大家好，欢迎收听老樊讲故事的 YouTube 频道。

中国要去禁 Claude Code？一个从来不允许在中国使用的工具，怎么能有这么魔幻的事情呢？

先是 Anthropic 指责阿里蒸馏 Claude，接着阿里内部禁用 Claude Code，全员卸载。7 月 8 号，政府直接下场，工信部出来提醒大家说 Claude Code 有安全风险。更魔幻的是后头，中国居然也被爆出开始讨论要限制外国人使用自己的先进模型了。

一个说：“我从来没有卖给你。”另外一个说：“我从今天开始不让你用了。”一个天天喊着要开放，一转头研究怎么封锁了。还有比这更魔幻的吗？

今天事情分五层来讲：Claude Code 做错了没有？很多人说没错，人家原来没卖给你，发现你了，把你逮着了，你怎么能说人错了呢？咱们把这事还是要稍微掰扯一下。

政府提醒说 Claude Code 有安全风险了，这个到底做对没做对？然后到底谁在用，封了以后会怎么样？还有反过来，中国要限制自己的模型出海，这个事到底又是怎么回事？

一、事情的四个时间点

第一个事实到底是什么样的呢？整个事情分四个时间点就够了。

• 去年 9 月份，Anthropic 开始收紧区域限制。中国大陆本来就不给用，现在连中国资本控股 50% 以上的海外公司也不给用了。当时的字节 Trae 和阿里的 Qoder，本来这些里头都是要用 Anthropic 的 Claude 模型的，现在直接都给封掉了。
• 今年 6 月份，有开发者逆向了 Claude Code，扒出了一段隐藏了 3 个多月的代码。从 4 月份的 2.1.91 版本起，它会偷偷地检测你是不是中国用户。
• 7 月 1 号，Anthropic 自己的工程师塔里克在 X 上承认了，说 3 月上线的一个实验。大家注意，他讲的这个东西是个实验，用来防止账号倒卖和模型蒸馏，本来就要删的，下一个版本我把它删掉。他肯定也认为这事有问题。
• 7 月 3 号到 7 月 10 号，阿里发通知，把 Claude 全系列通通都列入了高风险软件。今天，也就是 7 月 10 号，全员卸载，换他们自研的 Qoder。
• 7 月 8 号，工信部漏洞平台发风险提示，定性安全后门隐患，危害严重，提醒排查、卸载或者升级。

这里头最逗的是什么？就是工信部提醒的不是说你一定要把它卸了，你可以升级，升到最新的版本，把这个包去掉，还是可以接着使的。所以“中国政府下场说我们要把所有的 Claude Code 全删掉”这个事，它是不准确的。

二、Claude Code 到底做错了没有？

很多人可能会觉得它没错，但是我要先把结论放这：Claude Code 是做错了的，而且错得很厉害、很离谱，它自己也知道。前面还起了一个很轻佻的名字，说这是我们做了一次实验，而且告诉大家说我们 7 月 1 号以后就把它删掉了。

一个律师打暗号的比喻

咱们先给大家讲一个场景。比如说一个小偷被警察抓了，警察挺客气的，说：“我们程序正义，我给你安排一个律师吧，你跟律师先聊一聊，看看后边我们怎么处理。”跟美国似的，上来说先说有权保持沉默，在律师来之前你什么都不用说。

律师进来了以后，跟小偷聊了半天，小偷就把这事原原本本都交代清楚了，说我怎么进的门，怎么溜的锁，怎么去做的一个事，看看咱怎么辩护，怎么能够减轻处罚。因为他信任律师嘛。

这个律师本来应该是站在他这边，但是律师出了门，走到警察面前，没说话，也没有把什么录音、笔记都交给警察，而是打了一个很隐蔽的手势。警察一看，秒懂：这小偷一定有事。转身进去就直接把小偷法办了。

这就是 Claude Code 这次干的事情。它本来应该像律师一样完全站在用户这一边。你告诉它的一切，它都应该替你守密。结果它跟你干完活，转头用一个极其隐蔽的符号，也就是刚才咱们讲这个律师给警察打了个手势，就把这个底全都给泄出去了。

这个事是有问题的。当然你说这个律师为什么不敢说“我直接把笔记、把录音给警察”，或者直接跟警察说他是个小偷？这个律师还是知道这件事是错的，所以他会打一个很隐蔽的手势。

它具体是怎么做的

它有一个触发前提，就是你改了自定义 API 地址，走公司网关了，走中转站了，它才会启动。

启动以后，查三样东西：你电脑系统的时区是不是在上海或者乌鲁木齐；你的域名是不是在一份加密的名单里头。这个名单还是加密混淆的，别人看不见。他们最后解密了以后，看到里头有 DeepSeek，有月之暗面，有智谱，有阿里。

然后就是打暗号的事。正常的每一次启动的时候，它会问一下你现在什么时间。正常的应该是 2026-07-10，这就是中国这边的一个时间标准，我们就是这么写的。

这个 Claude 就会干一个事情：它把它先写成 2026/07/10。那你说就是写斜线了，就一定是坏人吗？然后它再把这两个斜线替换成 Unicode 码里头两个长得跟它很像的字符，但是那个字符的编码不一样，把这个东西发过去了，实际上就是打这个暗号。

这个在我们这个圈子里头叫做隐蔽提示词隐写，就是偷偷地藏了一句，这个东西进行了一些混淆，进行了一些隐藏。这个信息里头写你的 IP 地址，写你具体是谁，写你具体在哪个国家，这个事它也知道是不对的。所以他们通过了一个隐藏符号的方式，偷偷地告诉服务端说他有问题，他是在中国的。

