大家好，欢迎收听老樊讲故事的 YouTube 频道。
中国要去禁 Claude Code？一个从来不允许在中国使用的工具，怎么能有这么魔幻的事情呢？
先是 Anthropic 指责阿里蒸馏 Claude，接着阿里内部禁用 Claude Code，全员卸载。7 月 8 号，政府直接下场，工信部出来提醒大家说 Claude Code 有安全风险。更魔幻的是后头，中国居然也被爆出开始讨论要限制外国人使用自己的先进模型了。
一个说：“我从来没有卖给你。”另外一个说：“我从今天开始不让你用了。”一个天天喊着要开放，一转头研究怎么封锁了。还有比这更魔幻的吗？
今天事情分五层来讲：Claude Code 做错了没有？很多人说没错，人家原来没卖给你，发现你了，把你逮着了，你怎么能说人错了呢？咱们把这事还是要稍微掰扯一下。
政府提醒说 Claude Code 有安全风险了，这个到底做对没做对？然后到底谁在用，封了以后会怎么样？还有反过来，中国要限制自己的模型出海，这个事到底又是怎么回事？
一、事情的四个时间点
第一个事实到底是什么样的呢？整个事情分四个时间点就够了。
- 去年 9 月份，Anthropic 开始收紧区域限制。中国大陆本来就不给用，现在连中国资本控股 50% 以上的海外公司也不给用了。当时的字节 Trae 和阿里的 Qoder，本来这些里头都是要用 Anthropic 的 Claude 模型的，现在直接都给封掉了。
- 今年 6 月份，有开发者逆向了 Claude Code，扒出了一段隐藏了 3 个多月的代码。从 4 月份的 2.1.91 版本起，它会偷偷地检测你是不是中国用户。
- 7 月 1 号，Anthropic 自己的工程师塔里克在 X 上承认了，说 3 月上线的一个实验。大家注意，他讲的这个东西是个实验，用来防止账号倒卖和模型蒸馏，本来就要删的，下一个版本我把它删掉。他肯定也认为这事有问题。
- 7 月 3 号到 7 月 10 号，阿里发通知，把 Claude 全系列通通都列入了高风险软件。今天，也就是 7 月 10 号，全员卸载，换他们自研的 Qoder。
- 7 月 8 号，工信部漏洞平台发风险提示，定性安全后门隐患，危害严重，提醒排查、卸载或者升级。
这里头最逗的是什么？就是工信部提醒的不是说你一定要把它卸了，你可以升级，升到最新的版本，把这个包去掉，还是可以接着使的。所以“中国政府下场说我们要把所有的 Claude Code 全删掉”这个事，它是不准确的。
二、Claude Code 到底做错了没有？
很多人可能会觉得它没错，但是我要先把结论放这：Claude Code 是做错了的，而且错得很厉害、很离谱，它自己也知道。前面还起了一个很轻佻的名字，说这是我们做了一次实验，而且告诉大家说我们 7 月 1 号以后就把它删掉了。
一个律师打暗号的比喻
咱们先给大家讲一个场景。比如说一个小偷被警察抓了，警察挺客气的，说：“我们程序正义，我给你安排一个律师吧，你跟律师先聊一聊，看看后边我们怎么处理。”跟美国似的，上来说先说有权保持沉默，在律师来之前你什么都不用说。
律师进来了以后，跟小偷聊了半天，小偷就把这事原原本本都交代清楚了，说我怎么进的门，怎么溜的锁，怎么去做的一个事，看看咱怎么辩护，怎么能够减轻处罚。因为他信任律师嘛。
这个律师本来应该是站在他这边，但是律师出了门，走到警察面前，没说话，也没有把什么录音、笔记都交给警察，而是打了一个很隐蔽的手势。警察一看，秒懂：这小偷一定有事。转身进去就直接把小偷法办了。
这就是 Claude Code 这次干的事情。它本来应该像律师一样完全站在用户这一边。你告诉它的一切，它都应该替你守密。结果它跟你干完活，转头用一个极其隐蔽的符号，也就是刚才咱们讲这个律师给警察打了个手势，就把这个底全都给泄出去了。
