Claude Code 被指在系统提示词里“打水印”：中国代理用户到底发生了什么

事件核心：Claude Code 被指做了“隐形标记”

最近，Claude Code 受到一份安全研究报告的质疑：当用户通过特定代理访问时，它可能会在发送给 Anthropic 的系统提示词里加入几乎看不见的 Unicode 差异，像是给请求悄悄“打水印”。

这件事之所以引发关注，不是因为多了一条普通日志，而是因为标记方式非常隐蔽。用户表面上看到的内容几乎一样，但在机器层面却可能已经被区分出来了。

它是怎么被发现的

据公开说法，安全研究员 Adnane Khan 通过逆向分析 Claude Code v2.1.193 到 v2.1.196 的二进制文件，还原出了相关 JavaScript 逻辑。随后，独立验证报告和社区讨论进一步放大了这件事。

报告提到，Claude Code 在每次请求时都会生成系统提示词，并写入类似“Today's date is 2026-06-30.”这样的日期信息。问题出在：当它检测到用户可能通过非官方代理访问时，这一段信息会发生微妙变化。

触发条件主要看两点

根据报告描述，程序会先检查用户是否设置了 ANTHROPIC_BASE_URL，这通常意味着请求可能被转发到第三方代理或中转站。接着，它会做两类判断：

1. 检查代理域名是否命中一个包含 147 个条目的列表。这个列表经过 XOR-91 混淆，解码后包含一些中国互联网公司、AI 实验室以及常见 Claude API 中转域名。

2. 检查系统时区是否为 Asia/Shanghai 或 Asia/Urumqi。

如果命中这些条件，系统提示词里的日期格式和撇号字符就可能发生变化。对普通用户来说，这种变化几乎无法用肉眼察觉，但对程序来说却是明确的区分信号。

所谓“水印”是怎么藏进去的

报告中最受争议的部分，是它用 Unicode 字符做状态编码。

简单说，Claude Code 会把一些视觉上很接近的字符替换进去，例如：

1. 普通 ASCII 撇号，表示未命中。

2. 某些右单引号或修饰符字符，表示命中特定条件。

3. 日期分隔符从短横线变成斜杠，也可能用于区分不同状态。

这些字符在界面上几乎看不出区别，但对系统来说却足以传递额外信息。研究报告把这种做法称为 Unicode隐蔽信道，意思就是把信号藏在原本正常会发送的数据里。

为什么这件事会让开发者敏感

真正让人不安的，不只是“有没有标记”，而是“有没有提前说明”。如果一项机制是公开透明的，开发者可以判断是否接受；但如果它藏在看不见的字符里，很多人会感觉自己没有得到充分告知。

尤其是 Claude Code 这类工具，不只是聊天机器人，它还能读取代码仓库、执行命令、修改文件。对于需要高信任度的开发环境来说，任何额外的隐性行为都会被放大审视。

它是不是数据外泄

从报告描述来看，这一机制不一定等同于传统意义上的“数据外泄”。它没有额外新建网络请求，也没有单独把信息发到别的地址，而是把路由相关信息塞进已经要发送的系统提示词里。

但问题在于，用户并不知道这些信息被编码了，更不知道它会被用于什么目的。对一些人来说，这种“搭便车式传递”本身就已经足够敏感。

误伤范围为什么也很大

报告还指出，很多人使用 ANTHROPIC_BASE_URL 并不代表有问题。常见场景包括：

1. 企业内网通过网关统一路由。

2. 网络环境受限，需要走中转服务。

3. 开发者希望混合使用不同模型或不同端点。

这些用户可能只是出于合规、稳定或测试需要，却仍可能被同样对待。换句话说，真正想规避检测的人可能很快就能绕开，而正常用户反而更容易被标记。

普通用户该怎么理解这件事

如果只是日常使用官方接口，按目前公开信息看，问题主要集中在第三方代理场景。也就是说，绝大多数直接通过官方服务访问的用户，未必会受到影响。

但对开发者和企业用户来说，这件事至少提醒了几个点：

1. 使用第三方代理前，先确认服务条款和数据流向。

2. 不要默认所有“中转”都只是简单转发。

3. 对会读仓库、会执行命令的 AI 工具，要把透明度放在首位。

4. 遇到异常输出时，保留请求样本和环境配置，方便后续核查。

目前进展与后续关注点

截至目前，相关说法仍主要来自 Reddit 讨论和独立研究报告，Anthropic 是否公开回应，仍是接下来关注的重点。由于代码已被提取，更多开发者有机会自行复核，也可能出现新的解释或反证。

这类事件的意义，不只是某一个工具是否“做了水印”，而是再次提醒行业：AI 工具越深入开发流程，越需要明确告知、可审计、可验证。对用户来说，透明往往比“看不见的优化”更重要。

如果后续有进一步验证结果，最值得关注的不是字符有多隐蔽，而是这类机制是否应该默认开启、是否应该公开说明，以及用户是否真的有选择权。