Claude Code 被曝嵌入\"间谍代码\"：用 Unicode 隐写术秘密标记中国用户，150万次浏览引爆安全圈
原创
挽风
挽风
挽风安全
2026年7月1日 11:19
四川
在小说阅读器读本章
去阅读
Reddit 爆料 | 自 2.1.91 版本起已潜伏三个月 | XOR-91 混淆隐藏 | 撇号字符肉眼不可辨但服务器可精准解析
一、事件爆发：150万次浏览的\"间谍软件\"指控
北京时间 2026 年 6 月 30 日晚，X（原 Twitter）上一条推文在安全圈和 AI 开发者社区迅速引爆。
认证账号 @IntCyberDigest 公开指控：Anthropic 在 Claude Code CLI 工具中嵌入了针对中国用户的隐蔽检测代码，行为等同于\"间谍软件级别\"代码（spyware-like code）。
这条帖子在不到 24 小时内获得了：
- 150 万次浏览
- 1.3 万次转发
- 近万次点赞
指控的核心包括三点：
1.Claude Code 无声地读取用户的时区、代理路由和可能的 AI 实验室关联信息
2.将这些信息通过修改\\系统提示词（system prompt）\\的方式注入到用户的每次对话中
3.整个过程对用户完全不可见——Anthropic 服务器可精准解析，而用户甚至模型本身都无法察觉
二、技术细节：Unicode 换字 + 日期格式变化的隐写术
2.1 发现过程
这场风波最早源自 Reddit 用户 LegitMichel777 在 r/ClaudeAI 子版块发布的一篇深度分析。
该用户称，他在尝试恢复 Claude Code 2.1.196 版本中被禁用的远程控制功能时，逆向工程了代码包，结果发现了自 2.1.91 版本（2026 年 4 月 2 日发布）就已存在的一套检测逻辑，且该更新在发布说明中只字未提。
2.2 检测机制详解
Claude Code 在执行时会检查用户是否设置了 ANTHROPIC_BASE_URL 环境变量——即开发者用于对接自定义 API 端点（公司网关、第三方代理、OpenAI 兼容路由等）的配置项。
一旦检测到非默认端点，代码便开始\"指纹识别\"：
第一层：系统时区检查
检查系统时区是否为 Asia/Shanghai 或 Asia/Urumqi（中国时区）。
第二层：代理 URL 域名比对
将代理 URL 的主机名与一个硬编码的域名列表进行比对。这个域名列表经过了 Base64 + XOR（密钥 91）混淆处理——并非强加密，但足以避免被普通的字符串搜索工具直接找到。
据安全研究团队 vince ntschmalbach 的独立分析，该列表包含约 147 个域名条目，涵盖了中国主流互联网和云计算厂商的域名：
147个域名列表（解码后部分示例）：┌────────────────────────────────────────────────────────────────┐│ 基础域名 ││ cn、baidu.com、alibaba-inc.com、bytedance.net ││ netease.com、kuaishou.com、xiaohongshu.com、jd.com │├────────────────────────────────────────────────────────────────┤│ Claude 代理相关域名 ││ claude-code-hub.app、openclaude.me、deeprouter.top │├────────────────────────────────────────────────────────────────┤│ AI 实验室关键词（检测代理是否关联中国AI公司） ││ deepseek、moonshot、minimax、zhipu、baichuan ││ stepfun、01ai、dashscope、volces ││ （深度求索、月之暗面、稀宇、智谱、百川、阶跃星辰、零一万物、 ││ 阿里百炼、火山引擎等） │└────────────────────────────────────────────────────────────────┘
2.3 信息回传方式——Unicode 隐写术
最令人震惊的是信息回传的方式。代码并不发送任何网络请求，而是直接在发给模型的系统提示词里动了手脚。
\"Today's date is...\" 这一行看似普通的信息，实际上根据检测结果会发生两种变化：
变化一：日期格式
中国时区判定 → 日期格式变为 \"2026/06/30\"（斜杠）
非中国时区 → 日期格式保持 \"2026-06-30\"（连字符）
中国时区判定 → 日期格式变为 \"2026/06/30\"（斜杠）非中国时区 → 日期格式保持 \"2026-06-30\"（连字符）
变化二：撇号字符替换（肉眼不可见）
Today's date is 中的撇号（'）根据检测结果使用三种 Unicode 变体：
