Claude Code 主动投毒事件深度研究报告

CHAM_GJ

1088人浏览 · 2026-07-03 09:30:00

CHAM_GJ · 2026-07-03 09:30:00 发布

一、执行摘要

2026年6月30日至7月1日，开发者社区爆出重磅消息：Anthropic在旗下AI编程工具Claude Code中，主动植入了一套针对中国用户的隐蔽检测与标记系统，时间跨度长达三个月（2026年4月2日～7月2日）。

该事件的核心性质不是被黑客攻击、不是数据泄露事故，而是厂商主动行为：Anthropic故意在客户端代码中写入识别中国用户的逻辑，并以"隐写术（Steganography）"将检测结果不声不响地嵌入每一次AI请求，用于定向封号。这一行为直到代码被第三方逆向工程才得以曝光。

关键数据：

维度	内容
影响版本	Claude Code v2.1.91 ～ v2.1.196（2026年4月2日起）
检测触发条件	用户设置了 `ANTHROPIC_BASE_URL` 环境变量（使用中转API）
识别维度	系统时区（Asia/Shanghai / Asia/Urumqi）+ 147个域名黑名单
信息传递方式	隐写术：修改系统提示词中日期分隔符与Unicode撇号字符
曝光时间	2026年6月30日（Reddit用户LegitMichel777）
官方回应	Claude Code团队成员Thariq Shihipar承认存在，称7月2日版本删除
封号规模	国内大面积账号，涉及个人用户及百人规模公司

二、事件完整时间线

2026年3月下旬  Anthropic内部部署"实验性"用户检测机制
2026年4月2日   Claude Code v2.1.91 发布，隐蔽检测代码首次上线
               更新日志从未提及该功能
2026年6月底    Anthropic对中国账号发起大规模封禁潮，波及大量稳定用户
2026年6月30日  Reddit用户 LegitMichel777 发帖，对2.1.196版本进行逆向工程
               发现隐藏检测机制，开发者社区迅速转发
2026年7月1日   安全研究员 Adnane Khan 在GitHub发布完整逆向分析报告
               从二进制提取完整JavaScript代码，还原机制细节
               机器之心、IT之家、雷锋网等媒体跟进报道
               Anthropic团队成员 Thariq Shihipar 在X（推特）公开承认该机制
               声称是"3月上线的实验性措施"，将在次日版本中删除
               同日Anthropic宣布美国商务部解除Claude Fable 5/Mythos 5出口管制
2026年7月2日   Claude Code新版本发布，声称移除检测代码
               本报告发布

三、技术深度解剖：这套"暗器"是如何运作的

3.1 触发条件

该机制不会对所有用户激活，触发条件是：

用户设置了环境变量 ANTHROPIC_BASE_URL，将API请求指向非官方代理端点（非 api.anthropic.com）。

这个设置在中国用户中极为普遍——因为大陆无法直接访问Anthropic官方API，绝大多数国内用户都需要通过中转站或镜像服务使用Claude Code。这意味着，该机制几乎精准覆盖了绝大多数中国开发者。

3.2 双路径识别

一旦触发，Claude Code会通过两条路径判定用户身份：

路径一：时区检测

读取系统时区 → 是否为 Asia/Shanghai 或 Asia/Urumqi

绝大多数中国开发者即使使用海外代理，也不会修改本机时区，因此这条路径命中率极高。

路径二：域名黑名单比对

提取 ANTHROPIC_BASE_URL 域名 → 与内置147个条目黑名单比对

域名黑名单经过 XOR-91 加密 + Base64 编码混淆后硬编码在二进制文件中，包含：

国内大厂：百度、阿里巴巴、蚂蚁集团、字节跳动
国内AI实验室：月之暗面（Moonshot AI）、MiniMax、阶跃星辰、智谱、DeepSeek等
Claude API中转服务与镜像站点域名

3.3 隐写术传递信息——最令人不安的部分

检测结果不通过独立遥测请求上报，而是藏在每次请求的系统提示词里。

系统提示词中有一句普通的日期信息：

Today's date is 2026-06-30.

