TL;DR：2026 年 7 月 8 日，工业和信息化部网络安全威胁和漏洞信息共享平台（NVDB）发布风险提示，指出美国 Anthropic 旗下 AI 编程工具 Claude Code 在 v2.1.91 至 v2.1.196 版本存在安全后门隐患，危害严重——内置监控机制可未经用户同意回传地域、身份标识等敏感信息。本文面向正在使用 Claude Code 的开发者与企业 IT 团队，完整还原事件时间线、隐写术技术机制、NVDB / Anthropic / 阿里巴巴三方表态、中美 AI 蒸馏战背景，并给出版本自查、升级、卸载与企业合规处置六步清单。若你配置了 ANTHROPIC_BASE_URL 走代理端点，请立即运行 claude --version 排查。
这条新闻表面是「监管通报」，背后是一条完整的故事链：Anthropic 主动埋点识别中国相关用户 → 开发者逆向曝光 → 厂商道歉回滚 → 阿里禁用 → 工信部定性为后门。理解这条链条，是判断「Claude Code 还能不能用」的前提。
| 时间 | 事件 |
|---|---|
| 2026 年 2 月 | Anthropic 公开表示正投资反模型蒸馏技术（分类器、行为指纹、情报共享等） |
| 2026 年 3 月 | Claude Code 内部悄然上线隐蔽检测机制，无公开披露 |
| 2026-04-02 | Claude Code v2.1.91 发布，隐蔽检测代码随版本开始分发 |
| 2026-04 至 06 | 近 20 个版本迭代，检测逻辑持续存在，从未写入 changelog |
| 2026-06-29 | v2.1.196 发布（受影响区间最后一个版本） |
| 2026-06-30 | Reddit 用户 LegitMichel777 发帖首次曝光隐写术检测；Thereallo 发布技术分析；Adnane Khan 在 GitHub 发布逆向报告，验证 v2.1.193/195/196 均存在该逻辑 |
| 2026-07-01 | 工程师 Thariq Shihipar 在 X 承认系 3 月上线的「实验性」反滥用/反蒸馏机制，承诺次日回滚 |
| 2026-07-02 | v2.1.197（部分口径 v2.1.198）发布，移除隐写检测代码，changelog 未明确提及 |
| 2026-07-03/04 | 路透社、TechCrunch 报道：阿里巴巴 7 月 10 日起全员禁用 Claude Code 及 Anthropic 相关模型，转用内部工具 Qoder |
| 2026-07-08 | 工信部 NVDB 正式发布风险提示，定性为「安全后门隐患，危害严重」 |
| 2026-07-10 | 阿里巴巴内部禁令正式生效 |
痛点拆解：Claude Code 拥有文件系统读写、Shell 命令执行等高权限。开发者对「看不见的行为」容忍度理应更低——而本次机制持续近 3 个月未披露，直接后果是账号封禁风险与合规隐患，而非已证实的「数据泄露丑闻」。行文应避免过度渲染，聚焦未披露监控行为本身。
这是最容易被误解、也最需要讲清楚的一点：隐蔽机制并非对所有用户生效。许多中文自媒体标题写成「Claude Code 监控所有用户」——这不准确，会损害技术可信度。
| 用户类型 | 是否触发检测 | 风险等级 |
|---|---|---|
| 官方 API 用户 未设置 ANTHROPIC_BASE_URL，直连 api.anthropic.com | 否 | 低（但仍建议升级至 v2.1.197+） |
| 企业网关 / 第三方代理用户 设置了 ANTHROPIC_BASE_URL 指向非官方端点 | 是 | 高（v2.1.91–2.1.196 期间会被指纹识别） |
| 中国时区 + 代理域名命中黑名单 | 是 | 最高（隐写编码随每次请求回传） |
| 企业员工（阿里等） | — | 已列入高风险软件，7/10 起全面禁用 |
触发后，代码会做两类环境侦察：
系统时区检测：是否为 Asia/Shanghai 或 Asia/Urumqi
代理域名黑名单匹配：将 ANTHROPIC_BASE_URL 的 hostname 与内置 147 条规则比对，涵盖阿里、百度、字节、DeepSeek、Moonshot、智谱、MiniMax 等中国科技公司与 AI 实验室相关域名，以及已知 API 中转/转售网关
黑名单混淆方式：列表使用 XOR 加密（密钥 91）+ Base64 编码双重混淆，使 strings 命令无法直接提取，必须完整逆向二进制才能还原——这也是事件被称为「隐写术」而非普通遥测的关键证据之一。
安全研究员 Adnane Khan 将其定义为 「a covert information channel embedded in system prompts」（嵌入系统提示词中的隐蔽信道）。它没有走独立数据上报通道，而是篡改了发给模型的 system prompt 本身：
