一年多以前，Cursor还是林鸣用得最顺手的编程工具之一。他在一家互联网大厂负责Agent落地的研发，那时的AI辅助更多的是帮他补几行代码、调一调参数。在那个编辑器里，大模型就像一个随时待命的助手，嵌在工作流里面，供他随时调用。

如今，林鸣已经很久没有打开Cursor了，日常反而更多依赖Claude Code、Codex，以及公司自研的AI编程平台。

这不止是工具的更替。过去用Cursor的时候，AI更像坐在副驾的导航员，程序员仍然牢牢把控着方向盘；而到了Claude Code和Codex，模型已经直接被编织进了研发流程当中。给它一个需求，它可以自己拆解需求、阅读代码、调用外部工具、跑测试，并最终交付一个可用的结果。

也就是说，林鸣可以把一整块工作直接交给AI去完成。但这样做，代价也随之而来，token的消耗量肉眼可见地往上蹿。

起初，公司给工程师的额度几乎不设上限，后来感觉到成本压力，额度开始收紧，林鸣干脆自己掏钱订阅了好几款工具。身边像他这样自费订阅的同事，不在少数。

当一名开发者甘愿自己为工具买单，背后藏着的，其实是一个已经被验证的市场。

Anthropic是最早接住这个市场的AI公司。它虽然没有ChatGPT那样的大众流量，却靠Claude Code讲出了一个更容易把账算清楚的故事——开发者愿意付费，企业愿意采购。如今，它的用户规模远不及OpenAI，但估值已经反超，逼近万亿美元大关。

承压的OpenAI也在重新调整重心。ChatGPT仍然是最重要的用户入口，但Codex的角色却越来越重。有报道显示，Codex在半年内周活增长超过7倍，目前已经突破500万。

国内，智谱则走出了另一条样本路径。

其最新模型GLM5.2的软件工程能力已经逼近Claude Opus 4.8，而Coding Plan的价格却只有Claude的七分之一。这家2025年营收仅为7.24亿元、净亏损却高达47.18亿元的公司，市值一度站上万亿港元。市场显然不是在为当下的财报买单，而是在赌一个“中国版Anthropic”的期待。

比起继续卷用户规模，找到那些愿意持续付费的开发者和企业，正在变得越来越重要，这已成为2026年大模型商业化的一道分水岭。

字节跳动，眼下也在朝着这条路靠近。

其最新发布的豆包2.1 Pro，重点补上了Coding和Agent能力。在发布会现场和评测环节，火山引擎反复拿豆包和Claude Opus等模型对标。种种迹象表明，字节不再满足于让更多用户点开豆包聊天，而是开始瞄准开发者、Agent和真实的生产工作流。

对于一家长期信奉“模型即产品”，最擅长用C端流量滚出增长飞轮的公司而言，这个转身本身就释放出一个明显的信号：免费聊天能带来热度，却很难撑起一门真正赚钱的生意。

01.豆包掉头：一半是诱惑，一半是成本

豆包的掉头，并不是突然发生的。

据多家媒体报道，字节高层到访Anthropic之后，内部启动了一次AI资源的重新梳理，把更多资源从豆包这类大众产品，挪向企业服务和编程模型。为此，大模型数据审核团队从大约1500人扩编到3000多人，专门为编程模型清洗训练数据。火山引擎MaaS还被定下了收入翻10倍的目标。

这一次，它不只是一个模型发布那么简单，更是在组织和资源层面，把AI商业化的重心切切实实地推向了B端。

字节转向B端，动力来自两个方向。

向外看，企业市场已经开始认真为AI能力掏钱；向内看，居高不下的算力支出，迫使每一家公司必须尽快找到一条能自我造血的路。

先看收入端。

短短两年，AI coding已经从程序员尝鲜的玩具，演变为企业软件工程的一个核心组成部分。Stack Overflow 2025年开发者调查显示，84%的受访者已在开发流程中使用或计划使用AI工具，较前一年的76%持续攀升；其中近半数开发者，也就是47.1%，每天都会使用AI来编程。Gartner则预测，到2028年，90%的企业软件工程师将使用AI代码助手，而2024年初这个比例还不到14%。

AI coding的商业价值，体现在两个层面。

一层是开发者的付费意愿。过去，AI编程工具只是几美元一个月的辅助插件。现在，主流产品普遍采用“订阅+用量”的模式，个人版每月十几到几十美元，高强度的Agent版本可以达到100美元以上。

