Claude Code 利用 Unicode 隐写术为 System Prompt 添加数字水印

最近，在 AI 开发圈子里流传着一个关于 Claude Code 的“隐藏功能”，引起了不小的讨论。简单来说，就是 Anthropic 似乎在 Claude Code 的 System Prompt（系统提示词）里动了点手脚，利用 Unicode 字符加上了“数字水印”。

这听起来挺玄乎，其实原理并不复杂。这就像是给系统提示词做了一次隐形的“防伪标记”。下面我们就来拆解一下这背后的技术逻辑，以及对于普通开发者和 AI 用户来说意味着什么。

为什么要给 System Prompt 打水印？

在谈技术之前，我们先聊聊动机。System Prompt 是 AI 模型行为的核心指令集，它决定了模型如何回应用户、遵循什么规则，甚至决定了模型的人设。对于像 Claude 这样强调安全性和智能体能力（特别是 Claude Code 这种主打代码任务的 Agent）的产品来说，System Prompt 就是核心机密。

如果有人把 Claude 的 System Prompt 完整提取出来，去训练开源模型或者搭建一个“克隆版”服务，那对于 Anthropic 来说就是资产流失和版权风险。为了防止这种情况，或者至少在泄露发生时能追踪源头，引入水印机制就成了顺理成章的选择。

Unicode 字符的“隐身”魔法

怎么打水印才不会被轻易发现？直接在文本里写“Copyright by Anthropic”肯定不行，太容易被过滤掉了。这里就用到了 Unicode 的一个特性：不可见字符。

Unicode 中的零宽字符（如 ZWJ, ZWNJ）在视觉上不可见，但实际存在于字符序列中，可用于隐写术。

在 Unicode 标准中，除了我们能看见的字母、汉字和标点符号，还包含了很多特殊的控制字符。最常见的就是用于排版控制的“零宽字符”（Zero-Width Characters），比如：

1. 零宽连接符 (ZWJ, U+200D)：通常用于在某些语言的连字处理中，但在视觉上不可见。
2. 零宽不连符 (ZWNJ, U+200C)：防止连字，同样不可见。
3. 零宽空格 (ZWSP, U+200B)：这是一个宽为零的空格。
4. 零宽非断空格 (ZWNBSP, U+FEFF)：通常作为字节顺序标记（BOM）使用，但在字符串中也是不可见的。

利用不可见字符序列（如 0 和 1）在二进制层面进行信息编码和解码的示意图。

这些字符虽然肉眼看不见，但它们确实存在于序列中，计算机完全能读取到它们。

水印的具体实现思路

根据社区的分析，Claude Code 可能采用了一种类似“隐写术”的做法。Anthropic 可能在 System Prompt 的特定位置插入了这些不可见的 Unicode 字符。

比如，他们可能约定了一套规则：

• 当遇到 ZWSP 时代表二进制的 0。
• 当遇到 ZWNBSP 时代表二进制的 1。

通过在 System Prompt 的不同段落穿插这些字符，就可以编码出一串二进制数据。这些数据可以是一段加密的签名，或者是特定的 ID 信息。

当这串带有水印的 System Prompt 被发送给模型时，模型本身（在处理推理时）通常会将这些字符视为普通的文本分隔符或者在语义上忽略它们，从而不影响模型的正常回答。但是，如果有人把这段 Prompt 复制出来泄露到网上，Anthropic 只需要解析其中的不可见字符序列，就能验证这段 Prompt 是否来自官方版本，甚至追溯到泄露的具体账户或版本。

这不仅是为了“抓内鬼”

这种技术手段不仅仅是为了在泄露后追责，它其实也是一种防御策略。

1. 完整性校验：如果有中间商代理 API，试图修改 System Prompt 来破解某些限制，那么不可见字符的序列可能会被破坏。官方服务端可以检测这种破坏，进而拒绝服务或发出警告。
2. 防止蒸馏：在对抗“模型蒸馏”（即利用一个强模型的输出来训练一个小模型）时，如果输出的数据流中包含了这种带水印的原始指令痕迹，攻击者很难彻底清洗掉所有不可见字符，这会给训练出的“影子模型”带来噪声。

作为开发者要注意什么？

虽然这听起来很高大上，但这种机制在日常开发中可能会遇到一些小坑。如果你是 API 的重度使用者，或者在使用某些工具链（如字符串截断、正则匹配）处理 Prompt 时，可能会莫名其妙地报错，或者发现文本长度和字数不符。这很可能就是因为混入了不可见的 Unicode 字符。

如果你在处理字符串时遇到这种情况，可以尝试使用清洗工具去除零宽字符。例如，在 Python 中可以用正则表达式简单处理：

import re

def remove_zero_width_chars(text):
    # 匹配常见的零宽字符
    pattern = r'[\u200b-\u200d\ufeff]'
    return re.sub(pattern, '', text)

总结

Claude Code 这一招“Unicode 水印”，展示了 AI 安全领域在细节上的博弈。随着大模型越来越重要，保护核心提示词的安全性已经成为厂商关注的焦点。对于我们技术爱好者来说，理解这些背后的机制，不仅能帮我们更好地使用工具，也能在设计自己的 AI 应用时提供一种安全验证的思路。

毕竟，在 AI 时代，代码和文本所承载的信息，往往比眼睛看到的要多得多。