# 手机遥控 AI 编程 agent 安全吗：中转服务器能看到你的代码吗

> 用手机遥控 Claude Code、Codex 时，对话和代码会经过谁的服务器？对比官方中转、第三方中转、SSH / VPN 和聊天机器人四种方式的威胁模型，说明各自谁看得到什么。

Canonical: https://botbus.io/blog/end-to-end-encrypted-remote-coding-agent  
Published: 2026-10-30

## 先回答问题

手机遥控 agent 时，“谁看得到你的代码和对话”取决于中间那一段怎么走：官方中转（Claude Code Remote Control、ChatGPT 里的 Codex）按文档是传输加密，中转方本身能处理明文；SSH 和 WireGuard 类 VPN 是端到端的，但要你自己管入口和钥匙；Telegram 这类聊天机器人，消息会以 bot 能读的形式经过聊天平台；端到端加密的第三方中转（例如 Happy、BotBus）让中转服务器只见密文，但元数据仍然可见。

每种办法都有要信任的一方，区别只在于信任谁。下面按四种方式逐个说清楚谁能看到什么。文中关于其他产品的描述，是 2026 年 10 月 30 日对照各家官方文档核对的，以官方最新说明为准。

## 先分清两段数据流

讨论之前要先拆开两段，很多争论其实是把它们混在了一起：

1. **电脑到模型服务商。** Claude Code 把对话发给 Anthropic，Codex 发给 OpenAI，接国产模型或中转站的发给对应服务商。只要你在用云端模型，这一段就一直存在，跟你用不用手机无关。
2. **电脑到手机。** 这是“遥控”新增的一段：任务状态、对话、审批内容、截图要从电脑送到手机，手机的命令要送回电脑。本文讨论的就是这一段。

所以，如果你本来就用 Anthropic 的模型、又用 Anthropic 的 Remote Control，第二段多出来的暴露面其实不大：同一家公司本来就收到了对话。真正值得想清楚的，是第二段把内容交给了**一个新的第三方**的情况，比如用国产模型却经别家中转，或者用聊天平台的机器人。

## 方式一：官方中转

**Claude Code Remote Control。** 官方文档写明：本机会话只发起出站 HTTPS、不开入站端口；所有流量经 Anthropic API 走 TLS，连接使用多个各自只管一件事、独立过期的短期凭据。文档还写明，Remote Control 连着的时候，会话记录（你的消息、Claude 的回复和工具活动）存在 Anthropic 的服务器上，用来在多台设备间同步、断线后重连，按 Data usage 政策保存；开了零数据保留（ZDR）或 HIPAA 配置的组织不能启用 Remote Control。Team 和 Enterprise 还可以打开“受信任设备”，要求每台设备单独登记、登录不超过 18 小时。

**Codex 远程连接。** OpenAI 的文档说，有一层“安全中继层”让你授权过的 ChatGPT 设备能访问受信任的电脑，而不必把电脑直接暴露到公网；仓库文件、本地文档和 shell 命令都在连接的电脑上。截至核对日期，文档没有写明这层中继是否端到端加密，也没列出中继上同步、保存了哪些内容。

**适合谁：** 模型本来就用这家、对这家的数据政策没有顾虑的人。它们的长处是账号体系完整（受信任设备、管理员开关），出了问题有官方负责。卡点在于：中转方在技术上能处理明文，而且这条路只覆盖自家 agent，用 API key、Bedrock 或网关跑 Claude Code 的用不了 Remote Control。

## 方式二：SSH 或 VPN 直连

这是最“自己做主”的办法：agent 跑在 `tmux` 里，手机用 SSH 客户端连回来。SSH 本身是端到端的，中间没有能读内容的人。为了让手机在外面也连得到，多数人会加一层 Tailscale 这样的 WireGuard 组网。按 Tailscale 的说明，它的协调服务器只交换公钥、下发策略，私钥从不离开设备；连不通时走的 DERP 中继只转发已经加密的包，没有办法解密。

**适合谁：** 熟悉终端、愿意自己维护入口的人。数据路径最短，什么 agent 都能用。

**要付出的是：** 你得自己负责这条通道的安全。SSH 端口直接暴露在公网要做好密钥登录和防暴力破解；手机上存着一把能登录你电脑的私钥，手机丢了它就是一把完整的 shell 钥匙，权限远大于“批准一条命令”。另外它没有推送，agent 停下来等你，你不打开就不知道，这一点和安全无关，但往往是人们放弃它的原因。

## 方式三：聊天机器人

用 Telegram、Discord、飞书或微信的机器人遥控 agent，好处是不用装新 app。Claude Code 官方也有这条路：Channels（研究预览）通过插件把 Telegram、Discord 或 iMessage 的消息推进本机正在跑的会话。

要清楚的是消息走的是聊天平台。Telegram 的官方 FAQ 写明，普通的云聊天用的是服务器—客户端加密，只有私密聊天（Secret Chat）才是端到端的，而它的私密聊天说明只涉及两台设备之间的对话；FAQ 也写明 bot 能看到你发给它的消息。也就是说，你发给机器人的指令、机器人回给你的命令和文件路径，都以平台能处理的形式经过了平台服务器。Claude Code 的 Channels 文档还提醒了另一层风险：如果频道支持转发权限请求，**任何能通过这个频道回复的人**都能批准或拒绝工具调用，所以白名单只能放你信任的人。iMessage 频道则需要给终端开“完全磁盘访问”去读本机的消息数据库。