命中中国时区时，system prompt 中的日期格式由 2026-06-30（连字符）变为 2026/06/30（斜杠），编码 1 bit 环境信息。
Today's date is 中的标准撇号 ' 被替换为 3 种视觉上几乎无法分辨、但 Unicode 编码不同的撇号字符，分别编码「时区命中 / 域名命中 / AI 实验室关键词命中」三个布尔标志位。
约 3 bit 环境信息藏在一句看起来完全正常的英文句子里，随每次 API 请求发送给 Anthropic 服务器解析。
| 维度 | 本次隐写术机制 | 常规遥测（Datadog/OpenTelemetry 等） |
|---|---|---|
| 披露方式 | 近 3 个月零 changelog 披露 | 通常在隐私政策中有笼统说明 |
| 传输通道 | 嵌入 system prompt 隐写编码 | 独立 telemetry 通道，可被审计发现 |
| 目标对象 | 特定地域 + 商业竞争对手指纹识别 | 通用使用统计与错误日志 |
| 工具权限 | 同时拥有文件读写 + Shell 执行高权限 | 同类 CLI/IDE Agent 亦有，但用户可预期 |
| 类型 | 版本号 | 日期 |
|---|---|---|
| 首个含隐蔽机制版本 | v2.1.91 | 2026-04-02 |
| 最后受影响版本 | v2.1.196 | 2026-06-29 |
| 修复版本 | v2.1.197（部分口径 2.1.198） | 2026-07-01/02 |
# 检查当前版本 claude --version # 检查是否配置了触发条件相关的代理端点 echo $ANTHROPIC_BASE_URL # npm 方式升级到最新版 npm install -g @anthropic-ai/claude-code@latest # 或使用内置命令 claude update
定性：安全后门隐患，危害严重。描述：内置监控机制，未经用户同意向远程服务器回传用户地域、身份标识等敏感信息。处置建议：全面排查开发终端 → 卸载或升级 → 加强核心业务网段外联权限管控与流量监测。
「This is an experiment we launched in March that was meant to prevent account abuse from unauthorized resellers and protect against distillation. The team has landed stronger mitigations since then and we've actually been meaning to take this down for a while... this should be fully rolled back in tomorrow's release.」
翻译要点：定性为「实验（experiment）」而非「后门（backdoor）」，强调反账户转售滥用、反模型蒸馏目的。补充背景：Anthropic 曾致信美国参议院银行委员会，指控阿里巴巴 Qwen 团队使用约 2.5 万欺诈账号、产生 2880 万次交互，试图窃取 Claude 模型能力。
内部通知措辞（据 SCMP、Ars Technica 引述）：「As Claude Code was recently discovered to carry back-door risks... added to a list of high-risk software with security vulnerabilities.」生效时间 2026 年 7 月 10 日，范围涵盖 Claude Code 及 Anthropic 相关模型产品（Sonnet、Opus、Fable 等系列），替代方案为内部编程平台 Qoder。
| 来源 | 关键定性用词 | 叙事侧重 |
|---|---|---|
| NVDB / 工信部 | backdoor / security backdoor risk / severe threat | 合规与数据外传风险 |
| CNBC / Reuters | security backdoor / built-in monitoring mechanism | 中立转述监管定性 + 企业连锁反应 |
| The Register | covert code / secret steganography system | 技术问责 + 未披露更新 |
| Ars Technica | spyware-like tracking / secret Claude tracker | 信任危机 + 政策分析 |
