这两天，Anthropic 因一段藏在 Claude Code 中的“隐藏检测代码”，站上了开发者社区的舆论风口。

一切起因是 Reddit 上一位开发者在逆向分析 Claude Code 时发现，Anthropic 从今年 4 月起就在这款备受欢迎的 AI 工具中加入了一套特殊检测机制：当检测到用户通过代理访问时，程序会进一步判断系统是否位于中国时区、代理是否属于中国域名，以及是否与中国 AI 实验室存在关联，并通过修改系统提示词中的日期与标点字符，将检测结果以不同 Unicode 形式进行编码。

由于整个过程既没有向用户提示，也没有出现在任何更新日志中，相关代码还经过了混淆处理，因此迅速引发了关于隐私、透明度以及开发者信任的大讨论。

事件持续发酵后，Anthropic 如今首次作出公开回应。

Anthropic 首度承认隐藏代码的存在，称只是一项实验

日前，负责 Claude Code 的 Anthropic 工程师 Thariq Shihipar 表示，相关修复会在 7 月 1 日发布的版本中上线。

他解释称：“这项检测机制最初是今年 3 月启动的一项实验，主要用于识别未经授权的 Claude 转售服务以及可能存在的大规模模型蒸馏行为。”

所谓「模型蒸馏」，指的是 AI 行业中通过大量查询模型输出，从而复制模型能力的一种做法。

Thariq Shihipar 还表示，Anthropic 团队在此之后已经部署了更强的缓解措施，「事实上我们也已经计划将其移除一段时间了。我们已经合并了相关 PR，这一功能将在最新的版本发布中被完全回滚。」

这也是 Anthropic 首次公开承认，这套检测逻辑真实存在。

值得注意的是，Anthropic 并没有否认开发者此前逆向分析出的技术细节，也没有解释为什么相关机制此前一直没有公开说明，而是将重点放在了代码存在的目的以及即将移除这一事实上。

这段代码到底做了什么？

正如我们昨天报道的，整场风波最初源于一位名为 Thereallo 的开发者在逆向分析 Claude Code 最新版本时的一次意外发现。

Thereallo 称，一段已经存在近三个月的隐藏代码始终没有被外界注意。

这段隐藏代码首先会检查 Claude Code 的 Base URL 环境变量。这个变量通常用于将 API 请求转发至代理服务器或网关。如果发现 Base URL 被修改，程序便会进一步检查系统时区，以及当前主机名是否与一份预设名单中的条目匹配。这份名单包含了已知的中国 AI 实验室、其他 AI 公司、账号转售商以及代理网关域名等。

简单而言，当 Claude Code 检测到用户启用了代理时，程序会：

• 检查系统时区是否为 Asia/Shanghai 或 Asia/Urumqi；

• 检查代理 URL 是否属于中国域名、是否命中特定域名列表，以及是否关联中国 AI 实验室。

随后，Anthropic 会根据这两项检测结果，修改 System Prompt 中日期相关的内容。

例如，如果系统时区属于中国，日期格式会从「2026-06-30」变成「2026/06/30」。

除此之外，“Today’s date is” 中的英文引号也会根据代理 URL 的检测结果替换成不同的 Unicode 字符：

• 代理 URL 为中国域名或匹配域名白名单，但并非 AI 实验室：撇号使用 \u2019（右单引号——‘）；  

• 代理 URL 非中国域名或不匹配白名单，但关联中国 AI 实验室：撇号使用 \u02BC（修饰字母撇号——ʼ）； 

• 代理 URL 既为中国域名又关联中国 AI 实验室：撇号使用 \u02B9（修饰字母上撇号——ʹ）。

这些内容都可以在 Claude Code 的源代码中得到验证。随即，也确实有不少网友实锤出了这一隐藏代码。

这些字符在人眼看来几乎完全一致，但对于服务器而言，每一种字符都对应着一种不同的状态。

Thereallo 表示，Anthropic 希望识别与中国 AI 竞争对手或账号转售商相关的域名，这一目的本身并不难理解，但问题在于，这套机制被刻意隐藏了起来。

通过分析发现，这套代码还使用 XOR 和 Base64 对相关域名列表进行了隐藏。这并不是一个恶意功能，但对于一款需要开发者信任的工具来说，这是一种非常奇怪的设计选择。

