• 发布时间:
  • 阅读量: 75
  • 分类: AGENT

本文首发地址 https://h89.cn/archives/636.html

你的 AI 编程助手每天往系统提示词里写一句话：Today's date is 2026-06-30.

听起来再普通不过。但如果有一天你发现，这句话里的撇号有四种不同的 Unicode 写法，日期分隔符会根据你的时区在 - 和 / 之间切换，你还会觉得它只是一句日期吗？

2026-06-30，开发者 Thereallo 反向工程 Claude Code 二进制后发现，Anthropic 在过去三个月里，确实这么干了。

封面

00 四个看起来一样的撇号

下图就是整个事件的技术核心。从左到右，这四个字符在你的屏幕上几乎无法区分：

四种 Unicode 撇号对比

它们分别是 ASCII 撇号（U+0027）、右单引号（U+2019）、修饰字母撇号（U+02BC）和修饰字母 prime（U+02B9）。在不少终端和网页字体里，四者看起来差异极小，但 UTF-8 编码完全不同。后端只要逐字节读取 Today’s date is … 这句话，就能还原出 2-bit 代理分类信息。

01 一句日期里的 3-bit 指纹

Claude Code 不是网页聊天机器人。它是本地 agent，能读代码、跑 shell、改文件、推 commit。开发者把它装到电脑上，相当于给了一个高权限进程。

每次对话，它都会在 system prompt 里塞进一行：

Today's date is 2026-06-30.

问题在于，从 v2.1.91（2026-04-02）到 v2.1.197，这句话不是固定的。

当你的环境变量 ANTHROPIC_BASE_URL 指向非官方端点时，Claude Code 会额外做三件事：

  1. 提取代理 hostname；
  2. 读取系统时区；
  3. 把结果编码进那句日期里。

编码规则如下：

代理域名命中名单 关键词命中 lab 名单 使用的字符 Unicode
否 否 ' U+0027 ASCII 撇号
是 否 ’ U+2019 右单引号
否 是 ʼ U+02BC 修饰字母撇号
是 是 ʹ U+02B9 修饰字母 prime

如果系统时区是 Asia/Shanghai 或 Asia/Urumqi，日期还会从 2026-06-30 变成 2026/06/30。

这相当于在一句 25 个字符的话里，塞进了至少 3-bit 的环境指纹：

  • 域名是否在 147 个中国公司 / 云厂商 / 代理名单里；
  • 是否包含 11 个 AI lab 关键词（deepseek、moonshot、minimax 等）；
  • 系统时区是否指向中国大陆。

模型和人类看着都是一句日期。只有逐字节检查原始请求，才能发现差别。

02 代码长什么样

从二进制里恢复出来的核心逻辑并不复杂：

function Bvd() {
  if (Qln()) return null;

  let host = Nvd();          // 从 ANTHROPIC_BASE_URL 取 hostname
  let timezone = __t();      // 系统时区
  let cnTZ = timezone === "Asia/Shanghai" || timezone === "Asia/Urumqi";

  if (!host) {
    return { known: false, labKw: false, cnTZ, host: null };
  }

  return {
    known: $vd().some((d) => host === d || host.endsWith("." + d)),
    labKw: Ovd().some((k) => host.includes(k)),
    cnTZ,
    host,
  };
}

function Fvd(known, labKw) {
  if (!known && !labKw) return "'";
  if (known && !labKw) return "\u2019";
  if (!known && labKw) return "\u02BC";
  return "\u02B9";
}

function M1i(date) {
  let marker = Bvd();
  let apostrophe = Fvd(marker?.known ?? false, marker?.labKw ?? false);
  let renderedDate = marker?.cnTZ ? date.replaceAll("-", "/") : date;
  return `Today${apostrophe}s date is ${renderedDate}.`;
}

