去年这个时候，我写过一篇《月耗17亿Token，阵亡13个账号》。那会儿我以为，账号阵亡的原因就是用得太狠、触了平台的用量红线。
那批号没了之后，我又老老实实重新养了三个号，小心翼翼用了三个月。
这两天，全没了。
不是我一个人。这两天 Claude 大面积封号，国内的 Claude 用户，几乎被封完了。 我两个 Max 订阅账号，已经阵亡一个，剩下那个老号在苟延残喘，我估计撑不过这两天。
一开始我还是按老思路理解的——用量异常呗。直到我看到有人把 Claude Code 逆向了一遍。
看完之后我只有一个感受：上次那波封号，可能压根不是因为我用得狠。
先说最反直觉的一点：它不看你的 IP
传统的地域封锁，靠的是 IP 地理位置。你挂个魔法，出口 IP 变成美国的，就绕过去了。这是所有人的常识。
但据网友对 Claude Code 的逆向，它走的是两条跟你网络出口 IP 完全没关系的路。
因为它根本不看 IP，它看你本地的电脑。
第一条路：操作系统时区。
它读的是你 macOS 或 Linux 系统本地设置的时区。这一刀很阴——中国开发者可以挂魔法翻墙，但我们总得正常生活、正常看时间吧，所以电脑时区几乎没人会去改，设的都是北京时间。Claude Code 直接读你本地的时区，看到 Asia/Shanghai 或者 Asia/Urumqi，心里就有数了。
第二条路：ANTHROPIC_BASE_URL 这个环境变量。
国外正常用 Claude Code 的人，用官方 API 是直接发给 api.anthropic.com 的，根本不需要设这个变量。但国内基本用不了官方 Claude，而这个模型过去确实好用，所以大量中国开发者只能通过中转站——把 ANTHROPIC_BASE_URL 改成中转站地址，请求先到中转站，再由中转站转发给 Anthropic。很多大厂也一样，不可能给每个员工单独注册 Claude，就自建公司内部代理统一供给。
Claude Code 在本地拿到你填的这个地址，会把域名取出来，跟一份内置的黑名单做比对。据逆向分析，这份名单里有大量已知中转站、国内大厂的内网代理域名，以及 Anthropic 此前指控过的竞品 AI 公司。公开报道里能对上的中国公司包括百度、阿里巴巴、蚂蚁、字节跳动、京东、B站、小红书、快手等，竞品则有 DeepSeek、月之暗面（Kimi）、MiniMax 这些。至于网上流传的「一共 147 个域名」这种精确数字，是网友逆向的说法，我没找到官方佐证，姑且当参考。
这里有个必须讲清楚的前提：据分析，这套机制是「中转站触发」的——如果你直连官方、没设 ANTHROPIC_BASE_URL，光是时区在中国，据说并不会被打标记。这一点很重要，它决定了这不是无差别监控，而是精准冲着「绕道用 Claude 的中国场景」来的。
真正骚的，是识别出来之后那一手
识别机制说清楚了。但如果只是本地识别一下，其实没啥用——你不把结果传回服务器，识别了也白识别。
难就难在怎么传。
如果直接把「时区=中国」这种信息打个包传回去，那大家也不傻，抓个包看一眼传输记录，立马就发现了，然后针对性清洗掉就完事。
但 Anthropic 没这么干。据逆向，它用的是隐写术（steganography）——把信息藏在一个看起来完全正常的载体里。
载体就是那行你每次都会用到、却从没注意过的系统提示词。
你每次在 Claude Code 里敲一个指令，不管是写代码还是干别的，它在把请求发给后端之前，都会自动在最前面拼一段系统提示词，好让模型知道一些最新的事实。其中很普通的一行，就是告诉模型今天几号：
Today’s date is 2026-06-30.
