手机遥控 AI 编程 agent 安全吗：中转服务器能看到你的代码吗

先回答问题

手机遥控 agent 时，“谁看得到你的代码和对话”取决于中间那一段怎么走：官方中转（Claude Code Remote Control、ChatGPT 里的 Codex）按文档是传输加密，中转方本身能处理明文；SSH 和 WireGuard 类 VPN 是端到端的，但要你自己管入口和钥匙；Telegram 这类聊天机器人，消息会以 bot 能读的形式经过聊天平台；端到端加密的第三方中转（例如 Happy、BotBus）让中转服务器只见密文，但元数据仍然可见。

每种办法都有要信任的一方，区别只在于信任谁。下面按四种方式逐个说清楚谁能看到什么。文中关于其他产品的描述，是 2026 年 10 月 30 日对照各家官方文档核对的，以官方最新说明为准。

先分清两段数据流

讨论之前要先拆开两段，很多争论其实是把它们混在了一起：

1. 电脑到模型服务商。 Claude Code 把对话发给 Anthropic，Codex 发给 OpenAI，接国产模型或中转站的发给对应服务商。只要你在用云端模型，这一段就一直存在，跟你用不用手机无关。
2. 电脑到手机。 这是“遥控”新增的一段：任务状态、对话、审批内容、截图要从电脑送到手机，手机的命令要送回电脑。本文讨论的就是这一段。

所以，如果你本来就用 Anthropic 的模型、又用 Anthropic 的 Remote Control，第二段多出来的暴露面其实不大：同一家公司本来就收到了对话。真正值得想清楚的，是第二段把内容交给了一个新的第三方的情况，比如用国产模型却经别家中转，或者用聊天平台的机器人。

方式一：官方中转

Claude Code Remote Control。 官方文档写明：本机会话只发起出站 HTTPS、不开入站端口；所有流量经 Anthropic API 走 TLS，连接使用多个各自只管一件事、独立过期的短期凭据。文档还写明，Remote Control 连着的时候，会话记录（你的消息、Claude 的回复和工具活动）存在 Anthropic 的服务器上，用来在多台设备间同步、断线后重连，按 Data usage 政策保存；开了零数据保留（ZDR）或 HIPAA 配置的组织不能启用 Remote Control。Team 和 Enterprise 还可以打开“受信任设备”，要求每台设备单独登记、登录不超过 18 小时。

Codex 远程连接。 OpenAI 的文档说，有一层“安全中继层”让你授权过的 ChatGPT 设备能访问受信任的电脑，而不必把电脑直接暴露到公网；仓库文件、本地文档和 shell 命令都在连接的电脑上。截至核对日期，文档没有写明这层中继是否端到端加密，也没列出中继上同步、保存了哪些内容。

适合谁： 模型本来就用这家、对这家的数据政策没有顾虑的人。它们的长处是账号体系完整（受信任设备、管理员开关），出了问题有官方负责。卡点在于：中转方在技术上能处理明文，而且这条路只覆盖自家 agent，用 API key、Bedrock 或网关跑 Claude Code 的用不了 Remote Control。

方式二：SSH 或 VPN 直连

这是最“自己做主”的办法：agent 跑在 tmux 里，手机用 SSH 客户端连回来。SSH 本身是端到端的，中间没有能读内容的人。为了让手机在外面也连得到，多数人会加一层 Tailscale 这样的 WireGuard 组网。按 Tailscale 的说明，它的协调服务器只交换公钥、下发策略，私钥从不离开设备；连不通时走的 DERP 中继只转发已经加密的包，没有办法解密。

适合谁： 熟悉终端、愿意自己维护入口的人。数据路径最短，什么 agent 都能用。

要付出的是： 你得自己负责这条通道的安全。SSH 端口直接暴露在公网要做好密钥登录和防暴力破解；手机上存着一把能登录你电脑的私钥，手机丢了它就是一把完整的 shell 钥匙，权限远大于“批准一条命令”。另外它没有推送，agent 停下来等你，你不打开就不知道，这一点和安全无关，但往往是人们放弃它的原因。

方式三：聊天机器人

用 Telegram、Discord、飞书或微信的机器人遥控 agent，好处是不用装新 app。Claude Code 官方也有这条路：Channels（研究预览）通过插件把 Telegram、Discord 或 iMessage 的消息推进本机正在跑的会话。

要清楚的是消息走的是聊天平台。Telegram 的官方 FAQ 写明，普通的云聊天用的是服务器—客户端加密，只有私密聊天（Secret Chat）才是端到端的，而它的私密聊天说明只涉及两台设备之间的对话；FAQ 也写明 bot 能看到你发给它的消息。也就是说，你发给机器人的指令、机器人回给你的命令和文件路径，都以平台能处理的形式经过了平台服务器。Claude Code 的 Channels 文档还提醒了另一层风险：如果频道支持转发权限请求，任何能通过这个频道回复的人都能批准或拒绝工具调用，所以白名单只能放你信任的人。iMessage 频道则需要给终端开“完全磁盘访问”去读本机的消息数据库。

适合谁： 主要想收通知、偶尔发一句话，且对内容经过聊天平台没有顾虑的人。

方式四：端到端加密的第三方中转

第三方遥控工具多数需要一台中转服务器，因为电脑和手机通常不在同一个网络里。关键问题是这台服务器能不能读内容。做了端到端加密的，内容在设备上加密后才发出，中转只转发密文。Happy 的官方文档就写明设备之间的消息是端到端加密的，并提供自建服务器的说明。