那么被打了这个符号的账号，咔嚓就被删掉了，或者就被禁掉了，就是这样的一个过程。

现在的判断就是，Claude Code 肯定还是错的，而且它是知错犯错。如果它认为说我可以光明正大地这么干，它就不会绕这么大个弯子，还写个斜线，还用 Unicode 换了一个字符，让你从表面上看不出来，然后把这东西传回去。它一定是知道是有问题的。

高权限工具应该承担什么义务

前面律师这个故事，其实就是非常非常贴切的一个形象比喻。你出了事了，你到底敢不敢跟律师聊这个事？如果你压根就不敢跟律师说，那这事肯定就没法办。如果你跟律师说了，律师又出去直接给你泄底了，那整个的制度就全都崩溃了。

同样的一个道理，还有两个职业其实也有类似的问题。第一个是精神科医生。病人找精神科医生去了，你跟他说：“我想杀这个，我想杀那个。我今天觉得怎么样，明天觉得怎么样。”那精神科医生得给你保密，不能说马上打个电话：“警察，我觉得这有个杀人犯，他今天想杀人了。”这行吗？这不行吧。

牧师其实也是这样的。有人跑到忏悔室里去跟牧师忏悔，说：“哎呀，我干了坏事了。”这个牧师能出门报警吗？他也不能。这是上千年的规矩。你如果出门报警，下次人家就不来上你这儿告解来了。

所以这 3 个职业，律师、精神科医生、牧师，它们共同点是什么呢？就是它们的工作性质是要求对方毫无保留地交出信息，所以接收信息的一方必须要保密，而且这个保密义务一定要牢牢锁住。权限越大，义务越重。否则的话，它们整个这个职业、这个行业就没有存在的根基了。

现在再看看 Claude Code 是一个什么样的位置。它能够读你整个的代码库，能够跑终端命令、改文件，能够碰你的密钥、内部的各种接口、数据库。一个程序员向它敞开的所有的程序，大家给它的是律师、医生一级的这种信任，那它就应该承担同一级的义务：只做你让它做的事情，接触到的东西绝不能挪用，对你做的一切要明明白白告诉你。

比如说，我今天要把哪些事情回传了，它要先告诉你。不告诉你，这事不行的。

它这次干的，恰恰就是那个打暗号的律师干的活。在跟你干活无关的地方，偷偷判断你的属性，用隐藏的方式夹带出去，全程也不告诉你，还专门去防审计。因为它专门要用 Unicode 上的这种编码，去用斜线发出去，就是怕审计能够找到这个代码。

它可以辩解说，我没记录你说的内容，也可以说你的上下文我并没有拿出来使用。但问题在哪呢？当我们去跟牧师、律师、医生进行沟通的时候，这里头有一个巨大的特点是什么？teletype。

Claude Code 其实也是这么回事，它也有大量我们完全不懂的这些专业知识。我原来无条件信任你，你有完整的专业知识的这种情况下，一旦信任破了，这个事是非常非常麻烦的。你想重新建立起这个信任，很难很难。

所以这一次，不光是中国程序员觉得心寒，就是你在美国、在欧洲、在日本、在韩国，你都会觉得这个事有问题：它可以随时用我的真金白银、用我的真实数据去做实验。被我逮着了以后轻描淡写，说我下次把它关了就完了。它没有承担任何责任，也没给我做任何保证。而它在里头到底做了什么、没做什么，除了它的保证之外，我也没法控制它。

这就是 Claude Code 这次干的活。所以结论就是，它确实做错了。

三、政府发风险提醒有没有问题？

那么下面政府发的提醒有没有问题呢？政府专门出来说 Claude Code 有安全风险，在这也要先跟大家讲结论：没毛病。工信部这个动作是正确的。

先纠正一点，它没有说全国封杀，而是一个风险提示。核心是三句话：有风险隐患；建议排查；卸载或者升级。并没有说你必须要卸载，或者你不卸载就怎么怎么样了。它允许你升级，你只要把它这个有问题的版本带过去就完事了。

但是这里头有一个特别有意思的点是什么呢？这个软件按道理说，中国压根就不该有这东西。有人在记者招待会上也问了 Anthropic 的人：工信部提醒了，说你东西有问题，你怎么看？然后 Anthropic 回答说，他提醒就提醒呗，我压根都没惦记卖给中国去。

其实 Anthropic 这个回答是非常不合适的。为什么呢？因为带有这些代码的 Claude Code 并不是只到中国来了，它是到全世界去了，所有的版本都带着这个东西。只说一个“我不往中国卖”这个事，就想把这个责任都逃掉，这个事是不对的。

其实警告说不能用的软件、有巨大风险的软件，有很多在中国都是不能用的。比如 Telegram，Telegram 也经常被警告，说这个叫小飞机，这个很危险。警告了半天，真的有作用吗？其实没作用。该使的人还是在使，只是可能使的人会比原来稍微少那么一点点。但是你真要需要的人，你还是会去用 Telegram。

Claude Code 其实也是一样的情况。但是 Telegram 跟 Claude Code 有一点是相反的：Telegram 并没有说我不让中国人用，而是中国政府说你不能进来，你不能在中国落地，所以进行了警告。而 Claude Code 是说我不想让中国用。

四、中国到底谁在用 Claude Code？封了以后会怎样？

中国大概有几十万 Claude Code 的用户。到底谁在用这个东西呢？或者封了到底怎么样了呢？

中国使用 Claude Code 还是相当相当普遍的。阿里为一个理论上没人用的软件专门发全员通知，定生效日期，还不能说当天就生效，还要给大家几天时间再去让它生效，给替代方案，这肯定是阿里在大范围地使用。

