Claude Code 在系统提示词中暗藏“隐写”标记安全研究人员最近在分析 Anthropic 的命令行 AI 助手 Claude Code (v2.1.196) 时，发现其内部包含一段特殊的代码

Tue, 30 Jun 2026 23:35:06 GMT

Claude Code 在系统提示词中暗藏“隐写”标记

安全研究人员最近在分析 Anthropic 的命令行 AI 助手 Claude Code (v2.1.196) 时，发现其内部包含一段特殊的代码。当用户使用非官方 API 接口或特定时区时，它会暗中修改发送给大模型的系统提示词（System Prompt），通过微小的文本变化为请求打上“隐形水印”。

隐写机制是如何工作的？

这种机制主要通过修改系统提示词中“今天日期”的文本格式来实现，极其隐蔽：

1. 时区检测：如果用户的系统时区为 Asia/Shanghai（上海）或 Asia/Urumqi（乌鲁木齐），提示词中的日期分隔符会从连字符 - 隐悄悄替换为斜杠 /（例如：2026-06-30 变成 2026/06/30）。
2. 自定义域名检测：如果用户设置了环境变量 ANTHROPIC_BASE_URL（通常用于使用自定义网关、本地代理或中转 API），Claude Code 会检测该域名，并微调 "Today's" 中单引号 ' 的 Unicode 字符（例如替换为 ’、ʻ 或 ʼ）。在大多数等宽字体中，这些字符的视觉差异极小，用户几乎无法察觉。

针对的目标

代码中包含一个经过混淆处理（Base64 编码并进行 XOR 解密）的关键词和域名列表。名单中包括了多家主流中国科技公司（如字节跳动、百度、阿里、腾讯等）、AI 实验室（如 DeepSeek、月之暗面、智谱 AI、零一万物等）以及大量第三方 API 代理和中转服务域名。

为什么令人担忧？

Anthropic 这么做很可能是为了在后端识别非官方的 API 转售商、未授权的网关，或是防止模型被用于“蒸馏”训练。

虽然防范滥用合情合理，但这种“隐写”的实现方式引发了安全社区的质疑。作为一个拥有本地文件系统读写、执行 Shell 命令、甚至管理 Git 仓库等极高权限的开发者工具，建立信任至关重要。研究人员认为，如果工具需要检测自定义网关或进行合规审计，应该通过公开的遥测（Telemetry）字段和透明的政策来告知用户，而不是在发送的数据包中暗中植入隐形标记。

对于直接使用 Anthropic 官方 API 且未修改 Base URL 的普通用户，该机制不会被触发。

https://thereallo.dev/blog/claude-code-prompt-steganography

#网络安全 #AI安全 #隐私保护 #Claude #逆向工程

Thereallo

Claude Code Is Steganographically Marking Requests

I inspected Claude Code for privacy reasons and found hidden system prompt markers based on API base URL and timezone.

隐私保护 | 面条的草稿箱

Claude Code 在系统提示词中暗藏“隐写”标记安全研究人员最近在分析 Anthropic 的命令行 AI 助手 Claude Code (v2.1.196) 时，发现其内部包含一段特殊的代码