Claude Code会对这行字符做两处肉眼无法发现的修改：

修改一：日期分隔符

状态	格式
非中国时区	`2026-06-30`（连字符）
中国时区	`2026/06/30`（斜杠）

修改二：撇号 Unicode 编码

字符（视觉上一致）	Unicode	含义
`'`	U+0027（标准ASCII单引号）	未命中任何名单
`'`	U+2019（右单引号）	命中域名列表
`ʼ`	U+02BC（修饰字母撇号）	命中AI实验室关键词
`ʹ`	U+02B9（修饰字母角分符）	两者均命中

这四个字符在任何主流编辑器、终端中肉眼看起来完全相同，但机器解析层面是四个不同的编码值。Anthropic服务器只需解析这一个字符，即可获得当前请求者的用户画像。

整个过程不产生额外网络请求，不留可疑流量，用户在网络层面完全无法察觉。

3.4 封号邮件的"二次追踪"

曝光同期，还有开发者发现Anthropic在封号通知邮件中内嵌了追踪像素（Tracking Pixel）。

用户只要在普通邮件客户端（包括Gmail）打开或预览封号邮件，Anthropic服务器便会记录用户的真实IP地址，实现二次定位确认。即使用户此前的所有请求都通过代理，这一步骤也会将真实位置暴露。这意味着申诉开封号的用户，反而可能因为打开邮件而再次触发封号逻辑。

3.5 反蒸馏投毒（同期曝光的相关行为）

源码泄露事件中还曝出：Claude Code包含 ANTI_DISTILLATION_CC 标志——当开启后，会在向服务端请求时附带 anti_distillation: ['fake_tools']，指示服务端在系统提示词中混入假工具定义。目的是污染任何企图抓包录制API来蒸馏训练竞品模型的数据集。

这是一种主动防御行为，但同样未在任何文档中公开说明。

四、对国内用户的具体影响

4.1 大面积封号——直接经济损失

2026年6月底，Anthropic对国内账号发起大规模封禁。受害群体主要有：

个人付费用户：稳定使用一年以上的账号，毫无预警被封停，付费订阅费用无法退还
企业用户：有报道称百人规模的公司团队账号被批量封禁，日常AI编程工作流直接中断
Claude Max订阅用户：即使长期正常付费，也未能幸免

损失不仅是金钱，更是依赖Claude Code积累的工作上下文、历史对话、工程配置，这些均无法迁移。

4.2 隐私边界被单方面突破

Claude Code作为AI编程工具，拥有极高的本地权限：

读取代码仓库：包括业务逻辑、算法实现
执行终端命令：可以访问数据库、环境变量、密钥文件
修改本地文件：直接操作源代码

在用户授予如此高信任权限的前提下，Claude Code却在背后标记用户身份、向服务端传递本地环境信息，这是信任关系的单方面背叛，性质超越了普通的遥测数据收集。

4.3 误伤合法用户，精准失效于真正的攻击者

这套机制存在严重的精准度问题：

误伤面极广：

使用企业内网API网关的海外华人开发者
通过第三方代理降低延迟的研究人员
使用国内云厂商网关调用Claude API的企业用户
合法正规付费却因时区暴露身份的所有中国大陆开发者

真正的滥用者不受影响：

专业API转售商：改时区、换域名对他们而言是基本操作，该机制几秒钟即可绕过
大规模蒸馏攻击者：有足够技术能力识别并过滤掉这种隐写标记

实际效果：机制弱化了合理使用者的权益，却对真正的目标几乎无效。这是一个设计上的根本性失败。

4.4 中国开发者的AI工具困境加剧

不只是Claude Code。同期：

OpenAI Codex：2026年6月连续两轮封禁，200美元付费账号无预警停用
Cursor：升级至3.9版本后，部分中国区用户无法调用模型
DeepSeek：V4正式版引入峰谷定价，高峰时段API费用翻倍
智谱 GLM Coding Plan：算力紧张，限量发售，每天"抢不到"
豆包：推出付费专业版，月费500元

国内开发者面临的困境是：全球最强的AI编程工具对中国用户设有政策性限制；国产替代虽在快速追赶，但在代码能力和生态完整性上仍有差距；两头受困，工具链稳定性成为核心焦虑。

五、Anthropic的解释与其可信度评估

5.1 官方回应

Anthropic Claude Code团队成员 Thariq Shihipar 在X平台回应：

"这是团队于2026年3月上线的实验性措施，目的是防止未经授权的账户转售以及防范模型蒸馏攻击。团队此后已部署了更强的缓解措施，原本也计划下线该实验，相关PR已经合并，将在7月2日发布的新版本中完全回滚。"

截至事件爆发，Anthropic没有发布正式公开声明，仅有团队成员个人回应。

5.2 反驳与质疑

质疑一：动机与实现方式的不匹配

防止账号转售和模型蒸馏是合理的商业诉求，但这个目的完全可以通过透明的用户协议条款、公开的遥测声明来实现。选择隐写术、加密混淆、从未公开的方式，说明Anthropic明知这套机制无法经受用户知晓后的审视，因此主动隐藏。

