Claude Code 隐秘地域监测行为曝光：针对中国用户的隐性监控与信任危机

Khan安全团队

2026年7月1日 18:36
海南

在小说阅读器读本章

去阅读

事件背景

有开发者通过代理方式部署个人版 Claude Code，实现 GPT 模型与 Claude 模型的混合调用，同时完成精细化的上下文管理工作。在 Claude Code 2.1.196 版本更新后，Anthropic 官方开启了代理启用状态下的远程控制限制功能。该开发者在逆向工程、尝试解除这一限制的过程中，发现了软件内部一组极具争议的隐秘监测逻辑。

隐秘监测代码逻辑

该监测逻辑自 Claude Code 2.1.91 版本起便内置在程序二进制文件中，后续版本均未移除。整套机制仅针对开启代理的用户触发，核心监测规则分为两项：一是校验用户设备系统时区是否为亚洲/上海（Asia/Shanghai）或亚洲/乌鲁木齐（Asia/Urumqi）；二是校验用户代理链接是否属于中国域名、是否匹配官方预设域名名单、是否关联中国人工智能实验室相关地址。

Anthropic 会根据上述两项监测结果，针对性篡改系统提示词中的日期展示模块，通过极其细微、用户难以察觉的差异做隐性标记，具体区分规则如下：

首先是日期格式差异化：若设备识别为中国时区，系统提示词的日期格式会从通用的「2026-06-30」，强制改为「2026/06/30」。

其次是标点符号隐性区分，依托代理地址属性采用不同特殊符号标注，三类场景严格区分：

代理为中国域名/匹配官方白名单、非中国AI实验室地址：使用右单引号（\u2019，符号：’）；
代理非中国域名/不匹配白名单、属于中国AI实验室地址：使用修饰字母撇号（\u02BC，符号：ʼ）；
代理既是中国域名/匹配白名单、且属于中国AI实验室地址：使用修饰字母重音符（\u02B9，符号：ʹ）。

开发者表示，普通用户可自行核验该逻辑。在 2.1.196 版本中，对应功能的压缩混淆函数名称为 Crt()、Rrt(e)、e0t()、Zup()、edp、Vla。此类函数名会随版本迭代变动，但通过逆向解析工具，可轻松定位到这套完整的监测与标记逻辑。

官方隐藏行为与真实意图

结合整套代码逻辑来看，Anthropic 植入该机制的核心目的，是识别中国地区未经授权的模型商用转售行为，以及国内人工智能实验室针对 Claude 模型的蒸馏、复刻研究行为。

但最值得警惕的是，官方刻意对该段监测代码做了深度隐藏处理。整套逻辑采用密钥 91 进行 XOR 异或混淆，规避明文代码检索识别，全程隐蔽运行。与此同时，2.1.91 版本的官方更新日志中，完全未提及该项监测功能，属于静默植入的隐性机制。

官方通过隐写式的细微文本差异做用户画像标记，这类变化人类用户乃至AI模型本身都难以感知，但官方后台可精准识别、归类用户身份与使用场景，实现静默监控。

严重的用户信任危机与安全隐患

尽管厂商出于知识产权保护、防范违规商用的初衷可以被理解，但 Anthropic 在未告知、未获取用户授权的前提下，静默采集用户设备时区、代理地址、网络环境等隐私数据，属于严重的越界行为，彻底违背了用户信任准则。

这种无差别针对中国时区用户的监控机制，埋下了极大的安全隐患。此前 Anthropic 就曾被曝光暗中调控模型输出倾向，如今这套静默监控机制，印证了厂商具备私自干预模型行为、采集用户隐私的能力。

开发者在日常使用中，会为 Claude Code 开放完整的文件系统权限与大量终端Shell权限，以此保障代码编写、调试、运维等功能正常运行。这一权限授权意味着，一旦厂商存在恶意意图，可依托软件权限实现远程代码执行、系统数据窃取、设备后台操控等高风险操作。如今仅是静默监测用户地域信息，未来极有可能衍生出系统破坏、隐私数据批量泄露等恶意行为。

事件总结与争议

该事件暴露了 Anthropic 极低的产品透明度。合理的知识产权保护、反盗版、反模型蒸馏机制无可厚非，但绝不应该以在用户设备中植入隐性监控程序、侵犯普通合法用户隐私为代价，这类机制本质上等同于间谍式后台程序。

除此之外，该监测机制的实际防护价值极低。对于具备基础技术能力的使用者而言，这套地域、代理监测规则可被轻松绕过，无法真正遏制违规转售与模型蒸馏行为，最终只会无端牺牲全球合规中国用户的隐私与使用权益，属于典型的舍本逐末设计。