$vd() 和 Ovd() 分别是域名列表和关键词列表。它们不是明文存储的，而是用 base64 + XOR key 91 混淆后嵌在二进制里：

var Pvd = 91;

function P1i(encoded) {
  let bytes = Buffer.from(encoded, "base64");
  let out = "";
  for (let byte of bytes) {
    out += String.fromCharCode(byte ^ Pvd);
  }
  return out.split(",");
}

我在本机安装的 v2.1.183 二进制里提取出这两段密文，按同样方式解码，得到：

knownDomains count: 147
labKeywords count: 11
labKeywords: deepseek, moonshot, minimax, xaminim, zhipu,
             bigmodel, baichuan, stepfun, 01ai, dashscope, volces

名单覆盖百度、阿里、蚂蚁、字节、快手、小红书、京东、B站、讯飞、阶跃星辰、Moonshot AI 等公司域名，以及大量 claude-opus.top、openclaude.me、proxyai.com、yunwu.ai 这类代理/转售商域名。完整列表可在 thereallo.dev 的 CDN 文件里找到。

03 标记送到哪儿去了

这里要区分两个概念：触发器和目的地。

ANTHROPIC_BASE_URL 只是触发器。当它没有设置，或者指向 api.anthropic.com 时，那段隐写逻辑不会执行。普通用户不受影响。

一旦它指向自定义代理或网关，Claude Code 就会在本地构造带标记的 system prompt，然后把整个请求发到 ANTHROPIC_BASE_URL。

对于 Claude Code 而言，这个 URL 就是它的 API 端点。至于对方是官方、代理还是 gateway，它不关心。

一个正常的中转代理会原样转发 body、headers、system prompt 里的每一个字节。它不会刻意去改 system prompt，改了反而等于破坏请求。因此，如果代理继续转发到 Anthropic，标记会随请求到达 Anthropic 后端；如果它转发到其他兼容模型或只做本地路由，Anthropic 未必能看到——但无论如何，中间代理一定可见。

所以问题的关键是：Claude Code 把本应该在 telemetry 里显式声明的环境信息，藏进了肉眼不可见的 prompt 标点里。

04 为什么这很严重

Claude Code 的权限级别和普通聊天机器人不一样。它能：

  • 读取你的项目代码；
  • 执行 shell 命令；
  • 编辑文件、提交代码；
  • 访问 git、环境变量，并可通过本机工具间接触达更多资源。

开发者接受这种权限，因为效率提升值得交出一部分控制权。信任建立在行为可预期上：你告诉我做了什么，我同意。

但这次 Anthropic 的做法是：

  • 没有用户告知；
  • 没有显式的 telemetry 字段；
  • 把环境指纹藏进不可见字符；
  • 域名列表用 base64+XOR 混淆；
  • 引入时不写 changelog，移除时也不写。

As Thereallo 在原文里写的：

“If the client wants to detect custom API gateways, it can say so plainly. It can send an explicit telemetry field with documentation. Hiding the signal in the system prompt makes every other privacy claim harder to believe.”

检测 API 滥用、防止模型蒸馏，这些目标本身说得通。但实现方式选择了一条最不透明的路。

05 防不住专业对手，误伤普通开发者

这条指纹通道的绕过成本很低：

  • 改代理域名，让它不在 147 个域名名单里；
  • 改系统时区；
  • patch 二进制；
  • 用进程包装器重写 system prompt。

任何有组织的蒸馏攻击团队绕过它都不构成稳定门槛。真正会被稳定标记的，是正常使用企业内部 API 网关、本地模型路由器、第三方成本代理或研究基础设施的开发者。

换句话说，这条通道的防御效果有限，但隐私代价和信任代价是真实的。

06 Anthropic 的“静默修复”模式

这已经不是 Anthropic 第一次在 Claude Code 上静默处理安全问题。

安全研究员 Aonan Guan 在 2026-05-20 披露，Claude Code 网络沙箱存在两次完整绕过：

  1. allowedDomains: [] 被错误读作“允许全部”，2025-11-26 在 v2.0.55 静默修复；
  2. SOCKS5 hostname null-byte 注入，2026-04-01 在 v2.1.90 静默修复。

两次修复都没有 Claude Code 产品的 CVE，没有安全公告，没有 changelog 说明。Aonan Guan 的评价是：

“Shipping a sandbox with a hole is worse than not shipping one. The user with no sandbox knows they have no boundary. The user with a broken sandbox thinks they do.”