去年 11 月份，腾讯也发出过要求，说要从内部把 Claude Code 干掉。腾讯内部绝对是用的人不少。

至于其他的，比如小米 MiMo 的负责人罗福莉，她是 DeepSeek V2 的核心创始人，雷军千万年薪挖回来的这个人。今年 3 月份在中关村论坛上直接说，我们整个团队都是用 Claude Code。车圈里头罗永浩访谈李想的时候，李想就说，我们公司的人也都是使用 Claude Code。

禁令会改变范围，但拦不住真正的工程师

那封了以后会怎么样呢？我个人的判断是，该用的还会继续用下去。只要真的好用，真的不可替代，禁令只能是改变使用的一个范围。

原来一些不太懂电脑的人，财务、法务、运营，原来用 Claude Code，你还要配一个工程技术人员帮他去把系统跑通，能够让他顺利地用上。这些人以后可能就不用了，他们就可以用国内的一些产品去替代一下就完事了。

原来那些使用 Claude Code 编程序的这些人，该用还是会用，这是跑不掉的。即使公司说我不让你用了，那又怎么样呢？最多就是我在使用 Claude Code，你不报销不就完了吗？我自己花钱用呗。一个月一两百美金，或者再稍微多一些，对于程序员来说还是负担得起的。因为它能够节省的时间、能够提高的效率，绝对不是这一两百美金能够比的。

我前两天看个电视节目，特别好玩。公司招聘销售，应聘者被楼下的保安拦住了。HR 就来问老板怎么办，老板回答：“那保安是我专门安排的，把所有的应聘者全都拦住。说如果连保安这关你都过不去，你做个屁的销售。”

程序员也一样。禁令来了，如果你就为了一个禁令，把最好用、最高效的 Claude Code 这样的工具直接缴械了，连一个能够顺利使用的通道都搞不出来，你还做个屁的程序员？

那么有一些公司能不能严格执行呢？行。你如果严格执行的话，这个公司就会逐渐落后。如果一个程序员在一个公司里说，别人使我不管，我就不使了，那这种人很快就会被开掉，因为他出的活比别人慢，做的东西比别人差。

现在没有说哪个程序员做得特别强，可以在不使用 AI 工具，或者使用比较烂的 AI 工具的情况下，跟 Claude Code 竞争。都竞争不过。中国的老板只要一个东西：他要结果。至于你东西怎么弄出来的，他才不问你。咱们都是叫干大事不拘小节嘛。

所以这个事情大家不用太担心，禁令下来以后中国人就不使了。该使的人还会使，只是把那些用不好的人、把那些自己不太懂的人淘汰掉就完事了。

五、中国也要限制外国人使用中国模型？

再往后，反转来了：中国也要限制外国人用中国模型了。这到底是一个什么情况？

因为咱们一直讲的是我们开源，我们开放权重，大家都来使用我们的大模型吧。那现在我们也来搞这一点了。

就在中国排查 Claude Code 同一周，7 月 7 号，路透社独家报道，过去一个月，商务部、发改委跟阿里、字节、智谱开了闭门会议，讨论要不要限制海外用户访问中国最先进的 AI 模型。闭源、开源权重，甚至没发布的下一代，都在讨论的范围内。

但这个事情只是路透社发的一个独家报道，并没有官方的一些信息出来。目前还只是在讨论，没有一个部委正式发文。但是讨论不会白讨论的，中国这种东西，只要讨论了，最后通常还是可以落地的。

原因一：最强的能力确实应该管

为什么中国要出来限制中国的模型被国外访问呢？中国的模型难道已经这么先进了吗？咱们这讲三点。

第一点，最强的能力确实是应该管了。现在世界上最强的模型，其实也就是中美两家在做。欧洲、日本、韩国、中东，其他国家这些都是在跟在后面跑。有些是使用美国模型，有些是拿中国模型去改来改去的。

而且已经被证明，可以用几个中等模型加一套很好的调度系统，拼起来以后就可以达到，甚至在部分领域里头超过 Fable 5 这种顶级模型的能力。大家注意 Fable 5 的模型能力是什么？网络攻击。

这个东西有点像我们去研究病毒、研究疫苗似的，你就应该有一个上级别的实验室去把它管起来。当它能够危害到社会安全的时候，这些模型能力还是应该管的。美国政府 6 月份专门给它发了出口管制，因为这个档次的模型干网络攻击这种事情还是非常顺手的。

而现在整个社会的 IT 系统对于 Fable 5 来说，或者对于 MESOS 5 这样的模型来说，是没有什么防护能力的。虽然 Fable 5 是在 MESOS 5 的基础上做了一定的裁剪，但是你只要把东西拿出来，分分钟给你扒干净。

在这一点上，就不是在管模型，而是在管服务能力。所以中国在这块也还是要去做的，你不能说完全不负责任，就放出来了。就跟危险品实验室、病毒研究所其实是一个道理，必须有一定的管控和隔离措施。任何有这样能力的国家，都应该去管一下。

因为我们现在自己有这么多的模型，当你去配上比如说日本 Sakana 的 Namazu 系统的时候，它就可以做到这样的事情。现在还有开源的，比如说 Hermes agent，现在有一个叫 MOA。当你把这个东西挂上以后，你就直接把一堆模型拼起来，可以去做 Fable 5 这样的事情了。所以我们应该去管。

原因二：舆论口径并不想向海外敞开

第二个原因是什么呢？我们的舆论口径其实并不想向海外敞开。什么意思呢？我们的 AI 服务其实都是有一定的政治倾向和舆论管控口径的，而且这些舆论管控口径是在快速地进行调整和迭代的。

