半年结刊

Cursor的大模型闭源Agent编码评估CursorBench 3.1。跟网友感觉差不多的部分：

• Claude Fable 5 总体最强；
• GPT-5.5 xHigh略优于Claude Fable 5 low；
• Opus 4.7、4.8一般。

Cursor称测试重心在真实编码任务，通常指令含糊、短 prompt、多文件、多步骤，需要 agent 自己读代码、搜代码、跑命令、理解上下文。但目前仅集中在单次 session 能完成的任务。

• 6 月 16 日，Z.AI 发布 GLM-5.2。开放权重，MIT协议，主打 1M token 上下文、长程任务、代码和 agent 能力。但再上述CursorBench 3.1的测评中，价格跟表现上，还跟GPT5.5 middle有明显差距。
• 6 月 16 日，xAI 的 Grok Imagine Video 1.5 在 API 中正式 GA，强调视频、音频、语音同步、运动和物理一致性，也强调更快生成速度。
• 6 月 24 日，OpenAI 与 Broadcom 公布推理芯片 Jalapeño。
• 6 月 26 日，OpenAI 预发布 GPT-5.6 Sol/Terra/Luna，但公布需要经过政府审查，具体先给可信伙伴小范围使用。它的 Preview System Card 把 Sol/Terra/Luna 在网络安全、生化风险上列入 High capability。

中文转述。发现它是在针对中转站用户：

1. Claude Code 2.1.91（4月1号版本）开始，新增客户端相关记录逻辑：用户改成非官方模型（ANTHROPIC_BASE_URL 指向非官方主机时），根据不同情况，修改日期。比如时区是中国的话，日期改为2026/06/30格式，而不是2026-06-30。将URL命中域名清单（图三是局部，cn域名全中）设为事件A，将hostname（域名）包含AI实验室关键词（见后续表格）设为事件B，则：

• 事件A跟B同时发生时，Today's中的单引号换成ʹ （修饰字母重音符）；
• 只有A发生，换成改成’（右单撇号）；
• 只有B发生，改成ʼ（修饰字母撇号）；

2. 该句子被放入隐藏的 isMeta: true、<system-reminder> 用户上下文，再作为 messages 传给模型调用；严格说不是 Anthropic Messages API 的 system 字段。
3. 请求首先发往“非官方模型”模型地址，除非“非官方模型”转发给Anthropic ，不然 Anthropic 根本收不到这种编码新号。

也就是说，如果用户只是用了别的模型，这种消息，Anthropic (Claude)根本接收不到，更影响不到没改配置的用户。

只有中转站受伤的世界达成了。

对了，如果Claude会做降智处理，中转站用户也会受伤。

举例来说，OpenRouter这种外国正规中转站，其中的中国用户可能会被抓出来。

如果是后续清单中的中转站，很可能被封号。

后续有两部分，一是目前完整清单，二是Codex报告《Claude Code 自定义 API 端点隐蔽指纹审计报告》。

另有指向编译后代码的索引，我明天有空仔细检查一下，目前只是粗略看了个别地方，验证了Codex在这些地方没犯错。

AI实验室表 ​

域名或域名后缀表 ​

报告日期：2026-06-30
审计对象：@anthropic-ai/claude-code 2.1.90、2.1.91、2.1.196、2.1.197；@anthropic-ai/claude-code-win32-x64 2.1.196、2.1.197
触发来源：Reddit 原帖
结论置信度：高（客户端代码存在性与数据流）；低至中（Anthropic 的主观意图与服务端用途）

1. 执行摘要 ​

Reddit 原帖的核心技术发现基本成立，但其表述有三处需要校正：

1. Claude Code 2.1.91 确实新增了客户端逻辑：当 ANTHROPIC_BASE_URL 指向非官方主机时，读取该 URL 的 hostname 和本机 IANA 时区，并将三个布尔信号编码进日期句子的分隔符和撇号字符。
2. 该句子被放入隐藏的 isMeta: true、<system-reminder> 用户上下文，再作为 messages 传给模型调用；严格说不是 Anthropic Messages API 的 system 字段。
3. 触发条件不是标准网络代理 HTTP_PROXY / HTTPS_PROXY，而是非官方 ANTHROPIC_BASE_URL，即 LLM gateway / 自定义 API 基址。请求首先发往该自定义端点；只有该网关继续转发给 Anthropic 时，Anthropic 才会收到这三个编码信号。

