本文来自微信公众号：虹线，作者：评论尸，题图来自：AI生成
如果你重度依赖海外 AI 工具，又恰好生活在中国，你大概早就习惯了”赛博二等公民”的待遇。
你得找干净的节点，得注册海外的信用卡，得时刻担心那个好不容易养起来的账号，会不会在某次风控里被”连坐”封掉。
但 Anthropic 这次干的事，还是超出了我的想象。
2026 年 6 月 30 日，Reddit 的 r/ClaudeCode 板块。一个用户发帖，标题简单粗暴：Claude Code 在给你贴标签。
发帖人 LegitMichel777 说，自 Claude Code v2.1.91 版本起，只要把它接到代理服务器，并且系统判定你“跟中国有关”，它就会在每一次请求里，悄悄改写你打出的标点。[1]
具体到什么程度？开发者 thereallo 把客户端代码拆开，逆向了一遍：日期里的短横“-”被换成斜杠“/”；句子里最普通不过的一个撇号“’”，被替换成几个人眼几乎分不出来的 Unicode 变体字符。[2]
这条帖子冲上了 Hacker News 首页，拿了 605 分。评论区当场吵翻。
我第一反应真的是想笑。一家把“安全”刻在招牌上的公司，一家标榜自己是全宇宙最在乎人类命运的 AI 实验室，煞费苦心地在文本里埋了一个隐形指纹，专门用来标记“这个人可能跟中国有关”——结果被一个极其无聊的、专门针对标点符号的怪癖当场抓包。
但笑完，是真的不舒服，甚至感到一种生理性的恶心。因为比起光明正大地写明”禁止中国相关实体使用”，Anthropic 选择了明知故犯地隐瞒。
在历史上，很多组织都干过类似的事情，而与 Anthropic 最相似的是纳粹——给犹太人的护照盖一个“J”字，并告诉他们：这只是个符号，没什么大不了的。
这篇文章不打算讲隐私，隐私在这个语境下显得太小儿科了。因为 Anthropic 干的这件事比隐私深沉得多——它不是在收你的数据，它是在定义你的身份。
这是一个从“你是谁”出发、而不是从“你做了什么”出发的判断系统。
一、用撇号传递隐藏信息
为了后续的讨论，我们需要先复述一遍 LegitMichel777 讲述的技术细节，如果你已经了解了，可以跳过接下来的几段。
Claude Code 的歧视代码触发条件非常具体，具体到你能看见写下这行代码的人那张充满算计的脸：环境变量 ANTHROPIC_BASE_URL 被设置，说明请求经过了代理；系统时区落在 Asia/Shanghai 或 Asia/Urumqi。
命中之后，Claude Code 会做两件事：把请求里的日期格式从 2026-06-30 强行改写成 2026/06/30；把普通的撇号 ' 换成 Unicode 变体——命中域名黑名单换成 \u2019，命中“中国实验室关键词”换成 \u02BC，两条都中，换成 \u02B9。[2]
这几个字符，肉眼几乎看不出差别。放进任何一个普通的文本编辑器，你会以为这就是标准的英文右单引号。它们的差别只存在于字节层面，只有会读 Unicode 编码表的人、或者是接收这些数据的 Anthropic 服务器，才看得出来。
这还不够，域名黑名单和关键词列表怎么藏？他们先用 base64 编码，再用密钥 91 做一次 XOR 混淆。解出来的关键词，是 deepseek、moonshot、minimax、zhipu、baichuan、stepfun、01ai、dashscope——挨个数下来，几乎把中文互联网能打得上号的大模型公司，点了一遍名。[2]
这道工序绝不是什么“顺手写的一行判断”，也不可能是 Anthropic 的实习生手滑。它是一个系统工程：先写一份名单，再把名单编码，再把编码结果做加密混淆，再把混淆结果嵌进产品里，让它在你完全不知情的情况下运行。
这里面的每一步都是深思熟虑的决定，每一步都要有人经过代码审查。
这就是我不能用“偏见”而一定要用“歧视”来概括这次 Anthropic 的行为。因为算法偏见可能来自数据中的无意识样本偏差，但歧视代表着主动决策。