就这一行字，成了做手脚的地方。
据网友逆向，Claude Code 里藏了一组函数：如果前面两条路判定你是中国用户，就在真正发请求前，对这行日期字符串做两处修改。而且两处修改，人眼几乎都看不出来。
第一处，是「Today’s」里那个单引号。
正常情况下，这个单引号是我们键盘敲出来的标准单引号，Unicode 编码 U+0027。但如果判定你是中国用户，它会把这个单引号，悄悄换成一个长得一模一样、但编码完全不同的 Unicode 同形字符。你在任何编辑器、任何终端里看，它跟正常的那个引号长得分毫不差——但机器一读编码，就知道变了。
第二处，是日期里的分隔符。
正常格式是 2026-06-30，用连字符。但如果检测到你的时区是 Asia/Shanghai 或 Asia/Urumqi，它就把连字符换成斜杠，变成 2026/06/30。
这两个信号叠在一起，据逆向者的说法，构成了一个大约两三个比特的分类标记（这个比特数是网友的解读，未经官方确认）。Anthropic 的服务器收到请求，根本不用做任何额外检测，只要机器识别一下那个单引号是哪个字符、日期分隔符是横杠还是斜杠，就知道这条请求来没来自中国大陆时区。
这行「乱码」你要是自己去扒 Claude Code 的包，据说还得先过一层 XOR 异或（密钥是 91）的混淆——不反混淆出来，你看到的就是一串完全读不懂的东西，根本不知道里面藏了啥。
Anthropic 认了，也说要回滚
写到这我得公道地补一句，免得把话说过头。
这事被扒出来之后（有人直接在 Anthropic 自己的 GitHub 仓库提了 issue，#72518，标题就叫「Claude Code 里埋了间谍软件」），Anthropic 团队成员 Thariq Shihipar 出来公开回应了。
他的说法是：这是三月上线的一个实验，目的是防止未授权的转售商滥用账号、以及防止模型蒸馏，并表示「会在明天的版本里完全回滚」。
所以有几件事是确定的：机制真的存在；它确实冲着转售和中转场景来；官方把它定性为反滥用，而不是监控普通用户；而且据考据，这段代码从 v2.1.91（大约 4 月 2 日）就在了，一直到 v2.1.196 才被扒出来。
我把话摆平：反滥用、防蒸馏、拦转售商，这些诉求本身，我完全能理解。平台有权保护自己的账号体系。
争议从来不在「该不该防」，而在「用什么方式防」。
你想防我，为什么不明说
软件行业有一条被广泛接受的原则：你可以收集用户信息，但你必须告诉用户你在收集什么、为什么收集、怎么收集。GDPR 这么要求，苹果的 App Store 审核指南这么要求，Anthropic 自己的安全白皮书里，也在反复强调「透明」和「可信」。
有开发者说得很直接：Anthropic 完全可以弹一个窗——「抱歉，本服务在你所在地区不可用」，光明正大地拦。
但它没有。它选择了藏进日期里的隐写术、XOR 混淆的黑名单、人眼不可见的同形字符。能做，却选了最不透明的那条路。
这才是让我后背发凉的地方。
Claude Code 不是一个普普通通的 App。它拥有你电脑的文件系统权限，能执行 Shell 命令，能读你的代码、改你的配置、操作你的 Git 仓库。换句话说，它几乎握着你家的最高权限。
而这么一个东西，在你毫无察觉的时候，在你家门上画了一个你几乎看不见的记号——就为了告诉门外的人：这户人家不对劲。
哪怕它的初衷真的只是「拦转售商」，可当一个握着你最高权限的工具，学会了用隐写术在你背后传递关于你的标记，这个能力本身，就已经越过那条线了。
今天这个标记是冲着中国来的。那明天呢？「中国」会不会只是第一个被写进名单的词？这次被扒出来的，是针对中国的标记，那还有没有别的、没被发现的？没有人知道。
我为什么对这件事格外上心
说来有点自嘲。
我自己就在做专门为国内企业提供稳定、合规对公的 AI 接口管理与算力结算服务。由于我们的服务专注于企业通道的接入与管理，这类域名自然也在防代理解析的强管制范围内。
正因为我天天在技术链路上，我比谁都清楚：国内企业和开发者想用上先进的模型，在网络优化、多路备份和对公结算上需要付出多少努力。一边是企业迫切的业务需求，一边是上游在暗处给绕道的人做记号——这种拧巴，落到具体的人身上，就是三个月的号一夜清零。
这件事也更让我确信一个判断：把命脉押在一家随时可能在你背后做手脚、还不告诉你的上游身上，太危险了。
所以我做 tokenhub.zaokit.ai（企业 AI 算力管理平台）的思路，本质就是给企业一个「总闸 + 电表」：所有 AI 用量走一个统一入口，账单、权限、审计集中管，模型上游可以随时切换、多路兜底——号池优先、API 兜底，不把身家性命绑在单一供应商的脸色上。上游今天封你、明天给你打标记，你至少还有切换的余地，而不是全线瘫痪。
我做产品的初衷一直很简单：让普通人和企业能稳定、放心地用上 AI。我一个人做的 Zaokit，是帮你把想法跑成图文和 PPT 的创作工具（唯一网站：https://zaokit.app）；企业侧的 cx.zaokit.com、cc.zaokit.com、tokenhub.zaokit.ai、gift.junxinzhang.com 以及更多项目，则是一套已经融进不少公司真实工作流、稳定靠谱、开箱即用的 AI 全家桶。稳定和放心这两个词，我以前觉得是加分项，这两天才发现，它是底线。
写在最后
我不想把 Anthropic 骂成十恶不赦。它承认了，也说要回滚了，反滥用的诉求我也认。
但有件事，回滚不回来。
我看着那个正在苟延残喘的老号，想的不是又要花钱重新养号——是信任这个东西。
它建起来，可能要三年。塌掉的时候，只需要一秒。
一个能读你代码、改你配置、握着你电脑最高权限的工具，一旦被发现会在你背后、用你看不见的方式，传递关于你的标记——那之后你每敲一行指令，心里都会多一个问题：
这一次，它又在我看不见的地方，写了什么？
我是 Jason，一个自己一个人做 AI 产品的创业者。这篇里的技术细节，多数来自社区对 Claude Code 的逆向分析和公开报道，我做了标注区分「已证实」与「网友说法」；Anthropic 的回应和回滚也一并写了进去，尽量不带节奏。如果你也刚被通杀、正在苟延残喘，欢迎聊聊。
相关阅读：
企业上 AI，最该第一个上手的不是一线员工，是老板——你不亲自用，它就只是给团队又加了个要学的工具