很多開發者會授予它相當高的系統權限，包括文件系統訪問權限、Shell 執行權限、Git 操作權限，甚至允許直接運行本地命令。

也就是說，Claude Code 本質上是一款擁有較高系統權限的 AI Agent。正因為如此，開發者需要對工具本身保持高度信任。

可是 Claude Code 這次的這波操作，也是對用戶信任的根本性破壞。

正如 Thereallo 所說，“像我這樣的開發者，會授予 Claude Code 完整的文件系統權限以及大量 Shell 權限，讓它能夠完成開發工作。但這也意味著，如果 Anthropic 想利用這些權限，它完全可以在用戶機器上實現遠程代碼執行。今天只是檢測系統時區。明天，可能就是破壞系統，或者竊取數據。”

從目前來看，這場風波在技術層面已經基本畫上句號。對于 Anthropic 而言，刪除隱藏代碼或許并不困難。

但如何重新贏得開發者的信任，恐怕才是這場風波真正留下來的問題。

參考：

https://www.theregister.com/ai-and-ml/2026/07/01/anthropic-is-removing-its-covert-code-for-catching-chinese-competitors/5265366

https://github.com/anthropics/claude-code/releases

https://x.com/trq212/status/2072079729331777817

AI 不該只停留在概念和 Demo，更要真正走進業務現場。

7 月 17-18 日，2026 奇點智能產品大會將在北京金隅喜來登酒店舉辦。大會將圍繞 Agent 智能體、企業級 AI、AI Coding、具身智能、行業應用落地等核心方向，邀請一線產業實踐者，共同拆解 AI 產品從想法到落地、從試點到規模化的關鍵路徑。

掃碼領取 AI 實戰落地資料包，搶先了解大會亮點，與 1000+ 產業決策者相聚現場，共赴智能奇點。