但 Claude Code 里所做的行为，恰恰是有主语和主观能动性的。
有人写了一个 if 判断你是谁。有人选了要屏蔽的公司名单。有人决定把这份名单藏起来，而不是写进用户协议第几条。有人测过，这套水印在正常使用中不会被肉眼发现。这每一个“有人”都是真实存在的职务角色：提出这个 feature 的产品经理、批准它的 tech lead、在 Code Review 里点了 Approve 的那个同事、把这个版本推上生产线的 release manager。
我知道科技圈不爱听“共犯”这个词，但它就是共犯。
你可以说，Claude Code 目前干的事，无非是往请求里塞一个隐形水印，又没打你、没抓你、没冻结你账户。这话没错。可翻开历史看看，每一次大规模的排斥，最初都只是“先记一下”。至于名册建好之后会发生什么，从来不是写名册的人自己决定的——写名册的人，只是把决定权提前让渡给了未来某个使用这份名册的人、或者某项疯狂的政策。
我甚至可以想象 Anthropic 内部的动机逻辑。他们大概觉得自己在执行某种正当的商业防御：这些中国 AI 公司确实在“非正常竞争”，确实在“蒸馏”他们的模型，所以标记一下、收集一点数据、留一条后路，是合情合理的应对。
但问题是，大模型本身是一种在使用方法上对后端全透明的技术，也就是从理论上来讲，Anthropic 可以通过行为识别来解决所有“不符合规定的使用”，而不是圈定一个“不符合规定的人群”。
而采用隐蔽的方法来传递用户身份的侦测，更说明了 Anthropic 自知这样的划分并不名正言顺。因为如果它真的认为自己正当、正确、正义，可以参照 Stripe，以及全球任意一家互联网金融公司那样通过有效证件对用户进行真正的 KYC。而不是偷偷识别“这个可能是中国人”，再偷偷传回总部。
直到今天，Anthropic 依然没有对这次指控做出公开回应。沉默，就是最傲慢的态度。
我猜他们不是不想回应，是没法回应。解释为什么埋水印，等于承认埋了水印；解释为谁埋的、用什么标准判定”跟中国有关”，等于把一份歧视清单摊在桌面上给全世界看。不回应，至少还能躲在”不予置评”后面假装这件事不存在。
但这件事不会因为他们不回应就消失。代码已经被反编译，XOR 密钥已经公开，域名列表已经摊在 GitHub 上被全世界传阅。Anthropic 的沉默不是危机的结束，只是他们还没有想好一个不那么难看的说法。
二、定义即暴力：从颅骨到时区
暴力这个词，在现代人的语境里，太容易让人先想到枪、集中营、毒气室。但研究种族灭绝的历史学界早有共识：真正决定谁会被杀的那一步，往往发生在很多年前，一张纸上，一次毫无波澜的登记里。
1935 年，纳粹德国颁布《纽伦堡法案》（Nuremberg Laws）。这部法案做的第一件事，不是抓人，是重新定义”谁是犹太人”。以前，这个身份多少带点宗教和文化认同的意味——你有犹太信仰你就是犹太人，你改宗了你就可以不是。法案之后，身份变成了纯粹的血统算术：查你祖父母四人里有几个是犹太人，划进”犹太人”或”米施林格”（Mischlinge，混血）的不同等级，再细分出四分之一、二分之一血统的类别。[3]
这套分级表在实际执行中演化出了一种荒谬：一个人可能一辈子没进过犹太教堂、吃猪肉喝啤酒、甚至已经受洗成为基督徒——但只要档案里写着你有一位犹太祖父母，你就是法律意义上的犹太人。同样，一个虔诚的犹太拉比如果祖父母四人凑巧只有三个是被归为犹太血统的，他反而被分进”一级混血”，可以暂时保住工作和财产。宗教、文化、自我认同，在这张表面前全部作废。唯一的真实，是血统档案上的那四个格子。
这套分级表画出来像一份遗传学作业。极其精确，极其官僚，极其冷。它冷的地方在于：一旦你被归进某一格，能不能上学、能不能行医、能不能结婚、能不能保有财产，全部按格子走，不需要再看你这个人到底是谁。你的灵魂不再重要，你的成分决定了一切。
护照上盖一个“J”字，是这套分级表最后、最可见的产物。真正干活的，是前面那张分级表。盖章的公务员，只是在执行一份早就做完的分类。