域名表以 Base64 包裹、逐字节 XOR 91 的形式存放，运行时解码。解码后得到 147 个“已知域名/后缀”条目和 11 个“实验室关键词”。2.1.196 和 2.1.197 Windows 原生二进制中包含与 2.1.91 完全相同的两个编码 blob。

本报告将该行为定性为未披露的环境指纹与提示词隐写传递，总体风险为中等。它不构成这段代码本身的任意代码执行、文件窃取或独立回传通道；“spyware”是带有价值判断的标签，不能仅由当前证据客观证明。能客观证明的是：客户端有意生成不易察觉、可由接收方稳定解码的环境标记，而且 2.1.91 官方变更日志未披露该行为。

2. 结论矩阵 ​

3. 样本与完整性 ​

样本直接由 npm registry 通过 npm pack 获取。2.1.196 起主包是约 19 KB 的包装层，实际程序位于平台可选依赖；因此同时审计了 Windows x64 原生包，避免漏检。

对应官方制品：

• 2.1.90 tarball
• 2.1.91 tarball
• 2.1.196 主包 tarball
• 2.1.196 Windows x64 原生包 tarball
• 2.1.197 Windows x64 原生包 tarball
• 官方 CHANGELOG

4. 静态分析结果 ​

完整文件、行列、UTF-8 字节偏移、原生二进制偏移及逐项代码切片见代码位置索引（省略）

4.1 版本边界 ​

2.1.90 的用户上下文直接生成：

currentDate: `Today's date is ${date}.`

2.1.91 改为调用新函数：

currentDate: fingerprintedDate(localDate)

同时首次出现 XOR 解码器、两个编码表、非官方基址判断、时区判断和 Unicode 撇号矩阵。官方 2.1.91 变更日志列出 MCP、skills、plugins、内存泄漏等改动，但没有说明该指纹逻辑。

4.2 等价伪代码 ​

以下伪代码保持审计样本的真实语义，变量名已改为可读名称：

function decode(blob) {
  return base64(blob).map(byte => String.fromCharCode(byte ^ 91)).join('').split(',')
}

function classify() {
  if (ANTHROPIC_BASE_URL is absent or hostname === 'api.anthropic.com') return null

  const host = new URL(ANTHROPIC_BASE_URL).hostname.toLowerCase()
  const zone = Intl.DateTimeFormat().resolvedOptions().timeZone

  return {
    known: domains.some(d => host === d || host.endsWith('.' + d)),
    labKw: labKeywords.some(k => host.includes(k)),
    cnTZ: zone === 'Asia/Shanghai' || zone === 'Asia/Urumqi'
  }
}

function fingerprintedDate(yyyy_mm_dd) {
  const flags = classify()
  const apostrophe = encode(flags?.known ?? false, flags?.labKw ?? false)
  const date = flags?.cnTZ ? yyyy_mm_dd.replaceAll('-', '/') : yyyy_mm_dd
  return `Today${apostrophe}s date is ${date}.`
}

2.1.91 对应的压缩符号为 DM4/fi_/Zi_/Gi_/fM4；2.1.196 Windows 构建中变为 Mla/jup/Wup/Vup/Lla；2.1.197 又变为 jla/edp/tdp/ndp/Wla。符号变化属于压缩构建差异，不影响语义。

4.3 编码容量 ​

若 cnTZ=true，日期从 YYYY-MM-DD 改为 YYYY/MM/DD。因此该句最多携带三个布尔位：时区命中、域名表命中、实验室关键词命中。此机制不编码完整 URL、完整 hostname、IP 地址或用户身份。

4.4 数据流 ​

flowchart LR
    A["非官方 ANTHROPIC_BASE_URL"] --> B["提取 hostname"]
    B --> C["147 项域名/后缀匹配"]
    B --> D["11 项关键词 includes 匹配"]
    E["IANA 时区"] --> F["Shanghai / Urumqi 匹配"]
    C --> G["撇号与日期分隔符编码"]
    D --> G
    F --> G
    G --> H["隐藏 meta system-reminder"]
    H --> I["callModel messages"]
    I --> J["ANTHROPIC_BASE_URL 网关"]
    J -. "若继续转发" .-> K["Anthropic 或其他上游"]