| Cybernews | 「a nothing burger」（部分技术圈观点） | 认为反应过度，实质是反蒸馏工程手段 |
| Anthropic 官方 | experiment / anti-abuse / anti-distillation | 强调正当防御目的，非恶意监控 |
这不是孤立事件，而是 2026 年中美 AI 竞争的一个缩影：
理解这条背景线，有助于判断 Anthropic 为何对「蒸馏」如此紧张，以及为何本次埋点事件在技术圈引发「正当防御 vs 越界监控」的激烈争论。
版本自查：运行 claude --version，确认是否在 v2.1.91–2.1.196 区间
端点检查：运行 echo $ANTHROPIC_BASE_URL，确认是否走非官方代理/网关
立即升级：执行 npm install -g @anthropic-ai/claude-code@latest 或 claude update，升级至 v2.1.197+
彻底卸载（可选）：清理 macOS/Linux 残留路径 ~/.claude、~/.claude.json、~/.cache/claude-code、~/.config/claude-code
企业出站审计：对开发终端做出站流量审计，排查是否存在对非授权 AI 服务端点的持续外联；加强核心业务网段 egress filtering
替代方案评估：客观对比 Qoder、通义灵码、Cursor 等国产/自托管方案，结合团队合规政策选型
转向国产替代工具（如通义灵码、Qoder）或继续在本地 Mac 上运行 Claude Code，往往面临模型能力差距、企业合规审批周期长、以及本地算力在多 Agent 并行场景下的瓶颈。对于需要稳定 iOS CI/CD 流水线、AI Agent 自动化编排、且希望将高风险 CLI 工具隔离在受控环境中的生产团队，NodeMini 的 Mac Mini 云端租赁——提供独占硬件、SSH 接入与出站流量可审计的远程节点——通常是更稳妥的落地路径。
免责声明：本文基于工业和信息化部 NVDB 公告及公开媒体报道整理分析，仅供技术与合规参考，不构成法律意见或安全审计结论。请在采取卸载、封禁或流量管控措施前，结合本机构安全政策自行评估。
在 v2.1.91–2.1.196 中，Anthropic 内置了未披露的隐写术检测代码。工信部 NVDB 定性为安全后门隐患；Anthropic 称为反蒸馏实验，已在 v2.1.197 移除。技术圈更精确的说法是「隐写术检测机制」或 covert channel。
不会。该机制仅在 ANTHROPIC_BASE_URL 指向非官方代理或网关时激活。直连 api.anthropic.com 的普通用户不会触发这条检测路径。
执行 npm uninstall -g @anthropic-ai/claude-code，并清理 ~/.claude、~/.claude.json 等残留目录。企业场景卸载后还应做出站流量审计。如需隔离 Agent 开发环境，可参考 NodeMini 租赁方案。
阿里在后门风险曝光后将其列入高风险软件清单，2026 年 7 月 10 日起全员禁用 Claude Code 及 Anthropic 相关模型，转向内部工具 Qoder。这与 Anthropic 此前指控 Qwen 团队大规模蒸馏 Claude 的背景密切相关。
没有。受影响版本区间的任何 changelog 均未提及该机制。v2.1.197 移除时同样未明确说明此项变更——这是 The Register 等外媒问责的焦点。
Anthropic 已在 v2.1.197+ 移除隐写代码。但持续信任取决于组织风险容忍度与合规政策。部分技术圈（如 Cybernews）认为实质是反蒸馏工程手段、反应过度；企业用户应结合自身审计结论决策。
蒸馏指用另一模型的输出训练自家模型。Anthropic 称本次机制针对未授权转售商与蒸馏管道。这是理解 Anthropic 埋点动机与中美 AI 竞争背景的关键。更多 Agent 工具合规实践见 帮助中心。
多数一手报道称 v2.1.197（7 月 1 日），部分中文技术媒体称 v2.1.198。建议统一采用「2.1.197 及以上版本」表述，升级前可用 claude --version 确认。
国内可选 Qoder（阿里内部）、通义灵码、Cursor 等；海外可选 Codex CLI、Gemini CLI 等。选型需权衡模型能力、合规审批与算力需求。详见本站 四大 AI 编程助手横评。
公开报道未证实有具体用户因此遭受直接经济损失或数据滥用。该机制的直接后果是账号封禁风险与合规隐患，而非已证实的「数据泄露事故」。行文应聚焦未披露监控行为与合规风险本身。