因为在中国，每一个对公众服务的 AI 平台，它们是像管理社交媒体平台一样在管理的。不停地给你发关键词，不停地给你发敏感词，你要不停地去进行校对，每天都会有新的变化。这是中国特色。

但是这些东西，我们并不希望它被国外人发现。你到底在防备一些什么事情？这个我为什么要告诉你？那你说我能不能把它藏起来？藏不起来。刚刚咱们还讲了，Fable 5 12 万字的系统提示词直接给人扒干净了。你以为我们把这些防御系统放在这个大模型里头就能安全吗？人家只要想扒，肯定分分钟就给你扒出来。

那你说，我们这些开源的模型有政治倾向吗？有。还记得刚才咱们讲这个 Sakana 吗？他们就拿 DeepSeek 去做后训练，做了一个叫“鲶鱼”的模型。这个模型原来是 DeepSeek V3.1 的时候，所有涉及日本历史的政治问题，大概有百分之七十几会拒绝回答。然后它重新训练了以后，把这个拒绝回答的比例降到了零。就是跟日本相关的立场的这些问题，你问它，它都可以回答出来。

就是从模型底层，我们开放权重出去这东西就是有要求的。很多东西它就不答了，或者说它会答一些符合中国价值观的东西。那你到日本去使，他要求符合日本价值观嘛。

法国财政部曾经也试用过千问，试用了几周以后下线了。理由是什么？叫政治偏见。最后换了本国的 Mistral。但是换 Mistral 这过程，我感觉更大的可能性是 Mistral 去举报去了，财政部未必就能够真的发现千问里头的政治偏见。这肯定有，但是人家如果就是拿你算个账，处理一些简单问题的话，他不一定能发现得了。但是做模型的人肯定是能知道，上去举报一把。

但这事反正怎么说呢，挣钱嘛，不丢人。这是第二个原因。

原因三：中国一直不希望出现全球同服

第三个原因是什么？在中国一直不希望出现全球同服这样的事情。从游戏、从社交、从大模型，我们一直都是这样的一个态度：我们不希望有全球同服。中国用户的数据就不能跟外国用户的数据混在一个池子里头，外国用户的行为也不该反过来污染服务中国用户的这个系统。接口要分开，数据要分开。数据安全法上就非常非常明确地有这个要求。

所以最可能落地的，大概率不是说我们把开源模型关回来，以后不开源了。这个事应该不会，我们应该会继续走开源路线。但是中国模型全球影响力不断上升的一个情况下，我们应该会限制它们。比如说模型能力达到什么模型能力以上的，可能还是会有限制。

六、中转站还能不能做？

那下边有人说，中转站怎么玩？很多人都在想做中转站。前两天我还有一个朋友说：“我们要做中转站，你帮我推一下。”我说这事不行，我绝对不碰。为什么呢？因为在抓人了。

中转站其实分两块。一块是帮助中国用户去使用 Claude 和 GPT，今年这一块出了很多的事。另外一块是帮助外国用户去使用中国的便宜 Token，这个其实也是有问题的，已经在开始处理这个事情了。

6 月 8 日，国家安全部专门发了提示，点了中转站的数据风险、模型造假、后门这些问题。五六月间，上海一个名叫瓜皮的站长直接被刑事拘留了 37 天，然后取保候审。就这事没审完，只是拘留结束了，人已经退赃退赔了，就是挣的钱全都给人退回去了。注意，今天没判，罪名也没有公开，咱也不能说人家已经定罪了，但是已经抓人了。

这个生意可能踩很多的坑。掰着手指头跟大家数一数。

1. 非法使用境外服务，跟卖梯子一个性质。在中国这个东西叫非法经营罪。什么叫非法经营？就是你没有 IT 运营或者网络运营的资质，但是你去做了这样的一个服务，这个事就违法了。在中国用梯子本身是一个灰色地带，你到底是违法还是合法，这个事其实并没有一个特别明确的条文。但是卖梯子是有很多人被判的，就是非法经营罪。
2. 账号池里如果有假账号、有盗用来的 key，那你还涉嫌窃取数据、盗窃财产或者修改计算机信息系统，违反数据安全法。它有很多这样的罪名等着你。
3. 拿低配模型冒充高配来卖。有些人就是拿国内的模型稍微加一个壳，然后号称这是 Claude、Fable 5 什么这样的事情，这个就属于欺诈。在中国这些事情会被定罪的，这是真正要判刑的。

现在中国的模型厂商都是怎么干的呢？它会分开。比如说 MiniMax，它有 minimax.io，是给外国人用的；有 minimaxi.com，是给中国人用的。它一定是两个不同的网站。你如果说，我自己也不太懂，我就直接把中国的模型包出来给外国人用了，那这个数据安全法在这等着你，这个事就别碰。

所以在中国，建议大家别惦记拿这玩意挣钱，这个很危险。很小规模的，我在一个范围内使，也许行，但是范围大了以后必然被抓。

七、四条结论

这个故事讲到这了，总结一下四条结论，跟前面那个一一对应。

1. 
   Claude Code 确实做错了。像它这样权限这么大的、能够碰到你全部代码和数据的 Harness，就应该承担律师、医生、牧师那样级别的保密义务。在跟功能无关的地方隐蔽地刺探，隐蔽地写小纸条回传，混淆防审计，不管动机是反倒卖还是反蒸馏，这个手法本身就突破底线了。
   而且它在做的时候是知错犯错。它上来说，我这是做了个实验，既然你们抓住了，我就把它删掉。所以它自己知道有问题，也知道要做混淆，也知道使用 Unicode 里这个斜线。所以这个一定是有错。高权限工具的行为规范，全行业都应该把它立起来。
2. 
   政府这次做的这个管控本身，并没有什么特别大的问题。它发的是一个提醒，而不是禁令，还留了升级可用的口子，分寸拿捏得也比较准。就像咱们说，我可以不批准你去进口 H200，但是有一些 B200、B300 这样的芯片进来了，你在内部进行招投标、进行使用，我们政府也不会管你。何必跟自己过不去呢？就是这样的一个情况。
3. 
   程序员该用还是会用。禁令拦得住不懂电脑的，拦不住真正的工程师。因为一纸通知就彻底缴械的，就跟保安拦在楼下的销售一样不合格。我们对于结果负责，就想办法合规去用就完了。
4. 
   中国的反向限制管的是能力，而不是开源。开源模型加上调度，已经能够拼出 Fable 5 级别的能力了。这档位的各国都在管，中国管也是合理的。方向大概是开源继续开，调度系统看住，中外分服，数据和口径不出境。