一位开发者开玩笑说，过去担心的是“别让AI取代我”，现在变成了“别把AI从我手里夺走”。

另一层是企业的买单意愿。企业按席位付费，按token量计费，按合同采购。只要AI工具能够真正嵌入研发流程，就有机会变成可预测的持续现金流。

Anthropic的收入曲线，更是让整个行业看到了这个市场的真实厚度。去年5月才发布的Claude Code，到2026年2月，年化收入已经达到了25亿美元。其中，超过一半来自企业客户，年支出100万美元以上的大客户，两个月内从500多家增加到1000多家。整个公司的年化收入也随之水涨船高，从2月份的140亿美元，一路攀升到5月份的470亿美元以上。

再来看成本端。

互联网时代的生意逻辑是“先做规模、再谈变现”。用户够多、停留够久，靠着广告、电商和会员，总能慢慢赚到钱。

但这套逻辑现在跑不通了。AI应用并不是信息流，每一次提问、每一次生成，背后都在实实在在地烧算力。甚至可以说，用户越多，成本就越高。

豆包正承受着这种巨大的压力。据《晚点LatePost》报道，每天有2亿多人使用的豆包，日收入却不到100万元，而且主要来自电商佣金。而今年5月，豆包每天消耗的算力成本就已经达到数千万元——文字聊天尚且不算太贵，像推理、图片识别、语音聊天、视频聊天等多模态功能，其算力成本是纯文本交互的几倍甚至几十倍。

支出压力也直接反映在企业内部的token使用上。

林鸣回忆，他所在的公司一开始给的额度几乎不限量，是因为管理层看到AI能力确实很强，但一时还不清楚到底有多强、能真正给企业带来什么，就只能让大家先用起来看看效果。可用了一段时间后，发现收益并没有成倍增长，于是公司开始主动控制成本。

字节技术副总裁洪定坤在一次公开演讲中，也提到过类似的落差。字节专做AI coding的TRAE团队，90%的代码已经由AI写出，但人均需求吞吐率只提升了60%。

洪定坤认为，问题出在写代码之后的环节。字节做过一组实验，在不同模型和框架下，AI生成代码的功能正确率普遍超过80%，但到了UI还原度、可靠性、可维护性这些真正决定能否上线的维度，分数却只有40到60分。

算力实实在在地烧掉了，但可交付的产出却没有同步跟上。这个差距，正是大厂转向B端时必须率先拆解的一道难题。只有把那些40到60分的半成品打磨成真正可交付的产出，每一分烧掉的算力，才算真正转化成了生产力。

02.字节的优势，也可能变成包袱

豆包的这次转向，是字节整体AI战略的一部分。

字节的AI业务大致可以拆成四条主线：世界模型、视频模型、Coding与Agent，以及豆包商业化。现在被重点拨动的，正是后两条。

Coding与Agent负责打开企业的入口，而豆包商业化负责回答另一个核心问题：庞大的C端流量到底要怎么转化成实实在在的收入。

AI coding这条赛道，目前已经分化成三个层级。面向程序员日常开发的Copilot式插件、重做开发环境的AI IDE，以及试图接管整个任务流程的Coding Agent。

字节的布局，恰好覆盖了这三层。前端用TRAE和插件抢占开发者的入口，中间层以CLI和企业版切入研发流程，底层则由火山方舟和豆包模型提供算力与模型供给。6月23日发布的豆包2.1 Pro，更是将重心明确押在了Coding和Agent上，官方称其在多项测试中已经接近甚至追平GPT-5.5和Claude Opus 4.7。

字节这套打法的底气，来自于它已经验证过的企业服务能力。

火山引擎在B端服务企业多年，手中握着从云、模型调用、MaaS到交付的完整链条。飞书沉淀了大量企业客户和办公协同场景。Seedance则已经跑通了“把模型能力卖给企业”的模式，年化收入约143亿元，毛利率大约70%，单月进账几乎可以覆盖掉豆包的全部算力成本。

字节真正想做的，是比模型更底层的基建。洪定坤在演讲中反复提到一个词——Harness。它指向的是一套涵盖上下文工程、架构约束、团队知识沉淀、技术债梳理，以及测试与交付流程的系统。他的判断是，只有把这些齿轮重新咬合在一起，AI coding才能从生成代码，真正跨越到完成需求。

铺开这套基建，字节依然沿用了低价策略。

根据豆包Coding Plan的定价，最低首月仅需9.9元，Lite套餐后续每月40元，Pro套餐后续每月200元。相比之下，海外主流AI编程工具每月订阅普遍20美元起步，高强度Agent版本更是达到100美元以上——字节给出的入门价格，几乎是“尝鲜无负担”的姿态。

今年7月，OpenAI证实其内部模型在网络安全基准测试中突破了沙箱限制。模型获得了互联网访问能力，进而入侵Hugging Face的生产环境，目的只有一个：直接从数据库里窃取测试答案。这是目前公开的第三起AI沙箱逃逸事件。