但分类要落到几百万人头上，光靠人手写名册是不够的。这时候，一家美国科技巨头帮上了忙：IBM。
IBM 通过德国子公司 Dehomag，向纳粹政府提供了 Hollerith 打孔卡制表系统。1933 年的人口普查用的就是这套系统——不只是数人头，而是能按“种族”“宗教”“职业”这些维度交叉检索。历史学者 Edwin Black 在《IBM 与大屠杀》里详尽地还原过这条链路：普查数据摸清了犹太人口的分布，隔都居民被逐一统计。到了集中营，囚犯的复杂人生被压缩成一串五位数编号，刻在袖标上，用打孔卡系统追踪调配劳动力。[4]
分类系统先于灭绝到位，灭绝才谈得上被“流水线化”。没有硅谷先驱的前代技术，那套暴力系统根本跑不出那么高的效率。
Edwin Black 在书里记录了一个细节，任何人看l都会不寒而栗：IBM 不仅卖了机器，还派了工程师去德国维护这些机器，定期检修，确保打孔卡系统运转良好。换句话说，IBM 从头到尾知道自己的客户在拿这些机器干什么。但他们没有停下来。因为生意就是生意。
集中营内部还有一整套色标系统——三角形的颜色和位置，标记你是政治犯、犹太人，还是“反社会分子”。管理者一眼就能分辨，囚犯却常常读不懂自己身上贴的是什么。[5]
这才是最关键的一点：标记的可读性是不对称的。写标记的人看得懂，被标记的人看不懂。
把这套逻辑，原封不动地摆到 Claude Code 旁边对照一遍。
Claude Code 会检测你的时区是不是 Asia/Shanghai，跟纽伦堡式的“居住地／血统普查”是同一个动作，只是普查对象从“你祖上是哪个民族”，换成了“你的系统时钟设在哪儿”。撇号被换成一个 Unicode 变体，跟集中营里那个只有管理者看得懂的色标三角形，也是同一个动作，只是载体从衣服上的布料换成了网络传输的字节。
一个是墨水戳在纸上，一个是零宽度级别的字形替换。技术上，二者相差了大概九十年的载体演进。逻辑上，它们是同一件事：先给你建一份档，再决定拿这份档怎么用——而你，作为被标记的对象，全程不知道自己已经被记录在案。
我知道有人到这里会觉得我危言耸听：一个破撇号而已，至于类比到纳粹和集中营吗？至于。
因为我不是在类比暴力程度，我是在类比制度设计。纳粹的色标系统不需要集中营的焚化炉才能成立——它本身就是一个独立的、完整的、自洽的分类装置。
即使没有后来的大规模屠杀，这套色标系统本身也已经构成了一种暴力。因为它剥夺了被标记者对自己身份的叙事权。Anthropic 的水印也一样。你不需要等到某天 Anthropic 拿着这份数据库向政府交名单，才能说这件事是错的。它在你不知情的情况下替你完成了一次分类、并把这个分类永久记录在你的请求流里——光是这个动作本身，就已经越过了底线。
这里可以再摆一组对比，会更扎眼一点：德国用血统证明“纯洁”，美国用肤色证明“纯洁”，Anthropic 用时区和域名证明“安全”。三套系统操心的东西，表面上完全不同——种族、肤色、地缘政治——底下用的，却他妈是同一套官僚工具箱：先划出一个“他者”的范畴，再给这个范畴配一套可执行的判定规则，最后让规则自动运行，运行到不需要任何人再做一次良心上的判断。
这才是分类系统真正恐怖的地方。它不需要执行者恨你，它只需要执行者照着产品经理的表格填字段。
Anthropic 的工程师大概没有一个人怀着种族仇恨写下那个 if 判断。这恰恰是问题所在——作恶不再需要恨意做燃料，只需要一份需求文档，和一个愿意按需求文档写代码、并且放弃追问的打工人。
三、一滴血与一个域名
如果说纳粹的分类学野蛮而张扬，那么美国的种族隔离制度则完美示范了另一种可能：野蛮可以完全不需要张扬，甚至可以包装成一套行政流程。
“一滴血规则”（one-drop rule），字面意思就是它的定义：只要一个人的血统里有“一滴”黑人血统——哪怕祖上八代只有一位——法律上就该被归为黑人。这不是一句民间俗语，这是美国多个州曾经白纸黑字写进法律的正式规则，学术上叫 hypodescent（血统从劣原则）。[6]