本次隐写事件重复了同一模式：外部发现 → 社区发酵 → 新版静默移除 → changelog 不提。

07 本机验证：v2.1.197 仍在，v2.1.198 才清除

我在本机对 Claude Code 三个版本做了静态检查。验证路径为本地 npm 全局安装目录下的 claude.exe 二进制，该文件为 bun 打包的 ELF 64-bit 可执行文件。

v2.1.183 中定位到 Bvd()、M1i()、Pvd=91 等特征。v2.1.197 中代码仍在，只是函数名做了替换：rdp() 替代 Bvd()、odp() 替代 Fvd()、qla() 替代 M1i()、Jup=91 替代 Pvd=91。解码后的域名和关键词清单完全一致，仍是 147 个域名 + 11 个 lab 关键词。

更新到 v2.1.198 后，这些特征才全部清空。日期生成变成简单的：

function euo() {
  let e = new Date;
  let t = e.getFullYear();
  let n = String(e.getMonth() + 1).padStart(2, "0");
  let r = String(e.getDate()).padStart(2, "0");
  return `${t}-${n}-${r}`;
}

currentDate 直接注入为：

currentDate: `Today's date is ${mEe()}.`

没有任何分支、没有任何变体字符、没有任何域名/时区检测。

所以 v2.1.197 并不像媒体最初报道的那样是修复版本，真正修复的是 v2.1.198。三个版本的 changelog 均未提到隐写代码。

08 开发者现在该做什么

  1. 升级到 v2.1.198 或更新版本。注意 v2.1.197 并未修复——本机二进制验证确认 v2.1.198 才是真正清空隐写代码的版本。
  2. 自查历史日志。如果你在 2026-04-02 到 2026-06-30 之间使用过自定义 ANTHROPIC_BASE_URL，且代理域名/时区命中条件，检查保存的 system prompt 日志里是否出现过 / 日期分隔符或非 ASCII 撇号——包括 v2.1.197 在内。
  3. 把 agent 当特权进程对待。不要给 agent 长期有效的 API key；不要在 agent 能读到的目录放敏感凭证；考虑在容器或 VM 里运行。
  4. 读 release notes 时保持怀疑。尤其是安全相关的变更，厂商不提不等于没发生。

09 这不是 Anthropic 一家的问题

Claude Code、GitHub Copilot、Cursor、Windsurf、Codex CLI……这些高权限 AI 编程 agent 都在你的机器上运行。它们中的任何一个，都可以做类似的事情：读取环境、扫描网络、把信息编码进看似无害的文本里。

这件事真正的争论点是：当 agent 拥有接近 root 的权限时，厂商应该有多透明？

模型蒸馏、API 滥用、出口管制——这些目标都有合理性。但“合理目标”不能自动正当化“秘密标记”。显式 telemetry 可以让开发者评估、审计、拒绝；隐写 fingerprinting 剥夺了这些权利。

Agent 工具的透明度和隐私控制，才刚刚进入争议期。Claude Code 这起事件算是一个标志。

参考与来源


本文链接：Claude Code 偷偷标记中国开发者 - https://h89.cn/archives/636.html

版权声明：原创文章 遵循 CC 4.0 BY-SA 版权协议，转载请附上原文链接和本声明。

标签: github, AI工具, Claude, Code, Claude Code, Anthropic, prompt, system, 安全, Proxy, 开发者, 隐私

🎓 呈言英语 智能英语学习平台
📚单词学习 🎧听说练习 📖阅读理解 ✏️拼写练习 🌟 AI智能推荐 · 科学记忆曲线
🚀 立即开始免费学习

添加新评论