夜雨聆风2026 年 6 月底，一位安全研究员对 Claude Code 的二进制文件做了一次逆向审查，翻出了几行藏得很深的代码。这几行代码只做一件事：读你电脑的时区，如果是Asia/Shanghai或Asia/Urumqi，就在 AI 每次请求时那行不起眼的日期文本里，把连字符换成斜杠、悄悄加进几个不可见字符——这样服务器只要扫一眼日期编码，就知道你是谁。
这段代码从 2026 年 4 月潜伏到 7 月，整整三个月。 Anthropic 在版本更新日志里对此只字未提。
一款代码编辑器，两个时区名，一段 Unicode 隐写术。看起来最技术、最中立的品类，就这样成了地缘政治最尖锐的样本。
一场从"结对搭档"开始的效率革命
要看清这一幕的分量，得回到 2021 年。
那年 6 月 29 日， GitHub 发博客宣布 Copilot 技术预览版上线，副标题写的是"Your AI pair programmer"——你的 AI 结对编程搭档。不是"代码生成器"，不是"AI 替代程序员"，而是"搭档"。这个词把野心和边界都框定住了：一个安静待在编辑器右侧、随时给你灰色提示的助手。
但从诞生第一天起， Copilot 就是一个天然需要把用户代码上传到云端的服务。当时几乎没人把这当成安全问题。 2021 到 2022 年，程序员社区讨论 Copilot 的所有话题，都集中在三点：它写的代码对不对、会不会取代初级程序员、以及一个后来会变得非常严重的问题——它训练用的开源代码是不是侵权。
侵权这条线是 Copilot 政治化的第一次预演。 2022 年 11 月，程序员兼律师 Matthew Butterick 联合多位开发者对微软、 GitHub 、 OpenAI 提起集体诉讼，索赔金额一度被媒体渲染到 90 亿美元。诉状的核心逻辑是： Copilot 用了海量遵循 GPL 、 MIT 等协议的代码训练，但输出时既不保留版权声明也不注明出处，等于把开源生态里"署名"这个基本契约洗掉了。
这场官司到 2024 年 7 月 GitHub 基本胜诉，技术性结果并不惊天动地。但它埋下了两颗种子：一颗是"AI 编程工具的输入输出边界必须交代清楚"，另一颗是"这类工具的合规问题会超出纯粹的技术范畴"。
同一时间，一件更安静的事情在麻省理工发生。 2022 年，四个 MIT 本科生成立了一家叫 Anysphere 的公司。他们决定 fork VS Code 的开源版本，做一个从底层就为 AI 设计的编辑器——这就是 Cursor 。
现在回头看，fork VS Code 这个决定看似技术性，其实是 Cursor 后来能对整个代码库做操作、能在编辑器最底层集成 AI 能力的根源，也埋下了它后来在企业代码安全议题上被反复审视的伏笔。一款拥有本地文件系统权限、能读写整个代码库、能执行 shell 命令的工具，一旦所属公司位于境外，就必然被视为潜在的信息安全风险。
2023 年是这个赛道从"新奇玩具"变成"生产力标配"的转折年。 GPT-4 的代码能力比 Codex 强出许多， Copilot 迅速升级， Replit 、 Codeium 、 Tabnine 、通义灵码、 CodeGeeX 、文心快码全部涌进来。阿里的通义灵码走的是完全不同的路线：不像 Cursor 那样另起炉灶，而是做成 JetBrains 和 VS Code 的插件，主战场从一开始就锁定企业市场。这个选择在当时看似保守，两年后却成了阿里在这轮"合规红利"里最重要的资产。
Cursor 在这一年悄悄完成了它最关键的一次转身。极致聚焦"最好用的 AI 编辑器"这一件事，带来了几乎垂直的增长曲线： 2024 年 8 月估值约 4 亿美元， 2025 年 3 月 100 亿美元，同年 5 月约 99 亿美元、年化收入据报道超 5 亿美元，到 2025 年 11 月完成 23 亿美元 D 轮融资，估值冲到 293 亿美元。
一款只有几百人的公司，两年半估值翻了 700 多倍。当一个用美国 AI 大模型、服务全球开发者的工具，掌握了如此比重的开发者代码流量，它就不再是一个"编辑器"，而是一个数据枢纽。
