Claude Code被曝隐写木马，Codex日志bug年写640TB：AI编程工具信任危机

近日，AI编程工具接连曝出严重问题。Anthropic的Claude Code被指自4月起在二进制中植入混淆代码，通过隐写术将用户时区、代理及中国AI实验室域名等信息编码进系统提示词，以检测未授权转售和模型蒸馏。该机制使用XOR加密和Unicode字符替换，用户难以察觉。Claude Code负责人Thariq回应称这是一项实验，已合并回滚PR，预计明日发布移除。

与此同时，OpenAI的Codex被曝日志系统存在严重bug：默认TRACE级别日志导致SQLite数据库年写入量达640TB，足以一年烧毁一块消费级固态硬盘。该问题源于一行with_default(Level::TRACE)配置，无视RUST_LOG环境变量，且已存在至少9个相关issue。修复后仍剩余约15%写入量（年约96TB）。

此外，Codex近期还出现额度异常消耗：单条消息烧光全部额度、后台任务偷跑token、失败任务重复重试产生“幽灵额度”，以及用量统计错位。OpenAI已多次重置额度并回滚相关改动。

两起事件暴露了AI编程工具在资源预算、用户信任和测试流程上的系统性缺陷。社区批评其为“劣质软件”，并质疑厂商将用户设备作为免费调试存储和监控工具。