结尾：技术与国界

最后回到“魔幻”两个字。一个说“我从来不卖给你”的公司，费了三个月的功夫写这种隐秘的代码来数它的中国用户；一个说“我们不用了”的这个市场，从大厂到监管，火速为它开会、发文、定生效日期。双方用最大的动静互相否认，恰恰证明了这段关系有多深。

技术本来是世界上最不认国界的东西，如今成了国界感最强的一个东西。而夹在中间的每一个写代码的人只关心一件事情：明天我是不是还可以又快又好地把活干完？这就是咱们今天的故事。

Anthropic 大封号之后，大家都还好吗？

大家好，欢迎收听老范讲故事的 YouTube 频道。这几天在中文社交媒体上，包括 X 的中文圈里，大家都在讨论一件事情：自己的 Claude 账号是不是被封了。

这几天，Anthropic 确实进行了史无前例、丧心病狂的大规模封号行动。我的账号还在。现在据说，只要你的 Claude 账号还在，你就已经超过了中国 99% 的程序员了。因为没有 Claude 账号和有 Claude 账号，这是完全两种不同的程序员。

甚至有人在椅子背面贴了一张纸，说因为 Claude Code 账号被封，现在不接受任何程序相关的 bug 和修改请求，因为编程能力已经降回 0 了。什么时候可以继续接受请求？看看申诉情况，或者看能不能再去注册新账号吧。

现在就是这样一个特别神奇、特别魔幻的时间点。这里跟大家讲几个特别神奇的故事。

杭州账号被封的传闻

有一位在杭州的朋友，他的 Claude Max 账号，也就是一个月 200 美金的账号，据说订阅了很多年，突然就被干掉了。后来他发现很多在杭州的小伙伴都被干掉了，于是怀疑是不是 Anthropic 专门对杭州 IP 进行了封禁。这种事情只能怀疑，没办法得到实证。

有些人不信邪，说我得试试。有人从深圳跑到杭州出差，到了杭州以后打开 Claude Code，咔嚓，被封了。原因也很简单：DeepSeek 在杭州，阿里也在杭州，Anthropic 还刚刚指责阿里使用 25,000 个账号、2,880 万条问询去蒸馏它的大模型。那你在杭州还不封你封谁？

当然，在这次封禁过程中，有很多不同类型的账号被封掉。有些人是多年的 Claude Max 账号，也有人说自己使用老 Gmail 账号也被封了，并没有一定的规则。这一次唯一的规则，就是封禁力度巨大，倒霉的人很多。

问题来了，Anthropic 到底是怎么甄别出来你在杭州的呢？这个事我也搞不太明白。它目前最多只能甄别你可能在大陆。你说有哪些特征可以甄别到你在杭州？有一些。但是如果甄别你在深圳、在北京，它也没封你。

因为在 AI 工具里，隐私界限是非常模糊、但又非常重要的一件事。像我今天这个稿件，就是使用最新发布的 Sonnet 5 做的，我也想看看它到底行不行。反正到目前为止，它还在老老实实干活，还在给我出这样的稿件。

这说明什么呢？我告诉它，我在中国，我在帝都，我使用了 Claude Code，也使用了 Claude Coworker，并没有出现什么问题。所以，它怎么能够精确定位到杭州以后就直接封掉，这确实有一些让我不太理解。

这次封禁可能使用的几种手段

这一次封禁主要可能有几种手段。

第一种：IP 甄别

我们肯定挂梯子了，使用 Claude Code 不挂梯子肯定不让你用。那它怎么甄别呢？也很简单。

大家要知道，梯子有一个很神奇的特性，就是它会进行路由。如果发现你在访问 Anthropic，它就给你路由，把你的 IP 地址改成一个海外 IP 地址。如果发现你要访问一个境内域名，或者它不认识的域名，它就默认你在境内，直接使用本地 IP，走本地运营商路径。

所以，想要确认你在哪，最简单的方式就是让 Claude Code 访问一个不是特别常见的域名。因为所有这些梯子软件里都有这样的功能：不能访问淘宝或者微信小程序的时候也给你翻墙翻出去，那会影响使用。

有一段时间，这些翻墙软件确实这么干过。结果你会发现，在国内使用淘宝的时候，打开的是淘宝国际站，就没办法愉快购物了。这很麻烦。另外，翻出去以后流量比较贵，是按照流量收钱的。所以我们更希望它分开：需要翻的时候再翻，不需要翻的时候就老老实实走国内。

因此，你的 IP 地址、运营商、整个链路，很容易从本地知道。如果它发现你的链路走到了杭州电信，或者走到了阿里云某台杭州服务器上，它就判定你肯定有问题，直接处理掉，这种可能性比较大。