这个事是有问题的。当然你说这个律师为什么不敢说“我直接把笔记、把录音给警察”，或者直接跟警察说他是个小偷？这个律师还是知道这件事是错的，所以他会打一个很隐蔽的手势。
它具体是怎么做的
它有一个触发前提，就是你改了自定义 API 地址，走公司网关了，走中转站了，它才会启动。
启动以后，查三样东西：你电脑系统的时区是不是在上海或者乌鲁木齐；你的域名是不是在一份加密的名单里头。这个名单还是加密混淆的，别人看不见。他们最后解密了以后，看到里头有 DeepSeek，有月之暗面，有智谱，有阿里。
然后就是打暗号的事。正常的每一次启动的时候，它会问一下你现在什么时间。正常的应该是 2026-07-10，这就是中国这边的一个时间标准，我们就是这么写的。
这个 Claude 就会干一个事情：它把它先写成 2026/07/10。那你说就是写斜线了，就一定是坏人吗？然后它再把这两个斜线替换成 Unicode 码里头两个长得跟它很像的字符，但是那个字符的编码不一样，把这个东西发过去了，实际上就是打这个暗号。
这个在我们这个圈子里头叫做隐蔽提示词隐写，就是偷偷地藏了一句，这个东西进行了一些混淆，进行了一些隐藏。这个信息里头写你的 IP 地址，写你具体是谁，写你具体在哪个国家，这个事它也知道是不对的。所以他们通过了一个隐藏符号的方式，偷偷地告诉服务端说他有问题，他是在中国的。
那么被打了这个符号的账号，咔嚓就被删掉了，或者就被禁掉了，就是这样的一个过程。
现在的判断就是，Claude Code 肯定还是错的，而且它是知错犯错。如果它认为说我可以光明正大地这么干，它就不会绕这么大个弯子，还写个斜线，还用 Unicode 换了一个字符，让你从表面上看不出来，然后把这东西传回去。它一定是知道是有问题的。
高权限工具应该承担什么义务
前面律师这个故事，其实就是非常非常贴切的一个形象比喻。你出了事了，你到底敢不敢跟律师聊这个事？如果你压根就不敢跟律师说，那这事肯定就没法办。如果你跟律师说了，律师又出去直接给你泄底了，那整个的制度就全都崩溃了。
同样的一个道理，还有两个职业其实也有类似的问题。第一个是精神科医生。病人找精神科医生去了，你跟他说：“我想杀这个，我想杀那个。我今天觉得怎么样，明天觉得怎么样。”那精神科医生得给你保密，不能说马上打个电话：“警察，我觉得这有个杀人犯，他今天想杀人了。”这行吗？这不行吧。
牧师其实也是这样的。有人跑到忏悔室里去跟牧师忏悔，说：“哎呀，我干了坏事了。”这个牧师能出门报警吗？他也不能。这是上千年的规矩。你如果出门报警，下次人家就不来上你这儿告解来了。
所以这 3 个职业，律师、精神科医生、牧师，它们共同点是什么呢？就是它们的工作性质是要求对方毫无保留地交出信息，所以接收信息的一方必须要保密，而且这个保密义务一定要牢牢锁住。权限越大，义务越重。否则的话，它们整个这个职业、这个行业就没有存在的根基了。
现在再看看 Claude Code 是一个什么样的位置。它能够读你整个的代码库，能够跑终端命令、改文件，能够碰你的密钥、内部的各种接口、数据库。一个程序员向它敞开的所有的程序，大家给它的是律师、医生一级的这种信任，那它就应该承担同一级的义务：只做你让它做的事情，接触到的东西绝不能挪用，对你做的一切要明明白白告诉你。
比如说，我今天要把哪些事情回传了，它要先告诉你。不告诉你，这事不行的。
它这次干的，恰恰就是那个打暗号的律师干的活。在跟你干活无关的地方，偷偷判断你的属性，用隐藏的方式夹带出去，全程也不告诉你，还专门去防审计。因为它专门要用 Unicode 上的这种编码，去用斜线发出去，就是怕审计能够找到这个代码。