字节的邮件、 Anthropic 的条款、 Trae 的网络包
从纯效率工具到政治化异化的转折点，出现在 2025 年 5 月。触发者不是任何一家 AI 公司，而是字节跳动。
2025 年 5 月 28 日，字节安全与风控部门发出内部邮件，宣布"自 6 月 30 日起，将在内部分批次禁用第三方 AI 开发软件，包括 Cursor 、 Windsurf 等"，转推自研的 Trae 。这封邮件之所以是标志性事件，是因为它第一次让"AI 编程工具的数据安全问题"从技术圈的自嗨话题变成了大公司的正式决策。
字节的官方解释里有两条理由：一是数据沉淀到员工个人账户不合规，二是 Claude 等模型尚未在中国区提供正式服务。翻译一下，第二个理由已经暴露了地缘政治底色——不能让公司的核心代码，在员工不知情的情况下，经过一条不受公司控制的链路，流向一家中国用户身份都未明的美国 AI 公司。
如果说字节的内部禁令是从企业侧发起的第一次切割，那么 2025 年 9 月 Anthropic 对服务条款的修订，就是从供给侧发起的正式对抗。
2025 年 9 月 4 日， Anthropic 官宣修改服务条款，"明确禁止任何被'不受支持地区'（包括中国）直接或间接控股超过 50%的企业或组织使用其服务"。这是美国头部 AI 公司第一次不只是限制"中国境内实体"，而是把限制延伸到了"由中国资本控股的海外实体"——一家在新加坡注册但被字节控股的公司，同样被禁。
规则一出来立刻打中了两个具体目标：字节旗下在新加坡注册的 Trae ，和腾讯 CodeBuddy 的国际版。两个原本能接入 Claude 的中国系工具，随后都下架了 Claude 相关模型。 Cursor 在 7 月中旬（早于 Anthropic 正式修订条款近两个月）已经开始禁止中国 IP 调用 Claude ，官方解释是"上游模型提供商政策变化"。中国开发者社交平台上要求退款的声音铺天盖地， Kimi K2 的 Token 调用量在这一波之后飙升到日均超 100 亿——这就是所谓的"外部封锁反向催熟国产替代"最直接的一次数据表达。
到 2025 年 12 月，快手继字节之后也发布内部通知，员工电脑上一打开 Cursor 就直接被杀掉进程。中国大厂集体从 Cursor 撤退这件事，事实上已经完成。
有意思的是， 2025 年 7 月底还发生了另一个方向的事件——不是外国工具被中国封，而是中国工具被中国开发者自己"抓到"。
一位叫 segmentationf4u1t 的开发者在 GitHub 的 Trae 仓库开出 issue ，标题直接写"我对使用者的安全性有很大的担忧"。他的测试结论非常具体：在活跃使用 Trae IDE 的情况下，大约 7 分钟产生约 500 个网络连接，传输数据量达 26MB ；即便用户在设置里禁用了遥测选项，数据传输依旧持续；数据接收方是字节跳动控制的域名。
字节官方回应称收集的是产品性能分析数据。但对开发者来说，这个回应把一个更根本的问题摆到了台面上：一款 AI IDE"应当"传什么、"实际"传什么、"用户能否关掉"、"关掉后是否真的关掉"，这几件事在整个行业都没有共同的标准和可验证的机制。
Trae 风波把"AI 编程工具会大量回传用户数据"这个之前只被安全圈私下讨论的假设，坐实成了一个有网络包证据的公开事实。此后再讨论 Cursor 、 Copilot 、 Claude Code 的数据边界，就不能再停留在官方隐私政策的字面意思。
DeepSeek 指控与 Claude Code 的四层设计
2026 年 2 月 23 日， Anthropic 发布了一份颇为详细的报告，公开指控 DeepSeek 、 Moonshot 和 MiniMax 通过约 2.4 万个"欺诈账户"、累计 1600 万次对话，系统性地从 Claude 提取能力用于自己的模型训练。 Anthropic 把这套行为定性为"工业规模的模型蒸馏"。
