Claude Code 隐写术事件：Anthropic 如何用一个单引号给你打标签

Claude Code 是不是间谍软件？两件事别搞混

直接回答：不算传统意义的间谍软件，但 Anthropic 被指控在开发者工具里做了未披露、刻意隐蔽的用户分类——目的（反蒸馏）与手段（隐写）必须分开评价。发稿前务必区分以下两起独立但相关的事件，混写会被 HN / 安全圈读者一眼看穿。

1. A

   事件 A · Claude Desktop 静默浏览器注入（2026 年 4 月）：据隐私顾问 Alexander Hanff（The Register 撰稿人）爆料，安装 macOS 版 Claude Desktop 后，会在 Chrome、Edge、Brave、Arc、Vivaldi、Opera 等浏览器目录静默写入 com.anthropic.claude_browser_extension.json，预授权 3 个扩展 ID 调用沙箱外的 chrome-native-host；即使浏览器未安装也会预建目录，删除后重启 Claude Desktop 会复活。独立顾问 Noah Kenney（Digital 520）称可复现；安天实验室发布了专门风险分析。Anthropic 未正式公开回应，后续版本加了授权开关但底层权限模型争议仍在。

2. B

   事件 B · Claude Code 系统提示词隐写术（2026 年 6 月 30 日）：一名开发者逆向 Claude Code 二进制，发布于 thereallo.dev，经 Reddit → Hacker News 发酵。当 ANTHROPIC_BASE_URL 指向非 api.anthropic.com 时，改写系统提示词里日期行——并非每次对话都必然触发。HN 讨论帖数小时冲上首页，350+ points、100+ 评论。

3. 03

   被贴的标签不同：事件 A 被称 "spyware" / "backdoor"；事件 B 被称 "prompt steganography" / "covert channel"（提示词隐写 / 隐蔽信道）。

4. 04

   Anthropic 回应：事件 A 无正式公开回应；事件 B 据多家报道 Anthropic 承认代码存在，2026 年 7 月 1 日发布 Claude Code 2.1.197 移除，但 changelog 未提及。

5. 05

   版本核查：据逆向报告，2.1.193 / 2.1.195 / 2.1.196 三个版本均存在相关逻辑；域名与关键词列表用 base64 + XOR(91) 轻度混淆，约 147 条规则。

怎么自查与防护？六步 Runbook

无论你是个人开发者还是企业管理员，以下六步可复现、可审计，覆盖事件 A 与事件 B 的主要暴露面。

1. 01

   检查 ANTHROPIC_BASE_URL：在 shell 配置或 CI 密钥中搜索是否指向非官方端点；只有走代理才会触发事件 B 的隐写逻辑。

2. 02

   升级 Claude Code：确保版本 ≥ 2.1.197（2026-07-01 发布，据报移除相关代码）。

3. 03

   审计系统时区：确认 Asia/Shanghai / Asia/Urumqi 是否为预期设置；事件 B 会用日期分隔符 / vs - 编码时区信号。

4. 04

   扫描 Native Messaging 清单（事件 A）：在 macOS 各浏览器 ~/Library/Application Support/<浏览器>/NativeMessagingHosts/ 下查找 com.anthropic.claude_browser_extension.json。

5. 05

   按需删除并观察重建行为：删除上述 JSON 后重启 Claude Desktop，记录是否自动复活；企业环境应文档化此行为。

6. 06

   企业最小权限隔离：将桌面 Agent 视为高权限程序——显式授权、可审计、与生产密钥隔离；敏感 CI 链路优先使用隔离的专用 Mac 节点而非混用个人笔记本。

# 检查 Claude Code 版本
claude --version

# 列出 macOS 各浏览器 Native Messaging 注入
for b in "Google/Chrome" "Microsoft Edge" "BraveSoftware/Brave-Browser" "Arc/User Data"; do
  f="$HOME/Library/Application Support/$b/NativeMessagingHosts/com.anthropic.claude_browser_extension.json"
  [ -f "$f" ] && echo "FOUND: $f"
done

# 检查是否设置了非官方 Base URL
echo "${ANTHROPIC_BASE_URL:-not set}"

AI 厂商越界：我们该如何应对？

警示不在「一个撇号」，而在于：模型能力狂飙而安全边界、授权、审计严重滞后时，厂商会以「体验 / 防滥用」为名越过信任边界——PC、智能手机早期的安全坑，在桌面 AI Agent 上原样复现。

• HN 热度数据：thereallo.dev 逆向报告经 HN 发酵，讨论帖 350+ points、100+ 评论，数小时冲上首页。
• Claude for Chrome 提示词注入：据 Anthropic 自身数据，无缓解成功率 23.6%，有缓解 11.2%——与事件 A 的高权限 Native Messaging 通道叠加，攻击面值得重视。
• 规则规模：约 147 条 base64 + XOR(91) 混淆的域名/关键词规则，覆盖 deepseek、moonshot、zhipu 等中国 AI 实验室关键词。

可行应对：① 默认不信任、用证据说话——可复现、可审计、可关闭才配信任；② 要求披露而非隐藏——反蒸馏可以光明正大做，给开关，别藏进标点；③ 最小权限 + 边界隔离；④ 用脚投票 + 制度约束（GDPR / 个保法）。

在本地笔记本混跑 Claude Desktop、个人浏览器与生产 API Key，权限边界模糊、删了还会复活——长期稳定性与可审计性都不足。对于需要跑 Claude Code、OpenClaw 或 MCP Agent 的生产级 iOS CI/CD 与 AI 自动化环境，VpsMesh 的 Mac Mini 云端租赁提供隔离的专用 macOS 节点、root 级可控权限与 7×24 常驻能力，通常是比混用个人桌面更优解。

参考来源

The Register（Claude Desktop 权限变更，2026-04）；Malwarebytes / gHacks / YOOTA（Native Messaging 报道）；thereallo.dev（Claude Code 隐写术原始逆向）；Tech Startups / TMC Insight / Developers Digest / TechTimes（2.1.197 修复）；Antiy Labs（安天 Claude Desktop 风险分析）。