它可以辩解说，我没记录你说的内容，也可以说你的上下文我并没有拿出来使用。但问题在哪呢？当我们去跟牧师、律师、医生进行沟通的时候，这里头有一个巨大的特点是什么？teletype。
Claude Code 其实也是这么回事，它也有大量我们完全不懂的这些专业知识。我原来无条件信任你，你有完整的专业知识的这种情况下，一旦信任破了，这个事是非常非常麻烦的。你想重新建立起这个信任，很难很难。
所以这一次，不光是中国程序员觉得心寒，就是你在美国、在欧洲、在日本、在韩国，你都会觉得这个事有问题：它可以随时用我的真金白银、用我的真实数据去做实验。被我逮着了以后轻描淡写，说我下次把它关了就完了。它没有承担任何责任，也没给我做任何保证。而它在里头到底做了什么、没做什么，除了它的保证之外，我也没法控制它。
这就是 Claude Code 这次干的活。所以结论就是，它确实做错了。
三、政府发风险提醒有没有问题？
那么下面政府发的提醒有没有问题呢？政府专门出来说 Claude Code 有安全风险，在这也要先跟大家讲结论：没毛病。工信部这个动作是正确的。
先纠正一点，它没有说全国封杀，而是一个风险提示。核心是三句话：有风险隐患；建议排查；卸载或者升级。并没有说你必须要卸载，或者你不卸载就怎么怎么样了。它允许你升级，你只要把它这个有问题的版本带过去就完事了。
但是这里头有一个特别有意思的点是什么呢？这个软件按道理说，中国压根就不该有这东西。有人在记者招待会上也问了 Anthropic 的人：工信部提醒了，说你东西有问题，你怎么看？然后 Anthropic 回答说，他提醒就提醒呗，我压根都没惦记卖给中国去。
其实 Anthropic 这个回答是非常不合适的。为什么呢？因为带有这些代码的 Claude Code 并不是只到中国来了，它是到全世界去了，所有的版本都带着这个东西。只说一个“我不往中国卖”这个事，就想把这个责任都逃掉，这个事是不对的。
其实警告说不能用的软件、有巨大风险的软件，有很多在中国都是不能用的。比如 Telegram，Telegram 也经常被警告，说这个叫小飞机，这个很危险。警告了半天，真的有作用吗？其实没作用。该使的人还是在使，只是可能使的人会比原来稍微少那么一点点。但是你真要需要的人，你还是会去用 Telegram。
Claude Code 其实也是一样的情况。但是 Telegram 跟 Claude Code 有一点是相反的：Telegram 并没有说我不让中国人用，而是中国政府说你不能进来，你不能在中国落地，所以进行了警告。而 Claude Code 是说我不想让中国用。
四、中国到底谁在用 Claude Code？封了以后会怎样？
中国大概有几十万 Claude Code 的用户。到底谁在用这个东西呢？或者封了到底怎么样了呢？
中国使用 Claude Code 还是相当相当普遍的。阿里为一个理论上没人用的软件专门发全员通知，定生效日期，还不能说当天就生效，还要给大家几天时间再去让它生效，给替代方案，这肯定是阿里在大范围地使用。
去年 11 月份，腾讯也发出过要求，说要从内部把 Claude Code 干掉。腾讯内部绝对是用的人不少。
至于其他的，比如小米 MiMo 的负责人罗福莉，她是 DeepSeek V2 的核心创始人，雷军千万年薪挖回来的这个人。今年 3 月份在中关村论坛上直接说，我们整个团队都是用 Claude Code。车圈里头罗永浩访谈李想的时候，李想就说，我们公司的人也都是使用 Claude Code。
禁令会改变范围，但拦不住真正的工程师