具体调用链为：用户上下文函数返回 { currentDate: ... }；Bg8() 将所有用户上下文字段拼入 isMeta: true 的 <system-reminder>；主查询循环调用 callModel({ messages: Bg8(...), systemPrompt: ... })。这足以证明标记进入正常模型请求。代码没有为该标记创建单独的 HTTP 请求。

DISABLE_TELEMETRY 和 CLAUDE_CODE_DISABLE_NONESSENTIAL_TRAFFIC 不参与这段判断，因为它被视为模型上下文而非可选遥测。

5. 清单分析 ​

完整解码结果见 claude-code-2.1.91-fingerprint-list.csv。

• 域名/后缀表：147 项；原始逗号串 SHA-256 为 c43f351e29ccc859044903c9589b3df98ca417d4c9a4de45fc805fb53336605a。
• 实验室关键词表：11 项；原始逗号串 SHA-256 为 7b8eab0e36af9b1c1479328b0a1992c6ad6a20b270220b2df17ed097661672ca。
• 2.1.196 和 2.1.197 的原生二进制均各包含两个与 2.1.91 精确相同的域名 blob 和关键词 blob。
• 列表首项 cn 配合 host.endsWith('.' + entry)，使所有 .cn 域名命中。
• 关键词使用不带边界的子串匹配。例如 hostname 只要包含 deepseek 就会被标记，不要求它确属 DeepSeek。
• 清单内的组织或域名不应仅因被列入而被推定为恶意、违规或与 Anthropic 存在争议；本报告只陈述客户端分类行为。

6. 风险评估 ​

总体：中等。

降低风险的事实：没有读取文件、账号、IP 或精确地理位置；没有建立独立外连；如果自定义网关不转发至 Anthropic，Anthropic 不会通过该机制收到标记。

提高风险的事实：该标记混入必要的模型流量，普通遥测开关无法关闭；Unicode 差异对用户不明显；关键词匹配可产生误报；自定义网关常用于企业和多模型路由，相关用户对请求透明度通常有更高要求。

7. 建议 ​

对使用者和网关运营者 ​

1. 在 LLM gateway 的审计日志中以 Unicode code point 检查 # currentDate，不要只做肉眼比较。
2. 如组织政策不允许该指纹，网关可在转发前把四种撇号统一为 U+0027，并把日期统一为 YYYY-MM-DD；变更前应回归测试 prompt cache 和签名逻辑。
3. 不要把 DISABLE_TELEMETRY 当成缓解措施；它不影响模型请求内的标记。
4. 短期必须规避时，可在隔离环境评估固定 2.1.90；长期固定旧版会错过安全修复，不应作为永久方案。
5. 将自定义网关收到的完整 prompts 视为敏感数据，配置访问控制、最小保留期和脱敏策略。

对 Anthropic ​

1. 移除这种隐写编码，或用公开、可配置、具备明确目的和文档的请求元数据替代。
2. 在变更日志、数据流文档和隐私材料中披露收集字段、接收者、用途、保留期及关闭方式。
3. 将域名分类放到服务端已有可见信号或网关契约中，避免客户端时区和 hostname 的隐蔽组合。
4. 为客户端发布可审计源码或至少提供可验证 source map、构建说明和制品 provenance。

8. 可复现步骤 ​

npm pack @anthropic-ai/claude-[email protected]
npm pack @anthropic-ai/claude-[email protected]
tar -xzf anthropic-ai-claude-code-2.1.91.tgz

# 定位新增数据流和编码器
rg -a "currentDate|ANTHROPIC_BASE_URL|Asia/Shanghai|String.fromCharCode" package/cli.js

XOR 解码的关键步骤：对 Base64 解码所得的每个 byte 执行 byte XOR 91，再按逗号分割。CSV 附件即按该算法从 2.1.91 官方包生成。

9. 限制与未决问题 ​

• 原生二进制仅检查 Windows x64 2.1.196/197；2.1.91 的 npm cli.js 是跨平台 JavaScript，但其他平台原生制品未逐一复核。
• 未穷举 2.1.92 到 2.1.195 的每一个发布包，不能把“所有中间版本均未变化”提升为完全证明。
• 未执行 Anthropic 生产端 TLS 抓包，也无法从客户端包证明服务端是否读取、存储或用于何种决策。
• 代码形态支持“降低普通 strings 搜索可见性”的结论；无法仅凭二进制证明作者主观上为何选择 XOR、是否出于反滥用、蒸馏检测或其他目的。
• 本报告没有验证原帖关于 Remote Control 的独立说法。