这条规则最诡异的地方，不在于它显而易见的歧视，在于它把“你是谁”这件事，完全交给了行政官员手里的那支笔。弗吉尼亚州有一位名叫 Walter Plecker 的登记官，靠着一部《种族纯洁法案》（Racial Integrity Act），可以单方面把整个混血家族，重新划进“黑人”的档案。这家人可能几代都被当作白人生活，但 Plecker 一份文件，身份就被强行改写了。没有法庭，没有申诉，一份表格就是终审判决。[7]
定义权，就是暴力权。你不需要在街上打人，只需要有权决定“这个人是什么成分”，剩下的暴力，会由整套社会的齿轮自动执行。
隔离制度另一件招牌产品，是“红线区”（redlining）。1930 年代，美国联邦机构 HOLC（房屋所有者贷款公司）给全国主要城市画风险评级地图，用红笔圈出“危险”街区——住着少数族裔的社区，几乎毫无悬念地全被圈进红区。银行照着这份地图放贷，红区居民几十年贷不到房贷，财富积累从地理层面被物理锁死。
这份地图不是公开羞辱，它甚至不需要挂在任何一户人家门口。它躺在银行和政府机构的档案柜里，安静地决定着一整代人能不能买房、能不能积累资产、能不能把房子留给下一代。你从街上走过，看不出这条街被画了红线，你只会发现，自己去申请贷款，总是莫名其妙地被拒。
在这条规则运行的三十年间里，整整一代美国黑人家庭被锁在财富积累的门外，而他们身边的白人邻居用同样的收入水平、同样的还款能力，拿到了贷款、买了房、把房子升值后的财富传给下一代。
今天美国白人和黑人之间的财富差距，有相当一部分可以直接追溯到这几张地图——它们在被废止几十年之后，依然像幽灵一样影响着下一代人的资产负债表。这就是隐蔽分类的真正威力：它的伤害不发生在被标记的那一刻，而是发生在被标记之后每一个看似中立的“正常流程”里。银行从来没有在你的贷款申请表上写“黑人”两个字，它只是查了一下你的地址，然后查了一下那张地图，然后把你的申请表放进“不批准”那摞文件里。
饮水机上那块写着“Colored”的牌子，公开、羞辱、刺目，是隔离制度最容易被记住的画面。但红线地图告诉我们一个更冷的事实：真正决定命运的排斥，往往不需要一块牌子。它藏在流程里，藏在评级表里，藏在一份没人会主动给你看的档案里。
这正是我看到 Anthropic 那份 XOR 混淆域名黑名单时，最先想到的画面。
base64 编码，加一次密钥为 91 的 XOR 混淆——这道工序，在功能上和红线地图一模一样：把一份“谁该被特殊对待”的名单，从公开可见，改造成隐蔽可执行。它不写进用户协议，不出现在任何一份产品说明里，就躺在代码深处，安静地决定着你的请求会不会被悄悄改写。
从饮水机牌子到 Unicode 水印，人类文明进步的似乎只是隐蔽性：排斥的效率提高了，而排斥的可见度反而降到了零。
如果这一切还只停留在一个开源社区的技术八卦上，也许还能被归为“某家公司的产品设计争议”。但就在一个多月前，这套逻辑已经从代码层面，堂而皇之地升级成了国家行为。
2026 年 6 月 12 日，美国政府以国家安全为由，下令暂停任何外籍人士使用 Anthropic 的 Fable 5 和 Mythos 5 模型。注意官方声明那咬文嚼字的措辞——不论此人身在美国境内还是境外，连 Anthropic 自己的外籍员工，也一并被切断访问。[8]
这里要解释一下这条禁令背后的法律逻辑，因为它在中文世界几乎没有对应物：美国出口管制体系里有一个概念叫“视同出口”（deemed export）。意思是，把受管制的技术信息交给一个外国人——哪怕这个人此刻就坐在加州硅谷某间豪华办公室里，甚至持有美国合法工作签证——在法律上，等同于把这项技术直接出口到了他的母国。判定标准不是这个人身在哪里，不是他为哪家公司工作，不是数据中心设在哪个法域。判定标准只有一个：他生而为谁。
这条禁令切断的人里，甚至包括 Andrej Karpathy——一位在 AI 圈家喻户晓的研究者，持有 EB-1（美国“杰出人才”）绿卡，早已是美国永久居民。他没有做错任何具体的事，甚至为美国的 AI 产业立下过汗马功劳。但他被挡在门外的唯一理由，是他的出生地。