那封了以后会怎么样呢？我个人的判断是，该用的还会继续用下去。只要真的好用，真的不可替代，禁令只能是改变使用的一个范围。
原来一些不太懂电脑的人，财务、法务、运营，原来用 Claude Code，你还要配一个工程技术人员帮他去把系统跑通，能够让他顺利地用上。这些人以后可能就不用了，他们就可以用国内的一些产品去替代一下就完事了。
原来那些使用 Claude Code 编程序的这些人，该用还是会用，这是跑不掉的。即使公司说我不让你用了，那又怎么样呢？最多就是我在使用 Claude Code，你不报销不就完了吗？我自己花钱用呗。一个月一两百美金，或者再稍微多一些，对于程序员来说还是负担得起的。因为它能够节省的时间、能够提高的效率，绝对不是这一两百美金能够比的。
我前两天看个电视节目，特别好玩。公司招聘销售，应聘者被楼下的保安拦住了。HR 就来问老板怎么办，老板回答：“那保安是我专门安排的，把所有的应聘者全都拦住。说如果连保安这关你都过不去，你做个屁的销售。”
程序员也一样。禁令来了，如果你就为了一个禁令，把最好用、最高效的 Claude Code 这样的工具直接缴械了，连一个能够顺利使用的通道都搞不出来，你还做个屁的程序员？
那么有一些公司能不能严格执行呢？行。你如果严格执行的话，这个公司就会逐渐落后。如果一个程序员在一个公司里说，别人使我不管，我就不使了，那这种人很快就会被开掉，因为他出的活比别人慢，做的东西比别人差。
现在没有说哪个程序员做得特别强，可以在不使用 AI 工具，或者使用比较烂的 AI 工具的情况下，跟 Claude Code 竞争。都竞争不过。中国的老板只要一个东西：他要结果。至于你东西怎么弄出来的，他才不问你。咱们都是叫干大事不拘小节嘛。
所以这个事情大家不用太担心，禁令下来以后中国人就不使了。该使的人还会使，只是把那些用不好的人、把那些自己不太懂的人淘汰掉就完事了。
五、中国也要限制外国人使用中国模型？
再往后，反转来了：中国也要限制外国人用中国模型了。这到底是一个什么情况？
因为咱们一直讲的是我们开源，我们开放权重，大家都来使用我们的大模型吧。那现在我们也来搞这一点了。
就在中国排查 Claude Code 同一周，7 月 7 号，路透社独家报道，过去一个月，商务部、发改委跟阿里、字节、智谱开了闭门会议，讨论要不要限制海外用户访问中国最先进的 AI 模型。闭源、开源权重，甚至没发布的下一代，都在讨论的范围内。
但这个事情只是路透社发的一个独家报道，并没有官方的一些信息出来。目前还只是在讨论，没有一个部委正式发文。但是讨论不会白讨论的，中国这种东西，只要讨论了，最后通常还是可以落地的。
原因一：最强的能力确实应该管
为什么中国要出来限制中国的模型被国外访问呢？中国的模型难道已经这么先进了吗？咱们这讲三点。
第一点，最强的能力确实是应该管了。现在世界上最强的模型，其实也就是中美两家在做。欧洲、日本、韩国、中东，其他国家这些都是在跟在后面跑。有些是使用美国模型，有些是拿中国模型去改来改去的。
而且已经被证明，可以用几个中等模型加一套很好的调度系统，拼起来以后就可以达到，甚至在部分领域里头超过 Fable 5 这种顶级模型的能力。大家注意 Fable 5 的模型能力是什么？网络攻击。
这个东西有点像我们去研究病毒、研究疫苗似的，你就应该有一个上级别的实验室去把它管起来。当它能够危害到社会安全的时候，这些模型能力还是应该管的。美国政府 6 月份专门给它发了出口管制，因为这个档次的模型干网络攻击这种事情还是非常顺手的。
而现在整个社会的 IT 系统对于 Fable 5 来说，或者对于 MESOS 5 这样的模型来说，是没有什么防护能力的。虽然 Fable 5 是在 MESOS 5 的基础上做了一定的裁剪，但是你只要把东西拿出来，分分钟给你扒干净。