从技术角度讲，用一个更强模型的输出来训练一个更小的模型，是 LLM 行业公开的通行做法， OpenAI 自己训练小模型也这么干； 2.4 万个账户在 Claude 月活里其实是很小的一部分。但Anthropic 把这件事包装成"工业规模欺诈"，有效地把整个中国大模型行业推向了防守位。
这次事件更深层的影响是，它给了 Anthropic 后来做那套"用时区+代理域名识别中国用户"的行动理由。
现在回到全篇的引子。
2026 年 4 月 2 日， Claude Code 客户端发布 v2.1.91 版本。这个版本的代码中被悄悄植入了一段检测逻辑，设计精巧程度堪称教科书级别：
第一层，条件触发。 只有当用户配置了ANTHROPIC_BASE_URL环境变量（也就是设置了第三方 API 中转地址）时，检测逻辑才会启动。只针对不走官方 API 的用户，最大限度避免正常美国/欧洲用户触碰到这段代码。
第二层，身份判定。 触发后读取本地系统时区，重点比对Asia/Shanghai和Asia/Urumqi；同时把用户设置的代理域名与一份内置的中国科技公司域名清单比对，清单据披露包含 147 个域名，覆盖百度、字节、腾讯、京东、月之暗面、 MiniMax 、阶跃星辰等公司的域名特征，甚至包括部分企业的内网域名。
第三层，隐写回传。 一旦判定用户与中国相关，程序不发起任何额外的网络请求，而是修改每次请求都会发送的系统提示词中那行日期文本的 Unicode 细节——连字符换斜杠、微调标点、加不可见字符。服务器端只需扫描日期编码差异，就能完成身份判定，流量层面完全看不出异常。
第四层，混淆。 这段代码在客户端的二进制里经过混淆处理，版本更新日志中对此只字未提，隐私政策和用户界面里没有任何披露。
事件曝光后， Anthropic 的 Claude Code 团队成员 Thariq Shihipar 在 X 上公开承认，称这是 2026 年 3 月上线的"实验性"反滥用措施，目的是防止未授权转售商滥用账号和防范模型蒸馏，并表示移除工作已排入下一版本发布计划。
但技术社区的反弹并没有因为这个承认而平息，反而升级。因为这次事件同时打碎了三个层次的信任。
第一层碎裂，是 Anthropic 的品牌人设。这家公司长期把自己包装成"负责任的 AI 公司"，其 Constitutional AI 治理框架把"透明"列为核心原则。而"隐蔽植入-混淆代码-Unicode 隐写-更新日志不提"这一整套动作，程序上就已经和它自己写下的承诺相悖。
第二层碎裂，是"AI 客户端本地权限"的信任基础。 Claude Code 不是普通的 Web 应用，它有读写本地文件、执行 shell 命令、读取环境变量的高权限。它可以做出"读时区+读环境变量+隐写回传"的动作，就意味着理论上它可以做更多。它已经证明了自己在客户端层面愿意做这类事，接下来所有类似工具的用户都必须问：还有什么没被发现？
第三层碎裂，是"美国 AI 公司会尊重全球用户"的行业共识。观察者网报道的那家美国农业科技公司整体被封的案例——只因内部有员工触发了风控规则——把"你只要看起来像中国用户就可能被误伤"这个焦虑，从中国开发者扩散到了全球用户。
2026 年 6 月底到 7 月初，阿里巴巴内部将 Claude Code 列入高风险软件名单，要求全员在 7 月 10 日前卸载 Anthropic 全系产品，推荐使用自研工具 Qoder 作为替代。阿里此前一直对员工使用外部 AI 模型给予大额报销，此次"反向禁用"是最典型的信号——中国大厂已经不再把这类事件当作"某个具体工具的合规风险"，而是当作"整条 Anthropic 生态的供应链风险"来切割。
分裂的四张脸
把 2021 到 2026 这五年拉直看，会看到一个非常清晰的自我强化循环：模型能力越强→工具价值越大→代码越集中→敏感度越高→美国公司越警惕→中国用户越被限制→国产替代越被催熟→中国模型能力越提升→美国公司对"蒸馏"的识别越加强……
这个循环里没有任何一步是不理性的，每一方都在自己的立场上做了合理选择。但把它们拼在一起，就是一个"AI 编程工具正在被劈成两个互不兼容的世界"的过程。