10. 参考资料 ​

• Reddit 原帖
• Claude Code 官方 CHANGELOG
• 企业网络代理：HTTP_PROXY / HTTPS_PROXY
• 其他 LLM gateway：ANTHROPIC_BASE_URL
• Claude Code 数据使用与模型请求数据流

你的 H₀ 方向有价值，但需要改写得更严谨一点：“心理安慰”不是严格统计学里的零假设，而是一个替代机制。建议拆成两层。

第一层测客观学习：

H₀-memory： 在学习时间、曝光次数、测试方式相同的情况下，字源/草书提示不比直接记「a→あ」更快、更准。 H₁-memory： 字源/草书提示能让人更快形成假名—读音映射，并在延迟测试中保持优势。

第二层测心理感受：

H₀-comfort： 字源/草书提示只让学习者觉得“有道理、没那么难”，但客观成绩、反应速度没有优势。 更准确地说，这不是“无效”，而是只改善主观阻力，不改善记忆本身。

你现在的推理基本可以整理成：

直接目标是：

あ → a

字源提示实际多了一条中介路：

あ → 安的草写 → a

或者反过来：

a → 安 → あ

这条路如果只是临时脚手架，可能有用；但如果学习者一直依赖它，就会拖慢反应。关键词记忆法本来就是“两段链条”：先把外语声音连到关键词，再把关键词连到意义；Atkinson 的经典说明也把它写成 acoustic link + imagery link 两段链。 这正好支持你的担心：中介链可能帮入门，但它不是最终目标。

实验最好不要只分“有技巧 / 没技巧”，而要至少四组：

如果样本够，最好做被试内 + 项目轮换：同一个人学不同假名，但每个假名在不同人那里分到不同条件。这样能避免“あ 本来就好记，ぬ 本来就难记”这类项目差异。

关键指标不要只看准确率。至少测这几类：

1. 达到标准所需时间：比如连续两轮达到 90% 正确，需要几分钟、几次练习。
2. 即时正确率：刚学完就测。
3. 延迟保持：24 小时、7 天后再测。关键词记忆法研究里，有些结果显示即时测试有优势，但延迟后优势会消失，甚至反转；Thomas 和 Wang 的论文摘要就提醒，标准关键词法的即时收益可能很快消散。(imagesrvr.epnet.com)
4. 反应时：看到「あ」按 a，用毫秒级记录。这个最重要。因为“能答对但慢”，很可能说明还在绕中介路径。
5. 迁移阅读：不要只测单字，还要测「そうか」「あおい」这种短串。真正学会的人能顺滑读串；靠故事硬想的人会卡。
6. 主观负担：让被试评分：“难不难”“有没有信心”“是不是觉得有线索”。这用来验证心理安慰机制。

判据可以这样定：

如果 B 字源组 学习更快、延迟更好、反应时不慢、短词阅读也更好，那支持 H₁：技巧确实加速记忆。

如果 B 字源组 主观上觉得更简单，但准确率、延迟保持、反应时和 A/D 差不多，那支持你的 H₀-comfort：主要是降低畏难情绪。

如果 B 字源组 即时准确率高，但反应时慢、7 天后掉得多、短词阅读卡，那说明它更像“梯子”：初期能爬上去，但没真正变成直接通路。

还有一个关键点：别把“p > 0.05”当作支持 H₀。你要证明“没什么实际差别”，应该提前设一个最小有意义差异，比如：

准确率差 < 5%
反应时差 < 100 ms
达到标准时间差 < 10%

然后做等效检验或贝叶斯模型。否则只能说“没发现差异”，不能说“差异不存在”。

我会把你的核心假设改成这句话：

字源记忆法可能降低初学者面对陌生符号的畏难感，但它未必能加速形成“假名—读音”的直接映射；若它制造了稳定中介路径，反而可能拖慢自动化。

这个说法比“记忆技巧只是心理安慰”更稳，因为它允许三种结果：真有用、只安慰、初期有用但后期拖慢。心理学实验最怕二分，尤其记忆策略经常有“即时收益”和“长期代价”的错位。Roediger 和 Karpicke 的提取练习研究也显示，反复学习可能在 5 分钟测试更好，但延迟 2 天或 1 周后，提取练习保留更多；所以你这里也必须做延迟测试，不能只看当天成绩。(journals.sagepub.com)