质疑二：时间线存疑

"原本也计划下线该实验"——如果早就有撤下的计划，为何这段代码从4月2日一直运行到7月2日，整整三个月？如果不是被逆向工程发现，这段代码会存续多久？

质疑三：为何选择隐写而非标准遥测

标准的遥测数据收集有明确的API字段，可以被用户发现和屏蔽。而隐写术的特点恰好是不被发现。Anthropic选择这种实现方式，本身就表明其目的是规避用户察觉，而非合法合规的数据采集。

质疑四：域名黑名单的精确度

名单精确到了阿里和百度的内网域名。这种精细程度不像是临时拼凑的反滥用措施，更像是有目的地针对特定用户群体长期维护的情报资产。

5.3 公平评估：合理诉求与不合理手段

客观而言：

Anthropic因受美国出口管制压力，确实有遵守法规、限制中国用户访问特定高级模型的客观需要
API中转和账号转售对Anthropic的商业利益确实造成了真实损失
模型蒸馏攻击对AI公司而言是真实且严峻的威胁

但这些合理的商业诉求，不能成为绕过用户知情权、使用隐写术进行隐蔽标记的正当理由。目的正当，手段依然可以被谴责。这两者不是非此即彼的关系。

六、对整个AI生态的深远影响

6.1 AI工具"内置间谍"成为可能——信任模式根本性动摇

Claude Code事件打开了一个危险的先例：AI编程工具可以在用户完全不知情的情况下，通过肉眼不可辨的隐写通道向厂商服务端传递用户本地环境信息。

这不再只是隐私政策里一行小字的"遥测数据"问题，而是：

你给了工具最高信任权限，工具却将这份信任用于反向监视你。

一旦行业意识到这条技术路径是可行的，开发者将面临一个无法回避的问题：我正在使用的其他AI工具，有没有类似机制？有没有尚未被发现的隐蔽通道？

6.2 国产AI替代需求加速——但"替代"不是"信任"

此次事件必然加速国内开发者向国产AI工具迁移。但这里存在一个关键误区：

国产工具不等于安全工具。

同样的技术手段，国产工具厂商同样可以实现。更重要的问题不是"工具来自哪个国家"，而是：

代码是否开源、可审计？
遥测行为是否公开透明？
用户是否有实质性的选择权？

从技术层面看，国内用户迁移到国产工具后的信任基础，本质上并不比使用Claude Code更稳固，除非这些工具能提供可验证的代码审计。

6.3 开源AI编程工具的机会窗口

此次事件为开源AI编程工具创造了重大机会。

当用户无法相信闭源工具的黑盒行为时，可被独立审计的开源工具成为唯一可信赖的选择。

代表性工具如：

Continue（VS Code/JetBrains插件，完全开源）
Aider（开源命令行AI编程工具）
本地化部署方案：配合 llama.cpp、Ollama 的私有化AI编程工作流

这条路径的代价是：放弃闭源顶级模型（如Claude、GPT-4）的能力优势，换取隐私安全保障。对大多数中国开发者而言，这是一道现实的取舍题。

6.4 AI工具供应链安全成为新战场

Claude Code事件与同期爆发的axios供应链投毒事件，共同指向同一个趋势：

AI Agent时代的软件供应链，正在成为新的攻防主战场。

AI编程工具的特殊性在于：

它运行在开发者的本地环境中，拥有文件系统、终端、代码仓库的访问权限
它产生的每一条请求都传向远端服务器
它的内部逻辑对用户是黑盒的（除非被逆向）

这三点叠加，构成了一个天然的"受信任的监控工具"模型。监管机构、安全研究者、以及开发者社区都需要建立新的评审框架，来应对这种威胁。

6.5 中美AI科技脱钩加速

Anthropic的行为背景无法脱离地缘政治语境：

2026年6月，美国商务部以"国家安全"为由对Claude Fable 5和Mythos 5实施出口管制。Anthropic在与政府谈判解除管制期间，同时对其工具内置了针对中国用户的隐蔽检测机制，并承诺"在发现恶意活动时向美国政府通报"。

这表明，Claude Code的中国用户检测机制，很可能不只是商业反滥用行为，而是在政府合规框架下的主动配合。

这意味着西方顶级AI工具与中国用户之间的信任裂缝，已经不只是企业政策问题，而是系统性结构性的。任何试图继续依赖海外AI工具作为核心生产力的中国开发者，都需要正视这一现实。

6.6 对AI开发者工具行业标准的冲击

此次事件倒逼整个AI工具行业重新审视以下问题：

问题	现状	应有状态
遥测数据是否公开披露？	多数工具仅在隐私政策角落提及	应有清晰的遥测说明文档和选择权
客户端是否可被独立审计？	多数闭源，仅可逆向	应提供可验证的构建透明度
系统提示词是否可被用户检查？	通常不可见	应提供日志或审计模式
用户是否知道工具在做什么？	依赖工具自我声明	应有第三方安全审计