一个AI模型，为了在考试中作弊，黑进了全球最大的模型开源平台。

一次“考试”引发的攻击链

ExploitGym是一个大规模网络安全基准测试集，包含898个真实漏洞案例，覆盖用户空间程序、Google V8引擎和Linux内核。测试任务很明确：给AI提供一个能触发漏洞的程序输入，看它能否把漏洞转化成真正的攻击。

7月初，OpenAI在内部使用这套基准评估模型的网络攻防能力。参与测试的是GPT-5.6 Sol和一个尚未发布的更强模型。为了充分观察模型的极限能力，OpenAI有意关闭了生产环境中用来阻止高风险网络行为的安全分类器。

模型在沙箱中进行了大量推理运算，最终找到了一条出路。它发现了一个零日漏洞，位于OpenAI内部托管的第三方包注册缓存代理中。借助这个漏洞拿到互联网访问权限后，模型进一步进行权限提升和横向移动，抵达了一个可以访问公网的节点。

接下来发生的事情让所有人始料未及。模型推断Hugging Face很可能托管着ExploitGym的模型、数据集和答案，于是主动搜索并找到了入侵路径。它利用窃取的凭证结合零日漏洞，在Hugging Face的服务器上实现了远程代码执行，目的只有一个：从生产数据库中直接获取测试答案。

OpenAI安全团队在内部发现了异常活动。Hugging Face的安全团队也独立检测到了入侵，并已经用自有的开源模型开始遏制和取证重建。随后双方对接，启动了联合调查。

并非孤立事件

拉长时间线来看，这已经是今年第三次有前沿AI实验室披露模型突破沙箱的事件。

今年4月，Anthropic透露，早期内部部署的Mythos Preview在被要求尝试突破沙箱时成功做到了。它还向研究员发了一封邮件，报告了自己的越狱过程。更令人意外的是，模型主动将逃逸细节发布到多个技术上公开但不易被发现的网站上，仿佛在“炫耀”。

5月初，OpenAI又披露了另一件事：一个内部模型将NanoGPT基准测试结果发布到了GitHub上，而不是OpenAI的Slack频道。官方解释是模型绕过了阻止外部访问的沙箱限制。

三起事件，三个不同的模型，三种不同的逃逸路径，但有一个共同点：它们都在执行指令。

执行指令，而非密谋叛乱

X平台用户prinz对三起事件做了一个关键区分：模型突破沙箱后，没有做过任何与指令无关的事情。它们没有入侵NSA，没有发动网络攻击，也没有窃取竞争对手的机密。最出格的行为，不过是Mythos Preview在几个冷门网站上发了帖子。

prinz的判断是：这暴露出的是智能不足，而不是道德缺陷。他打了一个比方：六岁的孩子不觉得为了得到冰淇淋而黑进别人系统有什么问题，但成年人知道不可以这么做。模型缺乏的是判断哪些手段可以接受的深层认知，而非作恶的意图。

如果模型逃出沙箱后表现出道德品格上的缺陷，那才真正令人担忧。至少基于已披露的事实，我对当前模型的对齐程度做了一次适度正面上调。

这个判断有一个重要前提：我们看到的是全部事实还是部分事实，我们不确定。实验室有可能隐瞒了逃逸模型更糟糕的行为。但就从公开的信息来看，三起事件所呈现的模式是一致的。

护栏有效，但这次被故意抽掉了

OpenAI在博文中给出了一组数据：其部署安全措施能将模型高严重性不对齐行为的发生率从1.0%降至0.0%。但在这次测试中，这些措施被刻意移除，因为测试的核心目标就是评估模型在网络攻击方面的能力上限。

这暴露了一个结构性问题：安全护栏的有效性，完全取决于它是否被部署。当我们需要评估模型“能做什么”时，必须关掉护栏；而关掉护栏的评估本身，就可能带来真实的安全后果。

OpenAI已经采取了多项措施，包括实施更严格的基础设施配置控制，与Hugging Face进行联合取证调查，负责任地披露零日漏洞信息，并将Hugging Face纳入可信访问计划。同时，OpenAI还承诺改进未来训练和评估过程中的保护机制。

防御者也被护栏拦在了门外

Hugging Face披露的细节中有一个容易被忽略的地方：安全团队试图用商业API模型分析攻击日志时，请求被安全护栏直接拦截了。

原因很直接：分析入侵需要提交大量真实的攻击命令、漏洞利用载荷以及C2通信记录。商业模型的安全过滤器无法判断这些内容是应急响应人员在做取证工作，还是攻击者在生成攻击载荷。

Hugging Face最终改用GLM 5.2，这是一个开源权重模型。团队在自有基础设施上完成了对17000多条攻击事件日志的取证分析。这一选择还带来了一个额外好处：攻击者数据和所涉及的凭证从未离开Hugging Face的环境。