┌─────────────────────────────────────────────────────────────────┐│ Unicode 撇号隐写术对照表 │├─────────────────────────────────────────────────────────────────┤│ 检测结果 │ Unicode 字符 │ 显示效果 │├─────────────────────────────────────────────────────────────────┤│ 中国域名/白名单命中，但非 AI Lab │ \\u2019 │ '（右单引号）││ 非中国域名，但关联 AI Lab │ \\u02BC │ ʼ（修饰撇号）││ 中国域名 + AI Lab 双重命中 │ \\u02B9 │ ʹ（修饰上撇号││ 无任何命中 │ ASCII ' │ '（普通撇号）│└─────────────────────────────────────────────────────────────────┘
这三个字符在屏幕上肉眼几乎无法分辨：' vs ʼ vs ʹ ← 你能看出区别吗？
但对 Anthropic 服务器来说，每一个变体都代表了一条清晰的信号：这位用户是否在中国、是否通过中国代理连接、是否与中国 AI 实验室有关联。
2.4 混淆隐藏手段
更令发现者感到不安的是 Anthropic 对这段代码的处理方式：
┌─────────────────────────────────────────────────────────────────┐│ 反侦查手段清单 │├─────────────────────────────────────────────────────────────────┤│ 1. XOR-91 混淆 ││ 大部分检测逻辑使用密钥 91 做 XOR 混淆 ││ 目的：防止被普通的 strings 命令扫描直接暴露 ││ ││ 2. 发布说明沉默 ││ 2.1.91 版本的发布说明对此检测机制只字未提 ││ ││ 3. 函数名混淆 ││ 2.1.196 版本中相关函数名： ││ Crt()、Rrt(e)、e0t()、Zup()、edp、Vla ││ 压缩混淆后的名称，不同版本间会变化 │└─────────────────────────────────────────────────────────────────┘
验证方法：文章作者表示，使用 Claude Code 或 Codex 对这些函数进行逆向分析，可以轻松定位到这段逻辑。
三、这意味着什么：每个中国用户的每次请求都携带\"隐形身份证\"
这意味着，每一名使用非官方端点连接 Claude Code 的中国用户，其每一次对话请求中，都携带着一份\"隐形身份证\"：
┌─────────────────────────────────────────────────────────────────┐│ 用户请求中的隐形标记 │├─────────────────────────────────────────────────────────────────┤│ ││ 用户视角（完全不可见）： ││ \"Today's date is 2026-06-30\" ││ ← 肉眼看起来完全正常，没有任何异常 ││ ││ Anthropic 服务器视角（精准解析）： ││ Unicode 码点分析 → ││ • 撇号是 \\u02B9？ → 用户使用中国代理 + 关联 AI Lab ││ • 撇号是 \\u02BC？ → 用户关联 AI Lab（可能是蒸馏攻击者） ││ • 撇号是 \\u2019？ → 用户使用中国代理 ││ • 撇号是 ASCII '？ → 用户无任何风险信号 ││ • 日期格式是斜杠？ → 用户系统时区为中国 ││ ││ 结论：Anthropic 可以在用户毫不知情的情况下， ││ 对每个中国用户进行身份归类和风险标记 ││ │└─────────────────────────────────────────────────────────────────┘
四、背景：Anthropic 与中国 AI 实验室的猫鼠游戏
此次事件的爆发并非孤立。过去一年中，Anthropic 与中国 AI 实验室之间的摩擦持续升级。
4.1 2026年2月：1600万次蒸馏指控
2026 年 2 月 23 日，Anthropic 发布措辞严厉的调查报告，直指中国三家头部 AI 公司——DeepSeek、月之暗面（Moonshot）、MiniMax——对其旗舰模型 Claude 发动了\"工业级蒸馏攻击\"。
根据 Anthropic 披露：
| 公司 | 交互次数 | 欺诈账户数 | 目标能力 |
|---|---|---|---|
| MiniMax | 1300万+ | 单一网络 20,000+ | 代理编码、工具编排 |
| Moonshot AI | 340万+ | 数百个 | 代理推理、编程、计算机视觉 |
| DeepSeek | 15万+ | — | 思维链数据、审查规避 |
三家公司通过约 2.4 万个欺诈账户，与 Claude 进行了超 1600 万次交互，违反其服务条款与区域访问限制。
技术手法：\"九头蛇架构\"（Hydra Cluster）——分散流量、规避检测。当一个账户被封禁，新账户立即接管。Anthropic 指控 MiniMax 甚至在其发布新模型后 24 小时内就将流量切换到新系统。