BotBus 也属于这一类，下面照我们的安全说明讲具体做了什么：

• 钥匙只经电脑屏幕交接。 配对时电脑生成一对一次性的 X25519 钥匙，公钥印在屏幕上的二维码里；手机扫码后在本机生成 256 位组密钥，用这把公钥封好经服务器送回电脑。服务器从没见过二维码里的公钥，拆不开这个信封，也没法冒充你的电脑。也因此不能用 6 位数字配对：6 位数字装不下一把钥匙。
• 内容用 AES-256-GCM 加密。 任务标题与状态、项目路径、未提交的改动、完整对话、你发的图和文件、agent 分享回来的截图、审批内容和你的回答、手机发出的每条命令（连是哪种命令都在密文里）、电脑名和手机名、通知正文，都在设备上加密后才离开。每段密文绑定它的位置，服务器把 A 任务的密文挪到 B 任务下，解密就会失败。
• 推送也是密文。 交给 Apple 推送服务的只有一句固定文案和一段密文，iPhone 收到后在本机解密，再显示真正的标题和内容。
• “操作电脑”同样加密。 在手机上看 Mac 屏幕、点按打字，打开电脑上的文件和终端（Mac、Linux、Windows 都有文件与终端），画面和每次输入都用单独的子钥匙加密；显示画面的页面装在 app 里，不从服务器加载。
• 可以自己核对。 电脑的配对窗口和手机设置里各显示一串 8 位密钥指纹，两边一致就是同一把钥匙。

它保护不了的，我们也写在安全说明里：

• 元数据。 服务器看得到配对和设备编号、电脑是否在线、任务编号（带来源前缀，能看出来自哪家 agent）与更新时间、命令编号与时间、通知类别、每段密文的大小，以及设备连接时的 IP 地址。
• 开发预览。 用 botbus 把电脑上的本地网页分享到手机时，浏览器要直接请求网页里的资源，只能由服务器代理，所以不在端到端加密范围内，只在分享期间可访问。
• 模型服务商那一段。 BotBus 加密的是电脑到手机这一段，agent 发给 OpenAI、Anthropic 等的请求不受它影响。
• 已解锁的设备。 有人拿到你解锁的电脑或手机，就能看到 BotBus 显示的一切。
• 服务器能做的最坏的事是不转发、延迟转发，或者退回你见过的某个旧状态；它伪造不了内容，也读不到内容。

适合谁： 不想自己维护 SSH 入口、又不希望把对话交给一个新的第三方明文处理的人；同时用多个 agent（BotBus 里有 Codex、Claude Code、Hermes、Pi、OpenClaw、OpenCode、DeepSeek Harness，ACP agent 也能接进来）的人也会省事一些。代价是你仍要信任装在自己设备上的那个 app 本身，以及接受上面那些元数据对服务器可见。

怎么判断一个遥控方案靠不靠谱

不管选哪个，可以拿这几条去问：

1. 钥匙在哪里生成、怎么交给手机？ 如果钥匙经过服务器、或者靠账号密码就能在新设备上拿到，服务器在原理上就能解密。
2. 服务器看得到哪些元数据？ 敢列清单的，比只说“安全加密”的更可信。
3. 哪些功能不在加密范围内？ 网页预览、推送、文件下载往往是例外。
4. 审批超时或出错时是放行还是拒绝？ 安全不只是加密，默认放行的审批通道本身就是风险。BotBus 在手机那一轮里，超时、中断一律按拒绝处理。
5. 手机丢了怎么办？ 能不能单独移除一台设备、能不能换钥匙。BotBus 在电脑设置里移除手机后，它的凭据立即作废；要彻底换钥匙，在手机上解除配对再重新扫码。

常见问题

Claude Code Remote Control 是端到端加密的吗？

截至 2026 年 10 月 30 日，官方文档写的是流量经 Anthropic API 走 TLS、使用多个短期凭据，连接期间会话记录存在 Anthropic 服务器上，没有写成端到端加密。如果你的模型本来就是 Anthropic 的，这一段新增的暴露面有限。

用 Tailscale + SSH 是不是比任何中转都安全？

从“中间有没有人能读内容”看，它和端到端加密的中转同一档：WireGuard 和 SSH 都是端到端的。区别在别处：你要自己维护入口，手机上那把 SSH 私钥能登录整台电脑，丢了的后果比丢一个只能看任务、批审批的 app 大。

用了端到端加密，服务器就什么都不知道了吗？

不是。它看不到内容，但看得到转发所需的元数据：设备编号、在线状态、任务编号与更新时间、数据大小、连接 IP。BotBus 把这份清单写在安全说明里。

BotBus 的开发预览为什么不加密？

浏览器打开网页时要直接请求页面里的各种资源，只能由服务器代理到你的电脑上，所以开发预览不在端到端加密范围内，只在你分享期间可以访问。远程操作屏幕、文件和终端不属于这一类，它们是加密的。

我在哪里下载 BotBus？

电脑端有 Mac、Linux 和 Windows 版，手机端有 iPhone、Apple Watch 和 Android，都在首页下载区。