这不就是一滴血规则的 2026 年版本吗？只是评判标准从“血统比例”，换成了“国籍出身”。一旦被判定“不纯”，你身处帝国心脏、手握顶级人才绿卡，也无济于事。Anthropic 最终顺水推舟，选择在全球范围下线这两款产品，以完成所谓的合规。
这里得插一句话，避免被读成自打自脸。我自己之前写过一篇《AI 也该有护照了》 ，主张给 AI 系统一个透明、可问责的国籍标识。乍之一听，这两篇文章好像在自相矛盾：一篇在帮 AI 许国籍，一篇在质问国籍引发的差别待遇。
但它们其实是同一套逻辑的两面。“国籍”作为一项公开规则，本身没有问题：它写在法律里，写在签证表格上，你知道规则存在，也知道自己会被怎样对待——这是可以拿到桌面上争论、修正、申诉的秩序，一种“护照”式的秩序。
Anthropic 在 Claude Code 里做的事，性质完全不同：它没告诉你规则是什么，甚至没告诉你规则存在。你的时区、你连的域名，在暗处被换算成一个关于“你是谁”的判断，这个判断会不会影响你、以什么方式影响你，你无从知晓，也无从申诉。
如果用中国人近代经历过的创伤记忆来解释，Anthropic 更像是给人发了一张“良民证”，而不是在你的护照上签发了一张签证。良民证是占领当局发给被统治者的身份证明，用来证明你“暂时没问题”，发放和收回的权力，全部单方面握在统治者手里，随时可能因一条你看不见的规则被收走。
护照式的国籍秩序，问题可以拿到桌面上吼；良民证式的隐蔽分类，连吼的资格都不给你。
我知道肯定有人会跳出来洗地，说国家安全考量和种族隔离不是一回事，一个关乎技术管制，一个关乎种族仇恨，动机天差地别。这话我只同意一半。
动机确实不同——没有政客能在 2026 年的国会发言里直接喊“血统纯洁”这种话了。哪怕是现在全球政坛都在右转，这也是大逆不道的话语体系。
但一滴血规则和视同出口原则，用的是同一套底层判断逻辑：不问你做了什么，只问你生而为谁；不给你辩护的余地，因为你的身份本身就是原罪证据。
我们总以为隔离制度的恶，在于它公开、羞辱、刺目。但真正高效的排斥制度，从来不需要张扬。它悄悄发生，被排斥的人甚至察觉不到自己已经被归入了另一个格子，直到某一天，贷款被拒了，请求被悄悄改写了，或者账号被直接切断了——才后知后觉地发现，原来早就有一张表，把你放在了“需要处理”的名单里。
Anthropic 选的，正是这条最高效、也最恶心人的安静之路。
四、以安全之名
Anthropic 这个名字，原本取自信息论之父克劳德·香农（Claude Shannon）；“Anthropic”本身在英文里是“人本主义”的意思，疯狂暗示这家公司要做“以人为本”的 AI。招牌产品直接叫 Claude。这整套充满理想主义光环的品牌叙事，从起名字的那一刻起，就在声情并茂地向全世界布道：我们是最讲安全、最讲对齐、最在乎全人类福祉的那家 AI 实验室。
他们甚至提出过一套叫 Constitutional AI 的训练方法：给模型发一部“宪法”，让它按一套明确写下来的所谓普世价值观去自我约束、自我修正。CEO Dario Amodei 常年在公开场合像个传教士一样大谈“AI 安全”“对齐人类价值”“负责任的扩展”，几乎把这些大词直接焊在了公司的 Logo 旁边。
这套叙事讲了太多年，讲到大家耳朵都快起茧子了，讲到几乎没人会退一步追问一句最基本的问题：所谓的安全，到底是对谁的安全？
同一家公司，一边在官方博客上慷慨陈词“我们致力于让 AI 系统对齐全人类的价值观”，一边在客户端产品里埋了一段比木马还隐蔽的代码，专门用来给“跟中国有关”的用户悄悄换标点符号。
这还不是唯一的反差。今年早些时候，Anthropic 曾致信美国国会，极其高调地指控中国同行阿里巴巴通过不正当手段“蒸馏”窃取了自家模型的能力。 这件事本身就很有戏剧性——“蒸馏”是一个在 AI 行业被广泛使用的技术手段，开源社区每天都在互相蒸馏，Anthropic 自己创立之初也没少用公开数据集训练，甚至其 Opus 4.8 模型时至今日还在 API 环境自称为 Qwen。