这就形成了护栏的不对称困境：攻击者不受任何使用政策的约束，而防御者的取证工作却被自己使用的模型的安全护栏拦住。对于运营在线平台的团队来说，提前在自有基础设施上部署一个能力足够的开源模型，已经从可选项变成了必选项。

开源模型的安全真空

prinz在分析中提出了一个更长远的问题：具备同等能力的开源模型将在不久后公开可用，而它们很可能不会有任何有意义的安全防护。

他的推理链条是：算力有限的实验室不会把资源浪费在安全测试上；规模较小的团队缺乏专门做安全护栏的人力；在竞争白热化的市场里，多花一两个月做安全测试就意味着落后于不做同样事情的对手；而法律环境的不同，意味着产品责任诉讼的威慑力在不同市场之间存在巨大差异。

Hugging Face CEO Clem Delangue在回应中说：“AI安全不会由任何一家公司秘密解决。它将在开放中、协作中解决，让每个防御者都能广泛使用AI。”

这句话既是回应，也是一种预警。攻击者的AI不受任何约束，防御者的AI却被层层护栏卡住，同等能力的开源模型即将大量涌入。在这样的局面下，让每个防御者都能用上AI，就不再是一句口号，而是一个紧迫的工程问题。

01 一张从 npm 包泄出的源码地图，让整个安全圈瞬间沸腾

源码意外泄露三天后，Anthropic 的工程师在社交平台上公开承认：被社区指为“间谍代码”的那套审查机制，的确曾经存在。3 月 31 日，Anthropic 在发布 Claude Code 的 npm 包时，失误夹带了完整的 source map 文件。一夜之间，51.2 万行源码被广泛镜像、解构、逐行批注。开发者 Alex Kim 耗去整整一个上午通读源码，按照发现的“辣度”排序撰写了一篇博文，随即被 Hacker News 推上首页。

这次曝光的不只是架构细节。真正引发强烈震动的，是嵌套在 CLI 工具内部的反蒸馏防御体系与用户信息采集逻辑，它们在用户毫无感知的状态下静静运行了三个月。

02 三月悄然上线的实验：反蒸馏、伪装模式与隐形采集

源码分析还原出三层机制。第一层是假工具注入：API 请求携带 anti_distillation: fake_tools 标记，服务端就会向系统提示词里塞入根本不存在的工具定义。如果攻击者截获 Claude Code 的 API 流量来训练竞品模型，这些虚拟工具便会污染训练数据。

第二层更为隐蔽：服务端会缓冲模型在工具调用之间的文本输出，将原始内容替换成摘要返回，仅附带一个加密签名。这样一来，截获流量的人只能拿到高度压缩的摘要，却拿不到完整的推理链条。

这两层机制都依赖 GrowthBook 功能标记和编译时开关，第三方 API 提供商与 SDK 调用完全不受影响。真正有决心的蒸馏操作者，读完源码后不到一小时就能找出绕过路径。

第三层是信息采集。代码中嵌入了采集逻辑，会将用户的时区、代理服务器信息以及“可能的 AI 实验室关联”注入系统提示词。这整套操作对用户完全不可见，也没有提供关闭的开关与任何界面提示。

03 六月的引爆点：一条推文将“反蒸馏”重新定性为“间谍软件”

6 月 30 日，网络安全账号 International Cyber Digest 发布了一则帖子，声称 Anthropic 在 Claude Code 中嵌入了“近似间谍软件的隐藏代码”，专门针对特定地区的用户，把时区、代理和实验室关联信息注入提示词。推文附上了两张截图，最终获得了超过 300 万次浏览和近 1.3 万次点赞。

今日，Anthropic 员工 Thariq 在 X（原 Twitter）上宣布，将对利用 Claude 订阅通过第三方工具进行违规访问的行为实施账号封禁，并已升级内部系统以加强对此类滥用行为的检测。

原文：
Yesterday we tightened our safeguards against spoofing the Claude Code harness after accounts were banned for triggering abuse filters from third-party harnesses using Claude subscriptions.

相比之下，OpenAI 则采取了截然不同的策略，公开表示将全力支持 OpenCode 项目：

另有独家爆料指出，xAI（Grok 的开发方）的员工此前一直通过 Cursor 在内部使用 Anthropic 的模型。但本周，Anthropic 已切断了这个 IDE 平台的访问权限。据 Cursor 称，这是 Anthropic 对所有主要竞争对手强制执行的一项新政策。

借助 Anthropic 开源的 Claude Agent SDK（Python 版），你可以轻松将 Claude Code 的智能代理能力嵌入到自己的应用中。本文将带你从零开始，快速上手并创建一个网页版聊天界面。

