7 月 3 日，英国《金融时报》（FT）报道，中国多家科技公司的员工通过海外账号、个人订阅和云服务等途径使用 Claude，涉及 Anthropic 对受限地区及相关企业的访问限制。同一天，阿里巴巴发布内部通知，将 Claude Code 列为"存在后门风险的高危软件"，宣布自 7 月 10 日起禁止员工在工作环境中使用。两件事反映了不同的争议：Anthropic 如何识别实际使用者并执行服务条款，中国企业又如何评估外部编程工具的数据和软件安全风险。公司的使用限制与政府出口管制也需要分别看待。
FT 报道的访问途径：海外账号、个人订阅和云服务
据 FT 援引知情人士报道，蚂蚁集团为大陆员工提供了与新加坡子公司关联的企业 Claude 账号。报道称，员工通过公司内部网络接入这些账号，账号关联的是新加坡实体。不过，独立法人身份并不自动排除 Anthropic 的所有权限制，仍要看企业控制关系和具体条款。
字节跳动则采用了另一条路径：工程师自行购买 Claude 个人订阅，通过 VPN 访问，公司事后予以报销。这种个人订阅与企业报销分开的方式，会增加识别实际企业用途的难度。
FT 报道的另一种途径是，公司通过海外注册的子公司，利用微软 Azure 等云基础设施间接访问 Claude。报道描述，海外子公司作为签约或采购主体，大陆工程师通过内部网络操作，因此名义客户与实际使用者可能位于不同地区。
蚂蚁集团和字节跳动均拒绝对 FT 的报道发表评论。
是否违反服务条款，要看实际控制关系、使用地区和适用协议；是否违法，则还涉及具体法律和事实，不能一概判断。Anthropic 自称是「唯一一家限制向中国控制的公司销售产品的前沿 AI 公司」。其 2025 年 9 月政策更新明确，受限范围包括由不支持地区的公司直接或间接持股超过 50% 的实体，无论运营地点在哪里，目的之一就是防止借海外子公司取得访问。FT 的报道显示，这类限制仍面临执行难题。
API 中转服务价格更低，也增加提示词泄露风险
在企业使用途径之外，报道还关注了面向中小开发者的 API 中转市场。所谓的"中转站"（transfer station）是一种中间服务器：接收中国用户的提示词，通过境外账号转发给 Claude，将回复返回给用户，并通过微信或支付宝收款。数十家此类服务在中文网站和 GitHub 页面上公开列出，对比各模型的 Token 价格和支持的模型。报道提到，部分中转站声称通过分销渠道取得企业折扣，报价低至 Claude 官方 API 定价的 5% 至 10%。这些转售服务是否获准，以及折扣和实际供给来源，仍需分别核实。
不过，分析师指出，大型中国 AI 公司通常避免使用中转站——它们担心运营商可能存储、转售或分析自己的提示词。对蚂蚁和字节跳动这样的巨头来说，由企业管理的海外账号可能减少不明中间商经手数据，但仍需审查访问权限、数据流向和服务协议，不能仅凭账号注册地判断安全性。
Anthropic 通过行为信号和身份验证识别访问
Anthropic 也在加强使用者识别。据 TechStory 报道，公司现在监控账户的行为信号，包括用户计算机的时区和使用模式，以识别充当中国用户中继节点的"中转站"账户。自 2026 年 4 月起，Anthropic 开始要求被标记的账户进行身份验证，提交政府颁发的身份证件和实时自拍才能恢复访问。
隐藏检测代码引发了另一场争议。据研究人员披露，自 2026 年 4 月 2 日发布的 Claude Code v2.1.91 起，Anthropic 在软件中嵌入了混淆检测逻辑：当检测到代理连接时，代码会检查系统时区是否匹配"Asia/Shanghai"或"Asia/Urumqi"，并将代理 URL 与硬编码的 147 个中国实体列表进行比对——包括已知的中国 AI 实验室、代理商和网关域名。检测结果通过 XOR-91 混淆和隐写术（Unicode 字符替换）嵌入系统提示中传回 Anthropic 服务器，在发布说明中完全没有提及。