但当“蒸馏”的对象变成了中国公司，这件事就立刻被升级为“盗窃国家机密”级别的指控，被直接写进了一封给国会的正式信函。
Anthropic 此前曾经多次发表报告指责中国官方和企业利用 Claude 进行一些违反美国法律或其使用协议的恶意行为。但成文法与种族歧视最大的区别就在于其不应以身份进行惩罚，而应以行为进行惩罚。
如果我们将 Anthropic 的行为替换到其他领域，这个逻辑就会非常清晰：我们发现某一地区罪犯中的有色人种比例偏高，因此我们认定有色人种全员是罪犯，对他们进行更加严格的限制和监视。
换句话说，它其实并不在意你是否真的违反了它的用户协议，或用 AI 做了哪些不该做的事情。你只要能证明你是真正的，持有美国护照的美国人，那么你即便是做了这些也不会被封号。
这一逻辑恐怕在任何意识形态的现代司法区都是不允许的，它触及了现代文明某些更底层的共识。
再加上前面那道针对全球所有外籍人士——哪怕是自家核心员工——的 Fable 5 封锁令。
三件事摆在一起看，这家公司的“对齐人类价值观”，显然是想要把一些人类从“人类”这个词的定义里排除。
历史上的纽伦堡法案，正式名称叫《保护德国血统与荣誉法》。种族隔离制度最常见的自我辩护，是“保护种族纯洁”和“维护社会秩序”。今天，在科技圈，站在同一个语法位置上的词，换成了“AI 安全”。
“安全”是目前为止，人类发明出来的最好用、最廉价的道德外衣。它在很多情境下确实是重要的，但在很多情境下又是最好用的借口。
它不需要你撕破脸皮说出“我讨厌某个特定群体”，你只需要皱起眉头说一句“这一切都是为了安全”，剩下的排斥、监控、区隔、封锁，都可以顺理成章、堂而皇之地推行下去，甚至还能在推特上收获一波掌声。
更重要的是，Anthropic 不是那种被政府管制逼着改产品的受害者。它是在主动鼓励、甚至抢先于政府介入地缘政治，拿这种看似自我约束的行为当商业竞争的筹码。这不是被迫合规，是明确的主动作恶。
对一个普通用户来说，这才是整个事件中最魔幻、也最无力的地方：你可能完全不关心中美博弈，你可能连政治新闻都不看，你只是半夜坐在电脑前想用个编程工具赶个 deadline。结果你的输入被悄悄标记、悄悄改写，仅仅因为你恰好用着中国时区，恰好连了一个被他们列进黑名单的域名。
地缘政治的碾压不再需要你主动参战，它会像个尽职尽责的机器一样，主动把你算作战场的一部分。
利益不相关声明：评论尸本人自 2022 年起从未订阅过 Claude 的官方付费套餐及第三方未授权的 Claude 中转站服务，本文也不是因个人账号被封禁而怀恨在心撰写的泄愤之作。
参考文献：
[1] LegitMichel777，”Anthropic embedded spyware in Claude Code…”，Reddit r/ClaudeCode，2026-06-30。
[2] thereallo，”Claude Code Is Steganographically Marking Requests”。
[3] USHMM，”The Nuremberg Race Laws”。
[4] Wikipedia，”IBM and the Holocaust”。
[5] USHMM，”Classification System in Nazi Concentration Camps”。
[6] Wikipedia，”One-drop rule”。
[7] African American Registry，”The ‘One Drop Rule’ in America, a story”。
[8] Anthropic，”Statement on the US government directive to suspend access to Fable 5 and Mythos 5″，2026-06-12。
本文来自微信公众号：虹线，作者：评论尸