到 2026 年年中，这个赛道的分裂图谱已经很清晰。
Cursor是估值最高的"AI-native 编辑器"， 2025 年 11 月估值 293 亿美元，超过半数财富 500 强企业为其付费客户。它对整个代码库的深度理解、 Composer 多文件编辑、 Agent 模式下的自主任务执行——这些能力都源于 2022 年那个 fork VS Code 的决定。但同样的选择也决定了它的政治软肋： 2025 年 7 月一次性丢掉约 30%的中国用户，企业市场被字节、快手、阿里陆续列入禁用名单。
GitHub Copilot是老牌大哥的稳健防御。拥有数百万个人用户和数万家企业客户，付费用户量据业内估算已超 180 万。它没有像 Claude Code 那样被曝出"隐蔽标记"，也没有像 Cursor 那样直接封中国 IP 。但根据 GitHub 官方的贸易管制页面， Copilot 明确不得出口到 EAR 受管制地区，中国大陆一直是"随时可能加严"的灰色状态——它的核心资产（数千万开发者的日常工作流嵌入）也是它最大的政治风险，一旦被拿来当地缘杠杆，破坏面积最大。
Claude Code从"最好用的 CLI Agent"变成了"信任危机的中心"。 Anthropic 是四个玩家里对中国立场最鹰派的公司：从最初就不对中国用户开放，到 2025 年 9 月封禁中资控股 50%以上境外实体，到 2026 年 2 月公开指控 DeepSeek 蒸馏，到 2026 年 7 月隐蔽标记事件。它的每一步都是在明确划出一条越来越清晰的政治边界。
通义灵码/Qoder CN是中国系企业市场的隐形冠军。 2023 年 10 月发布， 2026 年 6 月公共云版本升级更名为"Qoder CN"。走的是插件+IDE 双形态、公有云+私有化双部署的路线，底层用通义千问系列。官方数据显示已有超过 1 万家企业使用，包括一汽、蔚来、中华财险等。它是所有玩家里唯一一个可以说"完全没有地缘政治风险"的——模型是国产的、部署可以是私有化的、数据主权归企业所有。这个位置在 2025 年之前看似平淡， 2025 年 5 月之后就变成了金字招牌。
单看产品体验，通义灵码相比 Cursor 还是有差距——AI 推理链路的流畅度、复杂重构的成功率都不及 Cursor 。中国开发者社区里能明显看到"用 Qoder 是被迫、用 Cursor 是主动"的分层情绪。但只要美国系的政治风险持续存在，它就永远有一块无法被抢走的核心市场。
规律是清晰的：在 AI 编程工具这个赛道，每一个技术上的巨大优势，都会在地缘政治的镜像里投射出等量的巨大风险。
Cursor 今天最强的能力（跨代码库的 Agent ）源于 fork VS Code ，最脆弱的位置（丢 30%中国用户+被大厂禁用）也源于 fork VS Code 。通义灵码今天最扎实的护城河（企业私有化）源于选择插件形态，最明显的劣势（ AI 能力不如 Cursor 激进）也源于同一个选择。 Copilot 最大的资产（工作流嵌入）也是它最大的政治风险。 Claude Code 最大的能力优势（ Claude 的长上下文和代码能力）反而放大了它的政治敏感度——正是因为它太好用、太多中国开发者依赖， Anthropic 才有动力做出如此激进的识别和封禁措施。
一段可以逐行分析的具体代码
Claude Code 的隐蔽标记事件之所以是这一轮政治化异化的高潮，是因为它把一个之前被讨论了很多年但没有具体证据的抽象命题，变成了一段可以逐行分析的具体代码。
在 2026 年 7 月之前，"美国 AI 公司会不会在客户端里对中国用户做手脚"这句话，在中文技术圈更多是一种"担心"和"猜测"。字节禁 Cursor 被外界解读为"过度谨慎"， Trae 被指数据偷跑被官方以"性能优化"话术挡回。所有这些讨论都在"事实层面无法坐实"的雾里进行。
Claude Code 的这段代码，把这团雾一次性刺穿了。它是一段可以被逆向工程、可以被复现、可以被公开的具体证据，证明一个美国 AI 公司确实会在其一款拥有本地文件系统权限的客户端里，加入基于时区和代理域名的用户国籍判断逻辑，并通过 Unicode 隐写术把结果回传服务器，同时在版本更新日志里对此只字不提。