一位名为"Thereallo"的开发者公开了这一发现，在 Reddit 和 GitHub 引发强烈反响。Anthropic 的 Thariq Shihipar 在 X 上回应称，这是一项"3 月启动的实验，目的是防止未经授权的代理商滥用账户并防范蒸馏攻击"，并表示"团队此后已部署更强的缓解措施，我们其实早就计划移除此代码"。据相关报道，7 月 2 日版本的 Claude Code 已移除这段隐藏检测逻辑。
Anthropic 指控与阿里相关的操作者大规模提取模型能力
除员工使用工具外，Anthropic 还在关注通过批量查询提取模型能力的行为。两类用途需要区分。6 月 24 日，Anthropic 致美国参议院的一封信件首次被 CNBC 和 Bloomberg 披露：Anthropic 称，在 2026 年 4 月 22 日至 6 月 5 日的 45 天内，约 25,000 个虚假账户与 Claude 进行了超过 2,880 万次交互。Anthropic 将这一行动定性为"迄今为止已知的最大规模蒸馏攻击"——通过大规模系统性查询提取 Claude 的能力，用于训练竞争对手的模型。
Anthropic 将这些账户与阿里巴巴通义千问 AI 实验室的关联操作者联系起来，但未直接指控阿里巴巴公司层面策划了这次攻击。在参议院信中，Anthropic 呼吁加强美国 AI 公司之间的信息共享，并对蒸馏攻击的实施者施加"显著更严厉的惩罚"。
编码能力可能是 Claude 受到关注的原因之一。其在复杂软件工程任务中的表现，让一些企业仍愿意使用它。模型蒸馏则通常通过参考模型的输出训练另一模型，目标可能包括更低的成本或更强的特定能力；这一过程与员工日常使用编程工具并不相同。
Anthropic CEO Dario Amodei 在 2026 年 2 月曾表示，公司因拒绝向中国共产党关联企业销售产品、阻止中共支持的网络安全攻击，已经损失了"数亿美元"的收入。
阿里因安全顾虑禁用 Claude Code，推荐员工使用 Qoder
FT 报道发布的同一天，阿里巴巴也公布了内部使用限制。据《南华早报》获得的内部通知，阿里巴巴宣布"经全面评估，Claude Code 近期被发现存在后门风险，现已列入存在安全漏洞的高风险软件清单"。禁令于 7 月 10 日生效，员工被引导使用公司自研的 Qoder 工具作为替代。
此前，Anthropic 在参议院信中提出了与阿里巴巴关联操作者有关的蒸馏指控。阿里此次内部通知给出的理由是软件安全风险，并引导员工转向自研工具；它是否同时出于回应指控或长期替代海外工具的考虑，现有材料尚不足以确定。通知中的「后门风险」属于阿里的内部风险判断，尚不等同于独立确认存在恶意后门。
条款已覆盖海外子公司，难点在核实实际使用者
FT 的报道所呈现的主要难题，是条款覆盖范围与执行能力之间的差距。Anthropic 的服务条款已涉及受限地区公司控制的海外实体，但账号登记、企业采购与工程师实际操作可能分处不同地区。识别谁在使用、由谁控制，仍需要足够的证据；报道中的行为也尚无逐项司法认定。
Anthropic 因而既调整服务条款，也建设技术检测机制。微软告知 Anthropic，支持其在 Azure 上监控使用行为并执行规则。不过，行为信号并不总能可靠对应真实地点和企业身份，检测也可能产生误判。国产模型的进展则增加了替代选择。例如，美团公布的长猫 LongCat-2.0 为 1.6 万亿参数、采用 MIT 许可证，并称使用全国产芯片训练；其公布的 SWE-bench Pro 成绩为 59.5%，对照 GPT-5.5 的 58.6%。这项比较属于所报测试设置，实际工具选择还需考虑任务、成本和稳定性。
这组事件表明，访问限制的执行既依赖合同，也依赖对账号、企业控制关系和实际操作的识别。与此同时，识别手段本身的透明度与数据处理方式，又会影响客户信任。服务条款的范围、检测方式和企业内部安全要求，需要分别说明，才能看清争议发生在哪个环节。