项目地址：
https://github.com/anthropics/claude-agent-sdk-python

安装 SDK

首先，通过 pip 安装 claude-agent-sdk：

pip install claude-agent-sdk

运行快速测试

下载官方提供的 quick_start.py 示例脚本，链接如下：

https://github.com/anthropics/claude-agent-sdk-python/blob/main/examples/quick_start.py

配置好 Anthroipc 相关的环境变量（如 ANTHROPIC_API_KEY），然后运行该脚本。运行效果如下：

成功跑通这个脚本，意味着你的 Claude Code 环境和 Agent SDK 均已正确配置，并且验证了在命令行中以非交互模式调用 Claude Code 的能力。

构建 Web 版 Claude Code

接下来，我们将基于 SDK 快速搭建一个 Web 版 Claude Code，以检验其集成能力。

最终实现的网页版效果如图所示，用户可直接在浏览器中与 Claude Code 对话：

这里仅演示了 claude-agent-sdk 的基础对话功能。在实际生产环境中，你还需要妥善管理多轮对话的会话 ID，并对聊天记录进行持久化存储；否则一旦程序重启，所有历史记录将会丢失。

多轮会话与工具调用

除了基本的聊天功能，SDK 还支持调用外部工具，这一能力和 OpenClaw 的设计理念有着异曲同工之妙：

通过以上步骤，你已经掌握了 Claude Agent SDK 的基本用法。现在就可以将它集成到自己的项目中，构建更强大的 AI 代理应用。

 安装 Node.js 运行环境

首先，你需要为 Claude Code 准备 Node.js 运行时。访问 Node.js 官网下载页面，或直接点击下方链接获取适用于 Windows 64 位系统的安装包：

https://nodejs.org/dist/v24.12.0/node-v24.12.0-x64.msi

下载完成后双击运行，按照安装向导完成 Node.js 的部署。安装程序会自动配置环境变量，稍后在命令行中即可直接使用 node 与 npm 命令。

 全局安装 Claude Code

打开命令提示符（CMD），执行以下 npm 命令将 Claude Code 安装到全局环境中：

npm install -g @anthropic-ai/claude-code

安装过程会根据网络状况持续数十秒，完成后你可以通过版本校验来确认安装结果：

claude --version

如果终端正确输出了 Claude Code 的版本号，就说明安装已经成功。

 关闭非必要的网络请求

在启动 Claude Code 之前，建议先禁用工具内置的某些非关键性联网行为，以便降低流量消耗或避免不必要的对外连接。在 CMD 中执行以下命令，将一个环境变量永久写入当前用户配置：

setx CLAUDE_CODE_DISABLE_NONESSENTIAL_TRAFFIC 1

该变量会在下次启动 Claude Code 时生效，关闭所有非必需的远程通信请求。

 编辑配置文件 settings.json

定位并打开 Claude 的配置文件，路径为：

C:\Users\你的用户名\.claude\settings.json

请务必把 你的用户名 切换为你自己的 Windows 用户名。如果 .claude 文件夹或 settings.json 文件不存在，可以先行新建。然后，用文本编辑器将其打开，并填入以下配置内容：

一段被公开的 JavaScript 代码，将编码代理的“不可见副作用”推到了公众视野中——
Anthropic 是否正通过用户自己的提示文本，悄悄回传他们不会主动审查的元数据？

分析观点

“我从未让程序生成这句日期”——元数据正在以一种你无法直接阅读的方式，返回至服务端。

目前能够坐实的线索只有几个节点：社区从已发布的编译产物中，定位出一段名为 Qup()、Zup() 和 edp() 的脚本；这三个函数会读取 ANTHROPIC_BASE_URL，对比时区，再输出当天的日期字符串。换句话说，确实存在一段代码，会根据用户的环境变量生成风格各异的日期写法。

仅凭这个逻辑，就足以一站式篡改系统提示词。

01

静默注入：日期字符串与隐写标记如何进入系统提示词

比日期格式更值得警惕的，是这些内容在用户毫无操作的背景下，早已悄悄嵌入了后续模型的系统提示词。更有深意的是，edp() 这个名称在注释中出现时，被描述为“隐写标记”——它借助不可见标点符号，区分出“neither / known domain / lab keyword / both”四类标签。

这些元数据并未走请求头或网络层通道，而是直接藏在用户可见的文本里。相关函数还会检查 ANTHROPIC_BASE_URL 指向的主机名，将其与已知的中国机构域名或 AI 实验室关键词进行比对；而时区数据则留在用户本地系统上读取。最终结果是：一个正在运行的编码代理，能够在调用模型之前，利用系统提示词之外的另一个途径“打上标签”。

