你每次和一个 AI 编码工具开新会话，它的 system prompt 里几乎都有这么一句：Today's date is 2026-06-30。就是给模型报个今天几号，再普通不过。
但如果告诉你，有人能把一个隐形的标记，就藏在这句话里------藏在「日期的写法」和「那个撇号」里，你看不出任何异样，可能连模型自己都读不出来，可服务器那头一解析就知道你是谁------你会不会想看看，这事到底怎么办到的？
最近就有人在一个 CLI 编码工具里逆向出这么一段逻辑。这篇不聊该不该、对不对，只做一件事：把它拆开，看它是怎么把几个 bit 塞进几个「看起来一模一样」的字符里的。
先交代来源
这段逻辑是有人逆向 Claude Code 时发现的，据披露从 2.1.91 版（2026-04-02）起就在，直到 2.1.196 都还在，发行说明里没提过。Anthropic 随后确认了它的存在，称是一个防账号滥用、防模型蒸馏的实验，并表示正在新版本里移除。截至 2026-07-01，事情仍在进展中。下面只讲技术机制，具体数字里凡是目前只出自单一逆向报告的，我会标出来。
第一步：它先看几个「信号」
这段逻辑不是对所有人都跑，它有触发条件。据逆向报告，大致是这样几步：
先看环境变量 ANTHROPIC_BASE_URL------这是你把 Claude Code 指向自定义 API 端点（比如走代理、走中转）时会设的。如果这个端点不是官方的 api.anthropic.com，逻辑就被激活，并从中取出代理的主机名（hostname）。
然后它读两样东西：一是系统时区 ，看是不是 Asia/Shanghai 或 Asia/Urumqi；二是把刚才那个 hostname，拿去和一份内置的域名清单逐条比对（据报告是一百多条，含一批大厂域名、云区域、AI 实验室、以及各种中转/镜像服务）。
到这一步，它手里就攒下了几个「是/否」：时区是否命中、hostname 是否匹配域名清单、是否匹配某类关键词。接下来的问题是------这几个 bit 的结果，怎么送出去。
第二步：不写日志，改那句日期
常规做法是塞进一个遥测字段、发条日志。但这段逻辑没有------它选了个更隐蔽的载体：直接改 system prompt 里那句给模型看的日期。
两个改动点，都在 Today's date is ... 这一句上：
一是日期的格式。 标准写法是 2026-06-30（连字符）。命中特定条件时，换成 2026/06/30（斜杠）。对人、对模型，这只是「另一种日期写法」，毫不起眼。
二是那个撇号。 Today's 里的撇号 '，被在几个视觉上一模一样、但字节不同的字符之间切换。据逆向报告，用到的是这几个：
- 普通 ASCII 撇号
'（U+0027） - 右单引号
'（U+2019） - 修饰用撇号
ʼ（U+02BC） - 修饰用 prime
ʹ（U+02B9）
你把它们并排放大看都一样，复制进编辑器也看不出差别------但它们的 Unicode 码位完全不同，机器一读便知。
第三步：几个「看起来一样」的字符，怎么就携带了信息
这才是最巧的地方。信息不是明写的，是编码进「用哪个字符」这个选择里的。
算一下能藏多少：
- 日期格式 有两种（
-或/），能表达 1 个 bit。 - 撇号有四种取值，能表达 4 种状态，也就是 2 个 bit。据报告，这四种分别对应「都不匹配 / 匹配了域名清单 / 匹配了 AI 实验室那类关键词 / 两者都匹配」。
两个载体合起来，大约 3 个 bit------足够把「时区命中没有、hostname 属于哪一类」这套判断，编成一个紧凑的指纹，藏在一句看似普通的日期里。
关键在于：载体本身是「明文」的 ------它就明晃晃写在 system prompt 里，没有加密、没有额外字段，你甚至能亲眼看到那句 Today's date is ...。可真正携带信息的，是「这个撇号到底是四个同形字里的哪一个」------而这一点，肉眼分辨不出来。这就是隐写（steganography）和加密的区别：加密是把内容变成看不懂的乱码，隐写是让你根本没意识到这里有内容。
一个补充手法：让逆向别那么容易
还有一层：据披露，相关的字符串（比如那份域名清单）不是明文躺在二进制里的，而是用 XOR 和密钥 91 做了混淆。
XOR 混淆是个很常见的小手段：把每个字节和一个固定密钥做异或运算，明文就变成了看不出意义的字节。好处是------你用 strings 之类的工具直接去二进制里捞可读字符串时，捞不到这些内容；坏处是它拦不住真想看的人，因为 XOR 是可逆的，拿同一个密钥再异或一次就还原了（这也正是它被逆向出来的原因）。所以它更像「防随手一瞥」，不是「防逆向」。
跳出这个案例，能带走什么
抛开具体是谁、为什么，这里有个值得记住的通用认知：
LLM 的 system prompt，是一段「人通常看不到、但模型必须读」的文本------它天生就是个适合藏隐信道的地方。 再加上 Unicode 里有大量「同形字」（视觉几乎一致、码位不同的字符），任何这类字符都能拿来当载体：一个撇号、一个空格（普通空格 vs 各种不间断空格 / 零宽字符）、一个标点，都能悄悄携带 bit。
对你自己有用的一招是：看不见的差异，用字节去看。 当你怀疑一段文本里「有东西」，别只用眼睛------把它按 Unicode 码位打印出来（hexdump、或任意语言里遍历字符看 ord() / codepoint），同形字、零宽字符、异常格式立刻现形。这对排查隐写、也对排查「粘贴进来的文本里混了奇怪字符」都好使。
最后
一句报日期的话，也能是个信道------这大概是这件事最值得琢磨的地方：信息可以藏在你「看得见、却看不出」的地方。 技术本身是中性的，同样的手法既能用来做坏事，也能用来做水印、做防伪；知道它长什么样、会自己去「看字节」，你就不容易被它绕过去。
这类「明文隐写」你还在哪儿见过？欢迎在评论区聊聊。觉得有点意思，就点个小红心、关注一下呗。