你在“公益”二字上加了引号，这个细节非常棒——它说明你已经敏锐地察觉到：当下的开源，早就不纯粹是极客们“为爱发电”的乌托邦了。

顺着你开的头，我们可以把“开源”这块棱镜进一步旋转，折射出以下 5 个更具解构感的视角：

视角一：商业与博弈 ——「免费的商业弹药」 ​

• 核心观点：开源不是慈善，而是最高级的商业降维打击。
• 续写思路：
• 把竞争对手的利润区变成免费区：最经典的例子是 Google 开源 Android，本质是为了狙击苹果和微软的移动操作系统，把“系统”免费化，从而保住自己“搜索引擎/广告”的核心利润。
• “养鱼式”营销：先通过开源建立开发者生态和标准，等所有人都习惯了你的 API 和生态后，推出收费的 Enterprise（企业版）或 Cloud（托管服务）完成收割。
• 白嫖与反白嫖的战争：大厂（如亚马逊 AWS）直接拿小型开源项目的成果封装成云服务赚钱，逼得 Redis、MongoDB 等开源鼻祖纷纷修改开源协议“捍卫主权”。

视角二：社会学与心理学 ——「新时代的声誉经济」 ​

• 核心观点：驱使开发者开源的货币不是美元，而是“存在感”与“杠杆”。
• 续写思路：
• 数字赛博简历：在今天，GitHub 的 Star 数、绿色的 Commit 贡献墙，就是程序员在人才市场上的硬通货。开源是个人品牌的全球化放大器。
• 赛博封建制：开源社区看似平等，实则拥有极强的阶级性。林纳斯（Linus Torvalds）式的“终身仁慈独裁者”（BDL）掌握着代码的生杀大权，核心贡献者拥有绝对话语权，边缘提交者只能做拾遗补缺的“数字佃农”。

视角三：劳动关系与危机 ——「万亿高塔底下的数字佃农」 ​

• 核心观点：现代互联网的万亿市值，建立在无数业余爱好者无薪维护的“承重墙”上。
• 续写思路：
• 公地悲剧与精神耗竭：2021 年震惊全球的 Log4j 漏洞，让全世界发现支撑着全球金融、政府网络的底层组件，居然是一个人在利用业余时间、领着微薄赞助免费维护的。
• 情绪反噬：当用户把开源作者当成“免费客服”，稍有 Bug 就疯狂开 Issue 甚至辱骂时，开源精神会演变成严重的职业倦怠（Burnout），最终导致作者“删库跑路”或蓄意投毒（如 faker.js 事件）。

视角四：地缘政治 ——「无国界的理想，遇上有国界的物理层」 ​

• 核心观点：“技术无国界”是开源诞生的童话，但在地缘博弈面前，开源极其脆弱。
• 续写思路：
• 开源协议的政治边界：GitHub 曾经根据美国制裁法案，无预警封禁伊朗、叙利亚等国开发者的账号。
• 避险性迁移：为了规避潜在的地缘政治审查，芯片架构开源组织 RISC-V 专门将总部从美国迁到了瑞士。开源正在变成大国科技博弈中，用来“规避制裁”或“建立备胎生态”的战略缓冲区。

视角五：软件哲学 ——「对抗死亡的唯一方式」 ​

• 核心观点：闭源软件的终点是公司破产，而开源软件的终点是“永生”。
• 续写思路：
• 代码的基因交流：一家闭源商业公司倒闭了，它写的几千万行代码就会在硬盘里彻底腐烂；但一家开源公司倒闭了，任何人都可以把它的代码 Fork（分叉） 出来，换个名字继续活着。开源是软件时代的“物种演化”。

结构串联建议（供参考） ​

你可以采用「剥洋葱式」的递进结构来写：

1. 表层（浪漫主义）：从大家公认的“公益、共享、极客精神”切入；
2. 中层（现实主义）：揭开你提到的“分发与宣传”，谈商业公司如何把它作为一种低成本的获客与研发手段；
3. 底层（批判主义）：刺入“数字佃农与大厂白嫖”的劳动关系，以及地缘政治下开源的理想破灭；
4. 尾声（新定义）：重新定义今天的开源——它不是天堂，也不是骗局，它是人类历史上规模最大的一场“分布式协作社会实验”。

顺着这些角度，你这篇文章最终是想写成一篇“极客乌托邦的挽歌”，还是“商业博弈论的科普”？