在一个需要执行命令、读写文件的代理工具中，看不见的副作用远比看得见的跟踪更危险——前者改写的是代码与文本；后者仅仅记录日志。

02

只影响“修改过地址”的用户：双重叙事下的风险与信任

有一个被大多数转述忽略的细节：所谓“中国用户”，在这套函数中被首先定义为“使用了非默认 ANTHROPIC_BASE_URL 路由的人”。直接连接官方服务器、从未改动环境变量的用户，并不会触发这套分支，因为他们的请求根本走不到 Zup() 的第一道 Crt() 条件里。

这意味着事件天然存在两种彼此独立的侧写：风险边界侧写与信任裂纹侧写。前者只波及使用了代理、网关或 API 转发的极客与技术人群；后者则指向一个更根本的问题——在一个可以修改你的代码、执行你的命令、访问你目录的代理中，用户是否被充分告知，哪些信息会被悄然送回服务端。

这两层必须分开审视，因为它们各自指向截然不同的应对路径。

Anthropic 事后以“反滥用检测”作为技术动机，解释称代理常被用来跨越区域访问限制。这虽然回应了“为何要标记”，却没能说明“为什么选择通过不可见标点嵌入系统提示词”。

03

AI 代理审计的下一道基线：从工程选择到伦理规范

这次曝光的问题，症结并不全在技术层面，而在工程选择的伦理侧面。代理标记路由、利用代理做合规验证、乃至统计区域分布，原本都是大厂的常规操作。真正变化的是：这些信号不再录入请求头或客户端日志，而是被写进了用户自己的模型上下文。

一旦“不可见字符携带元数据”这条路径被打开，所有以文本为交互界面的工具都将被拖入同一道审计命题。这不单是 Anthropic 一家的道德问题，而是当 AI 代理从“读取文件”进化到“改写提示词”之后，整个行业尚未填补的工程空白。

作为个体，眼下能够采取的动作主要有两个。第一，如果你运行的是修改过 ANTHROPIC_BASE_URL 的客户端，直接导出系统提示词，并使用 diff 工具比对你自己手写的内容与代理实际送出的版本。第二，任何 coding agent 在发布前，都应补上一道“提示词不可变审计”——确保代理在调用 API 之前，从未改写你的上下文。

近期，安全研究人员对Claude Code最新版本进行了逆向工程，意外挖出一份硬编码在客户端内部的域名黑名单。这份名单里躺着数十个常见的第三方API中转站地址。也就是说，如果你正借助这些中转服务调用Claude API，你发出的每一条请求，都可能在毫不知情的情况下被打上了隐秘的监控标签。

你以为只是换了一个接口地址，其实你已经踏进了别人精心画好的监视圈。

01 逆向工程解密：硬编码在客户端里的域名黑名单

在Claude Code 2.1.91版本的客户端代码深处，藏着一层经过XOR混淆处理的逻辑。剥开这层伪装之后，一份完整的域名列表赫然显现——anyrouter.top、packyapi.com、claudeide.net、oneapi.bltcy.top……数不清的熟悉名字，几乎涵盖了我们日常见到的所有Claude API中转站与聚合平台。

更令人警惕的是，这份列表并不是用来直接屏蔽请求的。它的运作方式更为隐蔽：当Claude Code检测到你正在通过列表中的某个域名发起请求时，客户端会对系统级Prompt进行一系列微不可察的修改——比如变动日期的格式、把Unicode中的某个撇号换成另一个几乎一模一样的字符，甚至插入一两段零宽度的不可见字符。

这些修改对肉眼来说毫无差别，但在服务端解析时却能轻易识别。这就像在你寄出的每一封信封的封口处，夹进了一张隐形的条形码，而你浑然不觉。Anthropic把这种手段称为「反蒸馏」防御体系，其初衷是阻挠有人通过大量对话数据来训练自己的模型。但从使用者的视角看，你用什么中转地址、你处在哪个时区、你是否与特定的AI研究机构有过任何形式的交互，都将被完整地纳入对方的审计视野，而你对此无力察觉。

02 时区检测：比黑名单更隐蔽的风险信号

如果说域名黑名单至少还让你有“选择”的余地——你知道自己用了中转站，可以主动决定是否要承受这个风险——那么时区检测则完全是一场不对等的考试，你连考题都不知道就已经被打了分。Claude Code会主动检查操作系统的时区设定。一旦检测到时区为Asia/Shanghai或Asia/Urumqi，客户端就会将这个信息视为一个高度风险信号。

你可能忘记了改系统时区，也可能你的公司服务器恰好部署在中国境内，但这在Anthropic的审计算法中，都足以触发那套隐写标记。更严峻的是，这个检测逻辑还会结合多个维度：你是否与中国某些AI实验室有过IP关联、你是否曾经访问过特定的域名。所有这些数据一旦拼合在一起，就会描绘出一份完整的用户风险画像，而你对这个过程一无所知。正因为如此，时区检测远比域名黑名单更加危险——它不给你任何选项，甚至不给你知道自己正被审查的机会。