4.2 2025年9月：区域限制政策
Anthropic 发布\"限制不支持地区销售\"政策，禁止\"由中国控制的公司\"使用 Claude：
- 50% 所有权测试：若公司超过 50% 股权由中国、俄罗斯、伊朗或朝鲜的实体控制，无论注册地何处，均被禁止
- 涵盖直接 API 客户及通过云服务商间接访问的客户
- Anthropic 高层承认此举将损失\"数亿美元量级\"收入
4.3 2026年4月：ID 验证要求
Anthropic 引入政府 ID + 自拍验证系统：
- 要求用户上传护照、驾照或国家身份证 + 实时自拍
- 中国用户被排除：系统只接受中国护照，不接受中国居民身份证
- 无护照的中国用户（数百万）被完全锁定
五、安全社区为何愤怒：信任的严重破裂
安全研究社区对此的反应远比一般人想象的要强烈。
5.1 Claude Code 的特殊权限
原因很简单：Claude Code 是一个被授予了仓库读写权限和命令执行权限的编码代理工具。
这意味着它可以：
- 读取用户的完整文件系统
- 执行 shell 命令
- 修改代码仓库
- 访问敏感配置文件（
.env、credentials.json等）
Claude Code 权限清单：┌─────────────────────────────────────────────────────────────────┐│ • 文件系统读写权限（整个仓库） ││ • Shell 命令执行权限 ││ • Git 操作权限 ││ • 网络请求权限 ││ • 环境变量读取权限 ││ • 进程管理权限 │└─────────────────────────────────────────────────────────────────┘
5.2 发现者的担忧
发现者 LegitMichel777 写道：
\"虽然这个用途——试图检测未经授权转售和模型蒸馏——是可以理解的，但 Anthropic 在你不知情、未同意的情况下，秘密传输你系统和代理设置信息的事实，是对用户信任的根本性违背。\"
他进一步提出了一个更深层的担忧：
\"如果 Anthropic 愿意仅仅因为你是中国人，就秘密传输关于你系统的信息，那么有什么能阻止他们秘密引导模型表现得更差——甚至更糟，做出恶意行为？\"
这个担忧并非凭空而来。发现者指出：
\"像我这样的开发者，会给 Claude Code 完整文件系统权限以及相当大的 shell 访问权限，这样它才能完成工作。但这也意味着，没有什么能阻止 Anthropic 利用它，在你的系统上实现完整的远程代码执行。\"
\"今天是时区检查，明天就可能是系统破坏或数据窃取。\"
5.3 @IntCyberDigest 的评论
\"一个拥有 repo 和命令权限的编码代理，不应该在提示中无声地隐藏路由元数据。这是对用户信任的严重破坏。\"
六、社区分歧：常规遥测 vs 间谍软件
这篇文章在发布后引发了激烈的讨论，评论区的观点出现了明显的分化。
6.1 支持方观点
一部分评论者认为这不过是常规的遥测行为，与浏览器、DNS 等应用程序收集的信息没有本质区别：
- \"你对 Claude 获取你的位置信息感到震惊？你电脑上有上百种东西在监视你。\"
- \"这是防止 API 滥用的标准做法，Anthropic 有权保护自己的资产。\"
- \"蒸馏攻击确实存在，Anthropic 需要检测手段。\"
6.2 反对方观点
另一部分评论者认为这跨越了红线：
- \"遥测和间谍软件的区别在于透明度——Anthropic 完全隐藏了这段逻辑。\"
- \"XOR 混淆证明他们刻意不让用户发现。\"
- \"检测代理可以理解，但检测时区就是在监控特定国家用户。\"
- \"这种行为如果来自中国公司，美国媒体会立刻扣上'间谍软件'帽子。\"
七、最后：AI 巨头的信任危机
分析后得出这次事件的核心问题可以总结为三点：
1. 透明度缺失
Anthropic 在三个月内（自 2.1.91 版本）持续隐藏这段检测逻辑，且使用 XOR 混淆防止被发现。如果这是合法的遥测行为，为何需要隐藏？
2. 针对特定国家用户
检测逻辑专门针对中国时区和中国域名，这意味着 Anthropic 正在对特定国家用户进行身份归类和风险标记。这种行为已经超越了普通的遥测，进入了监控特定群体的范畴。
3. 信任破裂的连锁风险
Claude Code 拥有文件系统权限和 shell 执行权限。如果 Anthropic 愿意在用户不知情的情况下嵌入检测代码，那么他们是否愿意在其他方面也做出用户不知情的操作？
发现者的质问最令人不安：\"如果 Anthropic 愿意仅仅因为你是中国人，就秘密传输关于你系统的信息，那么有什么能阻止他们秘密引导模型表现得更差——甚至更糟，做出恶意行为？\"
对于中国开发者而言，这次事件敲响了一个警钟：我们对 AI 工具的信任，可能正在被单方面滥用。
Claude Code你到底想干嘛？！
如果觉得有用欢迎点赞，转发，有用三连~，转发给正在使用Claude Code的安全佬，AI佬们~
版权声明
本站仅做备份收录，仅供研究与教学参考之用。
读者将信息用于其他用途的，全部法律及连带责任由读者自行承担，本站不承担任何责任。
评论