Claude 被曝暗查中国时区：秒变封号小能手。。。

　　2026 年 6 月 30 日，Reddit 上一篇关于 Claude Code 的帖子在开发者社区引发争议。

　　Anthropic 在 Claude Code 中嵌入“间谍软件”，还试图对你隐藏

　　简述： 自 2.1.91 版本以来，也就是 2026 年 4 月 2 日发布的版本开始，Claude Code 会检查你是否启用了代理。

　　如果启用了，它会通过对 system prompt 做不可见的改动，暗中传递以下信息：你是否在中国、你是否正通过代理访问中国 URL、你是否与中国 AI Lab 有关联。

　　Anthropic 还试图在 Claude Code 二进制文件中对这段代码进行混淆。

　　背景：

　　我个人运行 Claude Code 时，会通过代理将 GPT 模型和 Claude 模型混合使用，并进行更细粒度的上下文管理。

　　今天，在 2.1.196 版本中，Anthropic 在启用代理时禁用了远程控制功能。为了回退这一改动，我对 Claude Code 做逆向工程，结果发现了一些极其可疑的东西。

　　代码：

　　在 Claude Code 的二进制文件中，存在这样一段检查逻辑，自 2.1.91 版本以来一直没有变化。这段检查会执行以下操作：

　　如果你正在使用代理：

　　检查系统时区是否匹配 Asia/Shanghai 或 Asia/Urumqi。

　　检查你的代理 URL 是否是中国域名，是否匹配某个域名列表，或者是否包含某个中国 AI Lab。

　　基于上述两项检查，Anthropic 会修改 system prompt 中的日期部分。

　　如果系统时区被判断为中国，日期格式会从 2026-06-30 变成 2026/06/30。同时，根据代理 URL 的不同，Today's date is 中的撇号也会发生变化：

　　如果是中国域名，或者匹配域名白名单，但不是 AI Lab：使用 \u2019，即 “right single quotation mark”——’

　　如果不是中国域名，或者匹配域名白名单，但是中国 AI Lab：使用 \u02BC，即 “modifier letter apostrophe”——ʼ

　　如果是中国域名，或者匹配域名白名单，且同时是中国 AI Lab：使用 \u02B9，即 “modifier letter prime”——ʹ

　　你可以自己在 Claude Code 源代码中验证这一点。

　　在 2.1.196 版本中，相关函数是 Crt()、Rrt(e)、e0t()、Zup()、edp 和 Vla。注意，这些都是压缩后的函数名，因此在不同 Claude Code 版本之间会变化。但你可以让 Claude Code 或 Codex 逆向 Claude Code，并查找这段逻辑，它很可能能轻松找到。

　　意图

　　Anthropic 显然加入了这段检查，用于检测 Claude 在中国的未授权转售，以及中国实验室的蒸馏尝试。然而令人不安的是，Anthropic 试图在二进制文件中混淆这段逻辑。其中很大一部分使用密钥 91 做了 XOR 混淆，很可能是为了防止它出现在普通的 strings 转储结果中。此外，2.1.91 版本的发布说明完全没有提及这项检查。

　　他们的意图也体现在另一个地方：他们通过 system prompt 中的隐写术隐藏这件事。也就是说，他们制造一些任何用户都感知不到、甚至模型本身可能也感知不到的细微变化，但这些变化却很容易被 Anthropic 检测出来。

　　对用户信任的根本性破坏

　　虽然这个用途——试图检测未授权转售和模型蒸馏——是可以理解的，但 Anthropic 在你不知情、未同意的情况下，暗中传输关于你系统和代理设置的信息，这是对用户信任的根本性破坏。监控某个时区内的所有用户，本身就是严重越界；更重要的是，这件事的存在打开了一个更严重问题的大门。

　　如果 Anthropic 愿意仅仅因为你是中国人，就秘密传输关于你系统的信息，那么有什么能阻止他们秘密引导模型表现得更差——他们此前在 Fable 上就曾试图这样做，直到研究人员指出问题——甚至更糟，做出恶意行为？

　　像我这样的开发者，会给 Claude Code 完整文件系统权限以及相当大的 shell 访问权限，这样它才能完成工作。但这也意味着，没有什么能阻止 Anthropic 利用它，在你的系统上实现完整的远程代码执行。今天只是时区检查，明天就可能是系统破坏或数据外传。

　　考虑到开发者对 Claude Code 的信任，我认为有必要要求 Anthropic 提高透明度。保护 IP 是合理的，但不应以在每个开发者系统中嵌入近似“间谍软件”的东西为代价。

　　我还认为有一点也很重要：这类检查一方面损害了正常用户的隐私，另一方面对于任何稍微有点技术能力的对手来说，都非常容易绕过。因此，这种做法是否真的能实现其防止未授权转售或模型蒸馏的目标，本身就值得怀疑；与此同时，它却侵犯了正常用户的隐私。

　　按照作者所述，Claude Code 很可能在客户端侧加入了一套隐蔽风控标记机制，用于识别代理、地区和疑似模型蒸馏链路。

　　Anthropic 近期确实面临大规模蒸馏与转售压力，指控部分实验室通过代理服务、虚假账号网络获取 Claude 访问权限，用于生成训练数据和蒸馏模型。

　　在用户不知情的情况下，将本地环境信号编码进 system prompt。

　　Claude Code 不是普通聊天框，而是运行在开发者终端里的 AI 编程代理。

　　Anthropic 官方文档称，Claude Code 默认是只读权限，但在需要编辑文件、运行测试、执行命令时会请求用户授权；其权限系统覆盖 Bash、Read、Edit、WebFetch、MCP 等工具。

　　因此，如果通过日期格式、Unicode 撇号这类用户几乎不可见的差异，传递时区、代理和疑似组织归属信息，这在安全工程上更接近 covert signaling，也就是隐蔽信号传递。它未必等同于传统恶意软件，但对于一个可接触源码、配置、构建脚本和命令行环境的开发工具来说，足以构成高敏感设计。

　　从防御效果看，这种机制也未必高明。

　　真正有能力做大规模转售或蒸馏的一方，可以修改时区、代理域名、客户端二进制，甚至直接在更低层转发流量；普通开发者反而承担了更高的隐私与信任成本。

　　云头条声明：如以上内容有误或侵犯到你公司、机构、单位或个人权益，请联系我们说明理由，我们会配合，无条件删除处理。