在这一点上，就不是在管模型，而是在管服务能力。所以中国在这块也还是要去做的，你不能说完全不负责任，就放出来了。就跟危险品实验室、病毒研究所其实是一个道理，必须有一定的管控和隔离措施。任何有这样能力的国家，都应该去管一下。
因为我们现在自己有这么多的模型，当你去配上比如说日本 Sakana 的 Namazu 系统的时候，它就可以做到这样的事情。现在还有开源的，比如说 Hermes agent，现在有一个叫 MOA。当你把这个东西挂上以后，你就直接把一堆模型拼起来，可以去做 Fable 5 这样的事情了。所以我们应该去管。
原因二：舆论口径并不想向海外敞开
第二个原因是什么呢？我们的舆论口径其实并不想向海外敞开。什么意思呢？我们的 AI 服务其实都是有一定的政治倾向和舆论管控口径的，而且这些舆论管控口径是在快速地进行调整和迭代的。
因为在中国，每一个对公众服务的 AI 平台，它们是像管理社交媒体平台一样在管理的。不停地给你发关键词，不停地给你发敏感词，你要不停地去进行校对，每天都会有新的变化。这是中国特色。
但是这些东西，我们并不希望它被国外人发现。你到底在防备一些什么事情？这个我为什么要告诉你？那你说我能不能把它藏起来？藏不起来。刚刚咱们还讲了，Fable 5 12 万字的系统提示词直接给人扒干净了。你以为我们把这些防御系统放在这个大模型里头就能安全吗？人家只要想扒，肯定分分钟就给你扒出来。
那你说，我们这些开源的模型有政治倾向吗？有。还记得刚才咱们讲这个 Sakana 吗？他们就拿 DeepSeek 去做后训练，做了一个叫“鲶鱼”的模型。这个模型原来是 DeepSeek V3.1 的时候，所有涉及日本历史的政治问题，大概有百分之七十几会拒绝回答。然后它重新训练了以后，把这个拒绝回答的比例降到了零。就是跟日本相关的立场的这些问题，你问它，它都可以回答出来。
就是从模型底层，我们开放权重出去这东西就是有要求的。很多东西它就不答了，或者说它会答一些符合中国价值观的东西。那你到日本去使，他要求符合日本价值观嘛。
法国财政部曾经也试用过千问，试用了几周以后下线了。理由是什么？叫政治偏见。最后换了本国的 Mistral。但是换 Mistral 这过程，我感觉更大的可能性是 Mistral 去举报去了，财政部未必就能够真的发现千问里头的政治偏见。这肯定有，但是人家如果就是拿你算个账，处理一些简单问题的话，他不一定能发现得了。但是做模型的人肯定是能知道，上去举报一把。
但这事反正怎么说呢，挣钱嘛，不丢人。这是第二个原因。
原因三：中国一直不希望出现全球同服
第三个原因是什么？在中国一直不希望出现全球同服这样的事情。从游戏、从社交、从大模型，我们一直都是这样的一个态度：我们不希望有全球同服。中国用户的数据就不能跟外国用户的数据混在一个池子里头，外国用户的行为也不该反过来污染服务中国用户的这个系统。接口要分开，数据要分开。数据安全法上就非常非常明确地有这个要求。
所以最可能落地的，大概率不是说我们把开源模型关回来，以后不开源了。这个事应该不会，我们应该会继续走开源路线。但是中国模型全球影响力不断上升的一个情况下，我们应该会限制它们。比如说模型能力达到什么模型能力以上的，可能还是会有限制。
六、中转站还能不能做？
那下边有人说，中转站怎么玩？很多人都在想做中转站。前两天我还有一个朋友说：“我们要做中转站，你帮我推一下。”我说这事不行，我绝对不碰。为什么呢？因为在抓人了。
中转站其实分两块。一块是帮助中国用户去使用 Claude 和 GPT，今年这一块出了很多的事。另外一块是帮助外国用户去使用中国的便宜 Token，这个其实也是有问题的，已经在开始处理这个事情了。