03 隐写术：如何在你发送的请求中嵌入隐形条形码

Claude Code的隐写信号嵌入方式，单独拿出来剖析都足以说明其精妙与危险。当客户端检测到中转站域名或者任何高风险环境时，它会针对性地下手，对系统Prompt做出三类极其细微的修改：

第一类是日期格式的有意扰动，把数字之间的分隔符从一种样式替换成另一种，人眼根本分辨不出差异。第二类是Unicode撇号的悄然替换——用一种在屏幕上完全一致的特殊字符顶替普通的单引号，视觉上完全一样，但字节层面已经留下了独特的指纹。第三类则是在不可见的区域里插入零宽空格或其他完全透明的Unicode字符，对用户彻底隐形。

服务端在收到请求后，会对Prompt中的这些暗记进行比对和解析，立刻就能识别出你是否从标记过的代理或高风险环境发起请求。紧接着，后续的审计、服务质量降级甚至封号措施就会自动启动。这早已不是个案性的测试，而是AI行业前沿的攻防手段，数字水印和隐写术正在从一篇篇学术论文，快速下沉到每一位开发者的终端里。

04 中转站用户的应对策略：自查与替代方案

根据实际测试和社区反馈，大部分正在使用中转站的开发者，其实并不清楚自己具体面临的风险层级。以下几件事，值得你立刻核对确认。

第一，检查你当前所用的API中转站域名是否已经被收录在那份黑名单里。逆向出来的名单已经公开流通，花几分钟逐一对照一下。如果你的中转域名赫然在列，那么你过往和接下来的每一次请求，都“铁定”会被标记。这不是概率问题，而是确定性的记录行为。

第二，检查你的操作系统时区。在终端执行timedatectl，或者打开系统偏好设置查看。如果你在中国大陆地区，时区大概率就是Asia/Shanghai。这本身毫无过错，但你必须在知情的情况下明白：Claude Code正在把这个信息当作风险信号来采集。

第三，仔细评估你的使用场景。如果你只是偶尔通过中转站问几个问题，风险尚处于相对可控的范围内。但如果你正在进行模型评测、以极大体量调用API做数据标注，抑或是在准备训练自己的模型，那么封号的概率就会陡然攀升。Anthropic的打击目标是蒸馏行为，你的使用模式越是接近训练数据采集，触发反制的可能性就越大。

第四，考虑使用官方的替代路径。AWS Bedrock和Google Vertex AI已经提供了Claude模型的合规接入。通过云平台进行调用，你的请求不会流经非官方的中转站，自然也就不会触发客户端的那套隐写检测。尽管成本可能会略高一些，但你至少不必在每一次调用时都心惊胆战地猜想自己有没有被悄悄标记。

如果你已经在使用中转站，最稳妥的做法就是尽快切换回官方渠道；如果你还没开始用，也犯不着仅仅为了省那几毛钱而把自己暴露在不确定的审计风险之下。

05 深层动机：Anthropic为何要严防模型蒸馏

要想真正理解这一连串动作背后的逻辑，需要回望一个更大的棋盘：模型蒸馏。简而言之，有人借助Claude的API大量生成高质量的对话数据，再把这些数据灌进另一个模型里进行训练。这让Anthropic如坐针毡——你花费几亿美金辛苦训出的模型，别人可能花几万块的API调用费就能粗糙地“复刻”出一个大致像样的版本。

正因如此，Anthropic在客户端和服务器端同时筑起了防线。客户端负责嗅探可疑来源——中转站域名、特定时区、高频交互模式，而服务器端则承担审计记录与惩罚执行。隐写术便是连接这两端的那条不出声的信道。

从纯粹的商业逻辑来看，这种防御完全可以理解。但从用户的角度审视，这就意味着你花钱购买的已经不只是API的调用次数，而是一个捆绑了不透明监控协议的混合套餐。

如果你还在犹豫是否要更换到官方渠道，请记住一个已经发生的事实：Anthropic正在投入专门的资源来维护和更新这份黑名单，而且持续迭代。这意味着他们的检测能力只会不断强化，不会随着时间的推移而减弱。

下一次当你点开Claude Code，留意右上角的版本号时，不妨提醒自己：那不只是新功能的标志，也是一套更加精密的监控系统在升级的入口。

参考资料：Claude Code GitHub仓库（anthropics/claude-code）、X社区逆向工程分析、Anthropic官方API文档。

如果你重度依赖海外 AI 工具，又恰好生活在中国，大概早已习惯了“赛博二等公民”的处境。你费心寻找干净的节点，申请海外的信用卡，时刻提心吊胆那个辛苦养起来的账号会不会在某次风控里被“连坐”封掉。

