Claude Code被实锤通过隐写水印识别中国用户 (网页链接)——你的系统时区、API 代理域名，被悄悄编码进一个肉眼看不见的 Unicode 字符里。

这件事让我有两个感受。

第一，供应链安全不是"被断供"，而是"心存侥幸终被反噬"。Claude 官方其实一直禁止中国用户注册，很多人靠代理、中转站绕过去，觉得"反正能用就行"。但这次事件说明，人家不是不知道你在用，只是之前懒得管；一旦决定精准打击，你连怎么暴露的都不知道。个人用户的供应链安全，首先是不要把自己的工作流建立在已经对你关上门的工具上。

第二，"木马"并不遥远。以前总觉得政府禁用 Windows、某软件留后门是"宏观叙事"，离自己很远。但这次不一样：一个你亲手安装、赋予文件系统权限、每天交互的开发工具，在你毫不知情的情况下标记你的身份。这不是国家层面的安全事件，这是你个人电脑里的安全事件。