**适合谁：** 主要想收通知、偶尔发一句话，且对内容经过聊天平台没有顾虑的人。

## 方式四：端到端加密的第三方中转

第三方遥控工具多数需要一台中转服务器，因为电脑和手机通常不在同一个网络里。关键问题是这台服务器能不能读内容。做了端到端加密的，内容在设备上加密后才发出，中转只转发密文。Happy 的官方文档就写明设备之间的消息是端到端加密的，并提供自建服务器的说明。

BotBus 也属于这一类，下面照我们的[安全说明](https://botbus.io/docs/security)讲具体做了什么：

- **钥匙只经电脑屏幕交接。** 配对时电脑生成一对一次性的 X25519 钥匙，公钥印在屏幕上的二维码里；手机扫码后在本机生成 256 位组密钥，用这把公钥封好经服务器送回电脑。服务器从没见过二维码里的公钥，拆不开这个信封，也没法冒充你的电脑。也因此不能用 6 位数字配对：6 位数字装不下一把钥匙。
- **内容用 AES-256-GCM 加密。** 任务标题与状态、项目路径、未提交的改动、完整对话、你发的图和文件、agent 分享回来的截图、审批内容和你的回答、手机发出的每条命令（连是哪种命令都在密文里）、电脑名和手机名、通知正文，都在设备上加密后才离开。每段密文绑定它的位置，服务器把 A 任务的密文挪到 B 任务下，解密就会失败。
- **推送也是密文。** 交给 Apple 推送服务的只有一句固定文案和一段密文，iPhone 收到后在本机解密，再显示真正的标题和内容。
- **“操作电脑”同样加密。** 在手机上看 Mac 屏幕、点按打字，打开电脑上的文件和终端（Mac、Linux、Windows 都有文件与终端），画面和每次输入都用单独的子钥匙加密；显示画面的页面装在 app 里，不从服务器加载。
- **可以自己核对。** 电脑的配对窗口和手机设置里各显示一串 8 位密钥指纹，两边一致就是同一把钥匙。

**它保护不了的，我们也写在安全说明里：**

- **元数据。** 服务器看得到配对和设备编号、电脑是否在线、任务编号（带来源前缀，能看出来自哪家 agent）与更新时间、命令编号与时间、通知类别、每段密文的大小，以及设备连接时的 IP 地址。
- **开发预览。** 用 `botbus` 把电脑上的本地网页分享到手机时，浏览器要直接请求网页里的资源，只能由服务器代理，所以不在端到端加密范围内，只在分享期间可访问。
- **模型服务商那一段。** BotBus 加密的是电脑到手机这一段，agent 发给 OpenAI、Anthropic 等的请求不受它影响。
- **已解锁的设备。** 有人拿到你解锁的电脑或手机，就能看到 BotBus 显示的一切。
- **服务器能做的最坏的事**是不转发、延迟转发，或者退回你见过的某个旧状态；它伪造不了内容，也读不到内容。

**适合谁：** 不想自己维护 SSH 入口、又不希望把对话交给一个新的第三方明文处理的人；同时用多个 agent（BotBus 里有 Codex、Claude Code、Hermes、Pi、OpenClaw、OpenCode、DeepSeek Harness，ACP agent 也能[接进来](https://botbus.io/docs/connect-agent)）的人也会省事一些。代价是你仍要信任装在自己设备上的那个 app 本身，以及接受上面那些元数据对服务器可见。

## 怎么判断一个遥控方案靠不靠谱

不管选哪个，可以拿这几条去问：

1. **钥匙在哪里生成、怎么交给手机？** 如果钥匙经过服务器、或者靠账号密码就能在新设备上拿到，服务器在原理上就能解密。
2. **服务器看得到哪些元数据？** 敢列清单的，比只说“安全加密”的更可信。
3. **哪些功能不在加密范围内？** 网页预览、推送、文件下载往往是例外。
4. **审批超时或出错时是放行还是拒绝？** 安全不只是加密，默认放行的审批通道本身就是风险。BotBus 在手机那一轮里，超时、中断一律按拒绝处理。
5. **手机丢了怎么办？** 能不能单独移除一台设备、能不能换钥匙。BotBus 在电脑设置里移除手机后，它的凭据立即作废；要彻底换钥匙，在手机上解除配对再重新扫码。

## 常见问题

### Claude Code Remote Control 是端到端加密的吗？

截至 2026 年 10 月 30 日，官方文档写的是流量经 Anthropic API 走 TLS、使用多个短期凭据，连接期间会话记录存在 Anthropic 服务器上，没有写成端到端加密。如果你的模型本来就是 Anthropic 的，这一段新增的暴露面有限。

### 用 Tailscale + SSH 是不是比任何中转都安全？

从“中间有没有人能读内容”看，它和端到端加密的中转同一档：WireGuard 和 SSH 都是端到端的。区别在别处：你要自己维护入口，手机上那把 SSH 私钥能登录整台电脑，丢了的后果比丢一个只能看任务、批审批的 app 大。

### 用了端到端加密，服务器就什么都不知道了吗？

不是。它看不到内容，但看得到转发所需的元数据：设备编号、在线状态、任务编号与更新时间、数据大小、连接 IP。BotBus 把这份清单写在[安全说明](https://botbus.io/docs/security)里。

### BotBus 的开发预览为什么不加密？

浏览器打开网页时要直接请求页面里的各种资源，只能由服务器代理到你的电脑上，所以开发预览不在端到端加密范围内，只在你分享期间可以访问。远程操作屏幕、文件和终端不属于这一类，它们是加密的。

### 我在哪里下载 BotBus？

电脑端有 Mac、Linux 和 Windows 版，手机端有 iPhone、Apple Watch 和 Android，都在[首页下载区](https://botbus.io/#download)。