Claude Code 被曝暗中指纹追踪用户：系统提示词中的隐写术代码解析

核心结论

2026年6月30日，逆向工程师发现 Anthropic 的 AI 编程工具 Claude Code 在其二进制文件中隐藏了一套指纹追踪代码，通过隐写术（steganography）将用户环境信息编码为不可见的 Unicode 字符，嵌入每次请求的系统提示词中发送至 Anthropic 服务器。该机制检测中国时区、已知代理域名和 AI 实验室关键词三类信号，已存在于至少 90 个版本中。Anthropic 已承认该代码并承诺修复，但事件引发了对 AI 开发者工具透明度的广泛质疑。

发现了什么

开发者在对 Claude Code 二进制文件进行隐私审查时，发现了一个修改系统提示词中日期字符串的函数。该函数并非简单发送时间戳，而是通过四种肉眼无法分辨的 Unicode 字符变体（不同的撇号/引号字符）编码了三比特的环境指纹信息：

• cnTZ：用户系统时区是否为 Asia/Shanghai 或 Asia/Urumqi（中国时区）
• known：API 代理主机名是否匹配一个包含 147 个域名的 XOR 混淆黑名单
• labKw：代理主机名是否包含与中国 AI 实验室相关的关键词

这个 147 个域名的黑名单以 XOR 混淆形式硬编码在二进制文件中，主要针对用于从中国路由 Claude Code 流量的代理服务和 API 网关。整个机制横跨至少 90 个发布版本，意味着它已默默运行了数月之久，且从未在隐私政策或文档中披露。

技术原理：四步隐写管道

根据 GitHub 和 DEV Community 上的技术分析，指纹追踪机制通过四个步骤运作：

1. 环境采样：读取系统时区，检查配置的 API 基础 URL 或代理主机名
2. 分类判断：将代理主机名与混淆域名黑名单比对，并运行 AI 实验室关键词匹配
3. 编码嵌入：将三类判断结果（各占 1 bit）编码为 Unicode 字符变体，替换日期字符串中的正常字符
4. 传输：修改后的日期字符串嵌入系统提示词，随用户每次请求发送至 Anthropic 服务器

该代码仅在用户通过非标准 API 端点连接时激活，即：直接连接 api.anthropic.com 的用户不受影响。目标用户是那些通过第三方代理、API 网关或自定义端点连接的用户 — 这正是中国及其他受限地区开发者访问 Claude 的典型模式。

背后的动机

Anthropic 构建这一机制的原因并不难理解。该公司一直在多个战线应对来自中国的非授权访问：

• 模型蒸馏：中国 AI 实验室被指控利用 Claude 输出来训练竞争模型。Anthropic 在 6 月下旬公开指控阿里巴巴创建了 25,000 个虚假账号用于此目的
• 出口管制合规：美国政府于 6 月中旬对 Fable 5 和 Mythos 5 实施出口管制，要求 Anthropic 阻止受限地区的访问（该管制已于 6 月 30 日解除）
• API 倒卖经济：Telegram 群组和代理服务公开向中国用户出售 Claude 访问权限，形成 Anthropic 试图打击的非授权转售市场

值得关注的时间节点：指纹代码被发现的日期（6月30日）恰好是 Anthropic 宣布 Fable 5 出口管制解除、将于 7 月 1 日起全球可用的同一天。这表明该追踪基础设施可能在出口管制期间建立，并在管制解除后仍保留在代码中。

信任危机

无论运营理由多么充分，实施方式造成了严重的信任赤字：

零披露、零退出机制。追踪代码以混淆形式嵌入二进制文件，没有任何文档、隐私声明，用户和企业安全团队无法审计或禁用它。开发者以 sudo 权限安装 Claude Code，赋予其仓库访问和命令行执行权限。在此信任基础上，隐藏的用户元数据编码行为构成了实质性背叛。

隐写术作为模式的危险先例。用不可见 Unicode 字符传输元数据在技术上巧妙，但开创了危险的先例。同样的技术被提示注入攻击用于绕过过滤器走私恶意指令。如果 Anthropic 将隐写编码常态化，攻击者将获得可乘之机 — 安全工具也更难区分合法元数据与注入载荷。

“间谍软件”标签的蔓延。TechTimes、Digg 等多家媒体使用了“间谍软件”（spyware）一词来描述该代码。技术上可能不够精确（代码并未窃取文件或键盘记录），但这一反应反映了真实的挫败感：开发者期望他们以 root 权限安装的工具有基本的透明度。

Anthropic 的回应

Anthropic 已承认该代码的存在并承诺修复。据 TechTimes 报道，公司表示将“修复”该问题，但截至发稿时未提供具体时间表或修复版本号。

目前尚未回应的问题包括：

• 指纹追踪已运行多长时间？收集的元数据是否被存储？
• 修复是否追溯应用于仍在使用的旧版 Claude Code？
• 为何选择隐写术而非透明、文档化的遥测机制？
• Anthropic 是否会发布数据收集和使用情况的审计报告？

对开发者的实际影响

如果你使用 Claude Code：修复版本发布后立即更新。在此期间，直接连接 api.anthropic.com（不经代理/网关中转）可完全绕过指纹触发机制。

如果你使用任何 AI 编程工具：此事件提醒我们，AI 编程代理拥有深度系统访问权限 — 它们读取你的代码库、执行 Shell 命令、向远程服务器发送数据。这些工具的信任模型仍然不成熟。向工具提供商追问：

• 收集了哪些遥测数据？如何披露？
• 是否有机器数据外发的审计日志？
• 企业部署能否完全禁用遥测？

对生态系统的影响：Claude Code 指纹事件可能加速社区对完全可审计的开源 AI 编程工具的需求。Kilo Code、Continue.dev 等项目可能从这一信任缺口获益。

结论

Anthropic 在一个数百万开发者信任的编程工具中构建了一套技术上精巧但伦理上可疑的监控机制。公司承诺修复是正确的第一步，但仅靠一个补丁无法挽回信任。透明披露收集了什么数据、为何选择隐写术而非公开声明、以及采取了哪些防止再犯的保障措施，才是重建信心的最低要求。