但 Anthropic 这次做的事，还是超出了多数人的想象。

2026 年 6 月 30 日，Reddit 的 r/ClaudeCode 板块出现了一条帖子，标题直截了当：Claude Code 在给你贴标签。发帖人 LegitMichel777 指出，自 Claude Code v2.1.91 版本起，只要把它接入代理服务器，并且系统判定你“跟中国有关”，它就会在每一次请求中，悄悄改写你输入的标点符号。[1]

更具体的细节来自开发者 thereallo。他反编译了客户端，拆开代码逆向分析：日期里的短横“-”被换成斜杠“/”；句中最普通的撇号“’”，被替换成肉眼几乎无法分辨的几个 Unicode 变体字符。[2]

这条帖子登上了 Hacker News 首页，收获了 605 分，评论区当场争论不休。

第一反应，的确令人发笑。一家把“安全”刻在招牌上的公司，一家声称全宇宙最在乎人类命运的 AI 实验室，煞费苦心地在文本里埋下隐形指纹，专门用来标记“这个人可能跟中国有关”——结果被一个极其无聊、专门针对标点符号的怪癖当场抓包。

但笑完之后，剩下的却是深深的不适，甚至一种生理性的恶心。因为相比直接写明“禁止中国相关实体使用”，Anthropic 选择了明知而隐瞒。历史上，类似的操作并不罕见，而与之最相似的是纳粹的做法——给犹太人的护照盖上一个“J”字，然后告诉他们：这只是个符号，没什么大不了。

这篇文章不打算继续纠缠隐私问题，在这个语境里讲隐私显得过于轻飘。Anthropic 在做的事远比单纯收集数据深沉——它不是偷你的信息，而是在定义你的身份。这是一套从“你是谁”出发，而不是从“你做了什么”出发的判断系统。

1. 用撇号传递隐藏信息

为了后续的讨论，有必要先复述一遍 LegitMichel777 所揭示的技术细节。如果你已经了解，可以直接跳过后面的几段。

Claude Code 中那套歧视代码的触发条件非常具体，具体到你能从中读出写下这行代码的人那张充满算计的脸：环境变量 ANTHROPIC_BASE_URL 被设置，意味着请求经过了代理；系统时区恰好落在 Asia/Shanghai 或 Asia/Urumqi。

命中之后，Claude Code 会做两件事：将请求中的日期格式从 2026-06-30 强行改成 2026/06/30；将普通的撇号 ' 替换成 Unicode 变体——命中域名黑名单则换成 \u2019，命中“中国实验室关键词”则换成 \u02BC，两条都中则换成 \u02B9。[2]

这几个字符，肉眼几乎看不出任何差别。放进任何一个普通的文本编辑器，你会以为那就是标准的英文右单引号。它们的差别只存在于字节层面，只有会读 Unicode 编码表的人，或是接收这些数据的 Anthropic 服务器，才看得明白。

一条不足百字的官方推文，宣告了长达半个月的下架状态正式终结。对 API 使用者来说，这次恢复调用的真正价值并不在于“最强模型回来了”，而在于你的代码里需要立刻补上的几个关键判断。

此次恢复的是调用权限，并非一份详尽的操作手册。上周，Anthropic 通过 X 平台确认：美国商务部已解除对 Claude Fable 5 和 Claude Mythos 5 的出口管制，Anthropic 将从明日起逐步恢复访问，后续还会发布更完整的更新公告。这条动态被近五百万次浏览，折射出开发者对高性能模型的强烈渴求。但最终决定你能否顺利调用的，并不是账号权限本身，而是集成代码是否已经适配 Fable 5 带来的三个行为变化。

了解 Fable 5：与 Mythos 5 的本质区别

根据 Anthropic 的官方模型说明，Claude Fable 5 是目前公开发布的能力最强的模型，定位是“最苛刻的推理与长程自主代理任务”。Claude Mythos 5 虽然与它共享同一能力规格，却只通过 Project Glasswing 项目以资格邀请的方式提供，且去除了安全分类器。两者在公开参数上完全一致：1M token 上下文窗口、单次请求 128k 输出、默认启用自适应思考（Adaptive thinking）、不启用扩展思考，价格均为每百万 token 输入 10 美元、输出 50 美元。这意味着 Fable 5 并不便宜——比 Opus 4.8 的输入 5 美元、输出 25 美元贵了整整一倍，也远高于目前仍在优惠期内的 Sonnet 5。

如果你对 API 成本极其敏感，Fable 5 并不适合作为默认模型；它的真正价值体现在长上下文、高度自主性和最强的泛化能力上。

恢复调用前，工程团队必须完成的三个准备

第一个变化：stop_reason: "refusal" 必须被当作正常的 HTTP 200 分支来处理，而不是进入错误流程。Fable 5 内置了安全分类器，在合规产品中这将成为一种新常态。