对于这种隐瞒的行为，Thereallo 甚至直接其定性为“间谍软件”。同时，也正是这些细节叠加在一起，让事件迅速发酵。

早有计划？

不止如此，外媒 The Register 也披露，在今年 2 月，也就是这套隐藏检测机制上线前不久，Anthropic 就曾公开表示，公司正在持续投入资源，加强针对模型蒸馏的防御能力。

当时披露的措施包括：利用分类器和行为指纹识别异常访问，与其他 AI 实验室共享威胁情报，加强访问控制，以及采用各种技术手段提高利用模型输出复现 Claude 模型的难度。

其中一项防御机制，也随着此前 Claude Code 源代码泄露而浮出水面。

泄露的代码显示，Claude Code 的一个 TypeScript 文件中包含一个名为 ANTI_DISTILLATION_CC 的功能开关。开启后，它会在 API 请求中注入伪造的工具调用数据，试图让这些数据在用于模型训练时产生干扰，从而降低蒸馏效果。

不过，仅靠技术手段显然并不是 Anthropic 的全部策略。

此前，Anthropic 还曾呼吁整个 AI 行业、云服务提供商以及政府共同应对模型蒸馏带来的风险。

官方回应之后，社区并没有完全买账

现如今 Anthropic 的回应虽然解释了代码存在的原因，却没有真正平息争议。

在 Thariq Shihipar 这条帖子的下方，有网友质问 Anthropic：“如果这件事没有被公开曝光，它是不是就会一直这样悄无声息地运行下去？”

还有人讽刺道：

这不是一个合理的借口。你们是在试图把东西锁进控制框架里，更严格地约束模型的行为。但这些做法既无助于创新，也无益于公众利益，而且还是因为有人曝光才浮出水面。你们之前根本什么都没说，现在也别装作这件事是公开透明的。

“我们其实早就打算把它移除了”——难道 Mythos 连快速处理这点事的能力都没有吗？真的？你们觉得我们都是傻子吗？

更有开发者期盼：“迫不及待想看到 GLM 和其他模型追上 Fable 的水平了。等到那时候，Anthropic 就可以说再见了。”

虽然也有部分用户认为，检测代理、IP、时区等信息，本质上与很多软件收集的遥测（Telemetry）数据没有太大区别，远远谈不上所谓的“间谍软件”，但使用 Claude Code 的更多开发者还是产生了不安的情绪。

在他们看来，如果 Anthropic 的目的确实是保护模型、防止未经授权的转售和蒸馏，那么完全可以公开说明。例如，在更新日志中明确新增了一项安全检测机制；或者直接通过正常的请求字段上传相关标记，而不是将信息编码进 System Prompt，再通过 Unicode 字符完成传递。

而如今，隐藏、混淆、不披露三件事同时出现，使得整件事情看起来更像是在刻意规避用户注意，而不是一次普通的安全检测。

最后

如果只是一个普通聊天机器人，这件事或许不会引起如此大的反响。但 Claude Code 并不是普通聊天工具。

现实应用中，为了让它能够完成编码、修改项目、运行测试等任务，很多开发者会授予它相当高的系统权限，包括文件系统访问权限、Shell 执行权限、Git 操作权限，甚至允许直接运行本地命令。

也就是说，Claude Code 本质上是一款拥有较高系统权限的 AI Agent。正因为如此，开发者需要对工具本身保持高度信任。

可是 Claude Code 这次的这波操作，也是对用户信任的根本性破坏。

正如 Thereallo 所说，“像我这样的开发者，会授予 Claude Code 完整的文件系统权限以及大量 Shell 权限，让它能够完成开发工作。但这也意味着，如果 Anthropic 想利用这些权限，它完全可以在用户机器上实现远程代码执行。今天只是检测系统时区。明天，可能就是破坏系统，或者窃取数据。”

从目前来看，这场风波在技术层面已经基本画上句号。对于 Anthropic 而言，删除隐藏代码或许并不困难。

但如何重新赢得开发者的信任，恐怕才是这场风波真正留下来的问题。

参考：

https://www.theregister.com/ai-and-ml/2026/07/01/anthropic-is-removing-its-covert-code-for-catching-chinese-competitors/5265366

https://github.com/anthropics/claude-code/releases

https://x.com/trq212/status/2072079729331777817