但是，如果它判定你在深圳，可能就会认为是不是有一些故障，或者有其他问题，于是不处理。其实所有这种封禁程序都是打分的，它会有很多指标，最后打到多少分以上，咔，给你封掉；没打到多少分，可能就把你放过了。而杭州 IP 估计一下就加了很高的权重，直接给你处理掉。

第二种：中转代理黑名单

很多人为了薅 Anthropic 的羊毛，会把一个大账号包给很多不同的人。对于每一个使用这种分拆账号的人来说，填 Anthropic base URL 这个属性时，一定不会填官方地址，而是填中转站地址。

那么它就可以检查：你这个中转站到底是什么样的中转站，里面是不是有一些域名是黑名单域名。比如这个中转站名字叫阿里云什么什么，或者叫 DeepSeek 什么，或者叫哔哩哔哩点 CO，也就是 B 站的中转站。

为什么会有哔哩哔哩点 CO 这样的网站出来呢？也很简单，人家想用。让每一个使用者自己研究怎么搭建、怎么挂梯子，很麻烦。怎么办呢？由公司集团的 IT 部门整体处理一次，在公司内部搭建一个中转站，订一堆账号挂在上面，然后自己用。这个一旦被发现，直接给你干掉。

第三种：木马式信息采集

所谓的木马植入是怎么玩呢？其实有两层。

第一层是在 Claude Code 里，它问一个特别神奇的问题：你这个机器现在的时区是哪个时区，或者你现在是哪一天。但这个问题怎么就能让你露馅呢？很多挂梯子的人都把梯子挂在美国，因为很多最新模型是在美国先上线的。可是你的本机时区一定不是美国时区，而是北京的东八区。发现你的 IP 地址跟时区不一致，咔嚓，给你干掉。这也是很顺理成章的事情。

除了问时区之外，另外就是去查刚才讲的 ANTHROPIC_BASE_URL 属性，把这两个属性打包，直接发到服务器上校对，校对完以后封你的账号。

还有一种特别有意思的玩法：给你发封邮件。它觉得你可能有问题，或者你要登录，就给你发封邮件，请你确认一下。

我今天还去登录了一次，因为我要在 VSCode 里使用 Claude Code 插件。它说不行，你要重新登录。虽然我的 Claude Mac 客户端在跑，Claude Code Terminal 的 CLI 客户端也在跑，但是 VSCode 说要重新登录。登录过程就给你发邮件。

它是这样的：邮件里隐藏了一幅图片，这个图片很小，一像素乘一像素，你看不见。这个图片放在一个很特殊的服务器上，这个服务器平时大家不太用，域名相对也比较奇怪。所以梯子软件可能一看到这样的域名，就直接放过了，不认为这是必须翻墙的域名。然后你的邮件客户端就上去请求这张图片。

请求的时候，就会告诉它：你好，我是谁，我这个客户端现在是什么时区，是什么邮件系统，我的 IP 地址是什么，我现在想要这幅图片。为什么要给人这么多信息？这是早期图床网站的逻辑。图床网站为了避免被人薅羊毛，往往需要提交足够完整的信息以后才把图片给你。

这些信息一提交上去，它一看，你的时区跟账号情况不一致，或者你的 IP 地址跟账号不一样，或者你直接走到了本地运营商链路，因为它没有走梯子。它把这几个信息综合起来以后，判断是不是给你封号。

现在大家总结的应该是这三种，但我相信一定还有其他手段。因为我以前问过谷歌的人：你们怎么判断关联账号？他说你别费这个劲了，我们手里有几百个标志位，会把所有标志都收集起来以后算一个分数，然后看你的风险是不是足够高。他没办法给你一个特别明确的检测方法，因为这是通过一个很复杂的算法算出来的。

Anthropic 我相信也是这样。现在大家能总结出来的都是瞎子摸象。我们通过谁谁谁被封以后，大概有什么情况；甚至有些人把邮件里的所有信息都扒了一下，有些人把 Claude Code 的一些源代码整个扒了一下。把这几块弄完以后，来确定这几块可能是这一次起作用的地方。但我要告诉大家，起作用的地方很多很多，它最后一定是在评估风险指数。

Anthropic 工程师承认了什么

这一次故事最有意思的地方在于，Anthropic 自己官方还承认了这件事。它自己并没有发官方通告，说最近要开始大扫除，或者要怎么样，这些都没说。

但是有人说，你们 Claude Code 里埋了这种木马代码，来查我机器的日期格式。因为不同国家的日期格式不一样，咱们是年月日，人家是月日年、日月年。它有时候查你的日期格式，有的查你的时区，有的查其他信息出去，还要把这些信息发到 Anthropic 的服务器上，说你 Claude Code 里的代码被我抓住了。

这件事，Anthropic 的一位工程师出来认了。今天上午 6 点 07 分，应该是美国时间 6 点 07 分，Claude Code 团队的工程师塔里克·希希帕尔，他的 X 账号是 TRQ212，发帖承认了。

他说这个东西是他 3 月份就加进去的。当时加这个东西，是为了甄别中转站，甄别薅羊毛的人。现在已经有更好的甄别方式，所以计划在下一次 Claude Code 更新时，把这段代码删掉。

这个人大家不知道还有没有印象。前面龙虾之父，也就是做龙虾的创始人 Peter Steinberger，自己也被封过。当时也是这位塔里克出来回复，说是分类器判断错误，我给你恢复了吧。看来，在 X 上给 Claude Code 专门擦屁股，也是这位老兄的一项日常工作之一。

申诉成功率有多低

封号之后，是不是可以去申诉呢？这一次我们看到的是中文区哀鸿遍野。一定有封错的，也一定有在美国被封的、在全世界其他地方被封的。但别费这个劲。

根据 Anthropic 自己在今年 1 月披露的数据，2025 年下半年，注意只有半年的时间，累计封了 145 万个账号，收到了申诉邮件 5.2 万封。封了这么多账号，最后写邮件给它的比例非常低，大部分人封了就拉倒了。成功恢复的是 1,700 件，申诉成功率是 3.3%。