6 月 8 日，国家安全部专门发了提示，点了中转站的数据风险、模型造假、后门这些问题。五六月间，上海一个名叫瓜皮的站长直接被刑事拘留了 37 天，然后取保候审。就这事没审完，只是拘留结束了，人已经退赃退赔了，就是挣的钱全都给人退回去了。注意，今天没判，罪名也没有公开，咱也不能说人家已经定罪了，但是已经抓人了。
这个生意可能踩很多的坑。掰着手指头跟大家数一数。
- 非法使用境外服务，跟卖梯子一个性质。在中国这个东西叫非法经营罪。什么叫非法经营？就是你没有 IT 运营或者网络运营的资质，但是你去做了这样的一个服务，这个事就违法了。在中国用梯子本身是一个灰色地带，你到底是违法还是合法，这个事其实并没有一个特别明确的条文。但是卖梯子是有很多人被判的，就是非法经营罪。
- 账号池里如果有假账号、有盗用来的 key，那你还涉嫌窃取数据、盗窃财产或者修改计算机信息系统，违反数据安全法。它有很多这样的罪名等着你。
- 拿低配模型冒充高配来卖。有些人就是拿国内的模型稍微加一个壳，然后号称这是 Claude、Fable 5 什么这样的事情，这个就属于欺诈。在中国这些事情会被定罪的，这是真正要判刑的。
现在中国的模型厂商都是怎么干的呢？它会分开。比如说 MiniMax，它有 minimax.io，是给外国人用的；有 minimaxi.com，是给中国人用的。它一定是两个不同的网站。你如果说，我自己也不太懂，我就直接把中国的模型包出来给外国人用了，那这个数据安全法在这等着你，这个事就别碰。
所以在中国，建议大家别惦记拿这玩意挣钱，这个很危险。很小规模的，我在一个范围内使，也许行，但是范围大了以后必然被抓。
七、四条结论
这个故事讲到这了，总结一下四条结论，跟前面那个一一对应。
Claude Code 确实做错了。像它这样权限这么大的、能够碰到你全部代码和数据的 Harness，就应该承担律师、医生、牧师那样级别的保密义务。在跟功能无关的地方隐蔽地刺探，隐蔽地写小纸条回传，混淆防审计，不管动机是反倒卖还是反蒸馏，这个手法本身就突破底线了。
而且它在做的时候是知错犯错。它上来说，我这是做了个实验，既然你们抓住了，我就把它删掉。所以它自己知道有问题，也知道要做混淆，也知道使用 Unicode 里这个斜线。所以这个一定是有错。高权限工具的行为规范，全行业都应该把它立起来。
政府这次做的这个管控本身，并没有什么特别大的问题。它发的是一个提醒，而不是禁令，还留了升级可用的口子，分寸拿捏得也比较准。就像咱们说，我可以不批准你去进口 H200，但是有一些 B200、B300 这样的芯片进来了，你在内部进行招投标、进行使用，我们政府也不会管你。何必跟自己过不去呢？就是这样的一个情况。
程序员该用还是会用。禁令拦得住不懂电脑的，拦不住真正的工程师。因为一纸通知就彻底缴械的，就跟保安拦在楼下的销售一样不合格。我们对于结果负责，就想办法合规去用就完了。
中国的反向限制管的是能力，而不是开源。开源模型加上调度，已经能够拼出 Fable 5 级别的能力了。这档位的各国都在管，中国管也是合理的。方向大概是开源继续开，调度系统看住，中外分服，数据和口径不出境。
结尾：技术与国界
最后回到“魔幻”两个字。一个说“我从来不卖给你”的公司，费了三个月的功夫写这种隐秘的代码来数它的中国用户；一个说“我们不用了”的这个市场，从大厂到监管，火速为它开会、发文、定生效日期。双方用最大的动静互相否认，恰恰证明了这段关系有多深。
技术本来是世界上最不认国界的东西，如今成了国界感最强的一个东西。而夹在中间的每一个写代码的人只关心一件事情：明天我是不是还可以又快又好地把活干完？这就是咱们今天的故事。