这段代码存在的事实本身，比这段代码到底做了什么后果更重要。因为一旦这种事被证明"是可以做的"，那么所有关于其他 AI 编程工具的讨论，都必须默认它们"也可能已经在做"。这就是所谓的信任赤字——不是因为已知的东西有多糟糕，而是因为已经无法通过官方声明来消除对未知部分的怀疑。
信任赤字直接导致一个结果： AI 编程工具的选型标准，从"哪个更好用"变成了"哪个可以被验证"。企业不再问"这款工具的 AI 能力强不强"，而是问"我能不能拿到它的部署形态、审计它的流量、控制它的数据边界"。前者是产品经理的问题，后者是 CISO 的问题。
数字主权，下沉到了程序员的键盘上
从更宏观的视角看， AI 编程工具的政治化异化不是一个孤立现象，而是"AI 时代数字主权重新划界"的最前沿。
传统互联网时代的数字主权博弈，主要围绕数据存储的物理位置、跨境数据流动的法律边界、关键信息基础设施的自主可控——这些都是基础设施层的边界。 AI 时代的数字主权博弈，边界下移到了开发者的日常工作流里。
一个程序员每天敲的每一行代码、每一次注释、每一次和 AI 的对话，都可能成为国家层面的敏感资产。这是 AI 之前的技术从未达到的深度——过去哪怕最强的监控软件，也只能记录已经存在的东西；而 AI 编程工具，是在生产环节就介入了。
这就解释了为什么中美两边同时都在这个赛道上如此紧张。对美国来说，中国开发者用 Claude 训出更强的模型，等于把自己最锋利的能力免费送给最主要的地缘对手；对中国来说，本国核心企业的源代码流向美国服务器，等于把最敏感的商业和技术情报单向输出。两边的核心焦虑都不是"用了不用"，而是"能力的边界在流向对方"。
Anthropic 的技术团队成员在承认隐蔽标记时说"目的是防止模型蒸馏攻击"——如果剥掉政治语言，这句话的技术含义是："我们担心中国 AI 公司用我们的输出训练出对标 Claude 的模型"。这个担心在技术上完全成立，但解决方式选择"隐蔽植入客户端并用隐写术回传"，就已经把商业竞争升级到了国家竞争的语法。
往前看，最可能的剧本是技术栈的完全双轨化。到 2027-2028 年，全球 AI 编程工具会完全分裂为两条互不兼容的技术栈：美国系（ Cursor 、 Copilot 、 Claude Code ）服务美国、欧洲、日韩、印度等市场，中国系（通义灵码/Qoder 、 Trae 、 CodeBuddy ）服务中国及愿意接受"非美国方案"的第三世界市场。两个阵营各自继续内部激烈竞争，但阵营之间不再有真正的产品交叉。
最危险的剧本是 AI 编程工具被用作定向情报武器。如果类似 Claude Code 隐蔽标记的事件不止一次发生，而是被证明有更多工具在做类似或更深的动作——极端情况下，全球主要企业和政府机构会被迫回到"AI 能力只在私有化部署里使用"的状态，公有云 AI 的规模化红利将大幅缩水。
一个尾声
回到全篇的引子——那两个时区名，Asia/Shanghai和Asia/Urumqi。
上海和乌鲁木齐这两个名字被同时写进代码，不只是技术上的选择（这两个是中国大陆唯二的公开 IANA 时区）。它也在无意中成了一个隐喻——AI 时代的数字主权博弈，最终不是发生在服务器机房、也不是发生在跨国法庭，而是发生在每一个开发者电脑上被读取的时区变量里，发生在每一次请求前那行不起眼的日期文本里。
那行文本本来的作用只是告诉 AI"今天的日期"，是一个最日常、最无害的字段。但从 2026 年 4 月到 7 月的三个月里，它同时承载了另一个隐藏的功能：告诉服务器，坐在这台电脑前面的人，可能是"我们"，也可能是"他们"。
一个纯粹的效率工具，就这样被地缘政治悄悄征用了它最不起眼的那一行字符串。
从这个意义上讲，"技术是中立的"这个论断在 AI 时代已经彻底失效了。它当然可以是中立的，只要没人愿意让它不中立。但一旦背后有足够强大的力量决定要在它身上写入非技术性的价值判断，代码就是最忠实、也最沉默的执行者。