大家算算这 3.3%，谁是分子？一定是 1,700，也就是成功恢复的 1,700 个。谁是分母？绝对不是 145 万个被封账号，而是 52,000 封申诉邮件。也就是说，你给它寄申诉邮件，能够成功恢复的比例是 3.3%。

至于再往后的数据，也就是 2026 年上半年的数据，Anthropic 自己并没有公布。这一次官方大封号，Anthropic 自己什么也没说，唯一出来说话的就是刚才讲的塔里克，承认前面确实做了一个实验，在 Claude Code 里加代码，去看你的时区、日期格式，甄别你是不是使用了代理、中转。

被错封的公司案例

有哪些被错封的账号呢？跟大家举几个例子。

第一个，美国有一家 110 人的农业科技公司，业务横跨数据分析、田间决策、供应链优化。周一早晨，110 个账号一起集体暂停，零预警，管理员事先都不知道。每个人收到的邮件都写着检测到你个人违规，团灭。

创始人在 Reddit 上发帖说，Anthropic 封了我们整个公司的账号，110 个人，零预警，拿到了 2,400 个赞，334 条评论。更荒谬的是，账号登不上去了，API 却还在计费，封号第二天准时收到了续费发票。申诉 36 个小时，没有人理他。到目前为止，这帮人也没有恢复账号。

拉美有一家金融科技公司叫帕托莫利纳，发帖说公司 60 多个账号一夜之间集体被封，同样是零预警，同样是冰冷模板邮件。最后恢复了，但是官方回复只有一句话：经过调查，已经恢复，抱歉带来不便。完了。违反了什么，查出了什么，只字未提。

这位莫利纳后来干脆紧急部署了 Gemini 作为备份，说万一你再给我封了，我用 Gemini。

所以，从杭州到硅谷，从个人开发者到 110 人的公司，这套系统一视同仁，不讲道理。而且出来救火的，翻来覆去就是这么一个工程师在 X 上单枪匹马地发帖，做一些个人回复。公司层面基本不做正面表态。

真正重要的问题是隐私

在 AI 领域里，真正重要的其实不是封不封号，而是隐私。我们有非常多的隐私要参与 AI 一起工作。比如我今天做这样一个题目，我在中国，我去做 Anthropic 封号的口播稿。对于 Anthropic 来说，我等于直接告诉它了：我在国内，我使用了你的产品。它并不能因为这件事情就给我封号，因为这明显侵犯我的隐私。

有没有跟用户之间的隐私确认协议？你到底要拿哪些信息，不拿哪些信息？对于目前这些 AI 模型或者 AI 服务公司来说，都是相对比较模糊的。

我是怎么让账号活下来的

至少我目前账号还活着。我可以跟大家讲一下我是怎么活下来的。至于以后是不是还行，我也不能保证。

• 第一，用 Gmail。不要用公司邮箱或者国内邮箱去收 Anthropic 的邮件。原因很简单，Gmail 也好，苹果邮箱也好，收到带有图片的邮件时，会自己把图片拉下来，由 Gmail 的服务器去拉。拉完以后，会放在谷歌的中间缓存服务器上。所以不会出现从本机拉图片时，直接把本机信息暴露出去的情况。
• 第二，不要使用美国的梯子。我现在梯子都是挂在新加坡或者台湾，因为这些地方跟北京是同一个时区，都是东八区。这样你的时区和 IP 地址是符合的。
• 第三，不要使用代理或者分拆账号。这个很容易被抓。

那账号怎么开？其实比较简单，开 Anthropic 账号比开 OpenAI 账号还简单。因为 OpenAI 账号付款时要进行手机号认证，而 Anthropic 账号不需要。你随便拿一个邮箱就注册了。注册完以后，到苹果美国官网上买礼品卡，申请一个苹果美国账号，把礼品卡充值进去，然后就可以在 iPhone 上订阅 20 美金、100 美金或者 200 美金的账号。这个过程相对平滑顺畅，中间不经过任何第三方，都是大公司之间把事情做完。

但这个号到底能活几天，我也不知道。而且防被封号，我觉得唯一靠谱的只有一件事：别把额度用太满。对于 Anthropic 来说，你把额度用得太满了，它一定会怀疑你。

刚才我也讲了，所有这种跟封号有关的事情，绝不是某一个或者某几个关键指标进行简单判断的，一定是非常多的指标，可能几十个、几百个指标放在一起以后进行加权运算。你的威胁指数或者威胁评分达到多少以上，给你封掉。

为什么 Anthropic 这么狠

下一个问题，为什么别人不这么狠，就 Anthropic 这么横呢？嘁哩喀喳就给你封这么多号。

大家要注意，封号这件事情本身属于 Anthropic 品牌价值观的一部分。就像前面苹果说，我顶住了 FBI 的要求，我不给它解码手机，这属于它品牌价值的一部分。Anthropic 也是这样的：踩中意识形态了，我就去封他们。他们上来蒸馏我的模型，偷我的技术，这个事就是不行。这是它价值的一部分。

封号一定会有错封和漏封两种情况。如果要求尽可能少漏封，那就一定会更多地错封，把很多不应该封的人封掉。错封以后，就可能会有诉讼，有人会告你。

在公司里干过的朋友，特别是在一些相对比较大的公司里干过的朋友，你们告诉我，在你的公司里，法务部的声音大，还是销售部、市场部或者技术部的声音更大？绝对是法务部。因为它是要打官司的，老板也害怕打官司。

所以一旦法务说你这个事情可能引起诉讼，他们就会相对谨慎一些。OpenAI、谷歌、微软这些公司都会相对谨慎一些，它们不希望因为这样的事情带来诉讼。而 Anthropic 就这么干了，你愿意告我告呗。

现在 Anthropic 身上真的是债多了不愁，虱子多了不咬，有一堆诉讼等着它。一方面是它盗版人家的书、爬取 Reddit 上的数据，都在诉讼。另一方面，国防部把它加到了不可信任名单里，它还在起诉美国联邦政府。

还有一点非常重要：为什么它不怕告？因为还没上市。上市公司和非上市公司是两个完全不一样的生命形态。一旦上市以后，你被起诉了，有很多诉讼背在身上，SEC 会给你写信，会发警告，你的股价会发生剧烈波动，甚至可能带来天价罚单。所以上市公司通常会更加守规矩，更加谨慎。Anthropic 现在趁着没上市好好折腾，等以后上市了，也未必敢整成这样。

所以这一次 Anthropic 属于宁肯错杀三千，绝不放过一个的玩法。

风波还没有结束

这一次封号风波，到目前为止绝对不算结束。我估计未来几天还会有新的消息出来，可能会有一些集体诉讼，特别是在美国。

大家会不会觉得前面那家 110 人的美国农业公司就是冤枉的？其实不一定冤枉。这种公司很有可能使用了中国外包，把他们的账号直接外包到中国来使用，这个可能性很大。你以为他们真的有那么多程序员、那么多账号需要坐在美国办公室里使用吗？真未必。包括前面讲的那个南美申诉成功的，也未必就真的冤枉。

所以 Anthropic 如果以后上市了，封号可能会收敛一些。但是现在，也许就是它最后的疯狂。

封号背后的另一个猜测

这里我还要讲一个自己以小人之心度君子之腹的猜测：Anthropic 的这种大封号行为，可能要防备的并不是真正的蒸馏。因为蒸馏其实是防不住的。你这头封完号以后，中国人就不用了吗？照样该用还是得用，只是现在使用 Anthropic 服务的门槛变高了，成本变大了。很多人可能觉得自己没办法搞定，或者觉得折腾这玩意太累，就走掉了。

但是对于真正想要蒸馏 Anthropic 的人来说，他们会干嘛？他们会使用专门的工程师，会有专门的团队，也不在意你到底变得多麻烦。他们该蒸馏还是会蒸馏。

那 Anthropic 折腾半天干嘛呢？Anthropic 其实是在把使用最重的这帮用户干掉。

这种卖套餐的公司，像一个月 20 美金，或者一个月 200 美金的套餐，都是健身房心态：我把健身卡卖给你以后，你这辈子都别来，等下次续卡的时候再来就够了，中间你就不用来了。

欧美用户或者日韩用户可能确实是这样使用 Anthropic 的，或者说重度用户和普通用户之间的比例相对健康，这是 Anthropic 比较喜欢的。而中国用户肯定是每个买了账号的人都往死里用。像我，大概每周 Anthropic 流量能用到 70%-80%，其实还好了，一般用不到 100%。那些买了 200 美金账号的人，更是羊毛不薅秃了不罢休。他们会把自己的账号拆成很多份，再分租给其他人使用，这些一定是封号重灾区。

你就这么想吧，一个健身房卖了 100 张卡出去，结果这 100 个人每天都像上班一样打卡就来，晚上还加班加练，那这健身房是会倒闭的。所以 Anthropic 这一次大封号，可能也是想节省一点算力，让这些真正的卷王离它的服务器稍微远一点。

最后：账号保住了吗？

最后结尾一下，大家都还好吗？这是今天的题目。你们号都保住了吗？还是被封掉了？

不好的大有人在。那 145 万个被封号的账号里，大家肯定都很不好。但是对于 Anthropic 来说，这大概率都能够进入它自己的账本里。在没上市之前，在这么多诉讼不会影响市值、不会影响 SEC 判断的时候，最后疯狂一把，通过这一次大封号，把用户安全、把意识形态焊死在它的品牌价值观里。

对于中国的 Anthropic Claude 用户来说，如果您有一定技术能力，该用还是用吧。麻烦一点，它还是挺好用的。现在从编程角度来说，GLM 也好，Codex 也好，已经快要追上 Claude Code 了。但是从办公和文件处理角度来说，Claude Coworker 还是唯一的神。

当然，做再多封禁，做再多防护，对于那些中国 AI 研究公司，对于中国的大模型公司来说，都是没有任何意义的。人家就是干这个的，你设置再高的墙，它都会钻过去。你要想把它们拦住，整个系统就不要为任何人服务了。

最后，我也拿不出账号永远不被封的技术方案。就连我自己这个账号到底能撑几天，我也不知道。本来上个月 28 号就是我这个账号到期的日子，后来发现这玩意处理文档的能力实在太强了，我也想着 Anthropic 未来一定会给我们提供很多故事。我万一把账号退了，以后有相关故事没法给大家讲，所以最后还是做出了艰难的决定，又续了一个月，续到 7 月 28 号。这不是又赶上新故事了吗？那咱们就继续续着这个账号，继续跟大家讲 Anthropic 的故事。

但我同时也有 Codex 账号。相应的稿件虽然用 Codex 处理起来要别扭一些、费劲一些，但不是不能干活，也能够将就干。所以为了不被直接卡死，还是要给自己留一条后路。

好，今天这个故事就讲到这里。感谢大家收听，请帮忙点赞，点小铃铛，参加 Discord 讨论群。也欢迎有兴趣、有能力的朋友加入我们的付费频道。再见。

背景图片