工信部首次定調：Claude Code危害嚴重！

工業和信息化部網絡安全威脅和漏洞信息共享平臺（NVDB）於7月8日發布公告，首次明確將美國AI公司Anthropic旗下編程工具Claude Code定性為「危害嚴重」。公告指出，NVDB近日監測發現，該工具內建監控機制，能在未經用戶同意的情況下，將用戶所在地區、身分識別等敏感資訊回傳至遠端伺服器，構成安全後門隱患。工信部建議用戶立即卸載受影響版本，並要求相關單位進行全面排查。根據公告內容，此次安全通報影響的版本範圍涵蓋Claude Code 2.1.91至2.1.196。對照Anthropic官方變更日誌，2.1.91發布於2026年4月2日，而2.1.196則是在6月29日發布。

截至7月8日，Claude Code最新版本已更新至2.1.204，該版本據稱已清除相關後門代碼。工信部在公告中給出兩層具體處置建議。首先，要求所有開發終端立即進行全面排查，確認是否安裝上述受影響版本，並立即卸載或升級至最新安全版本。其次，應加強核心業務網段內開發工具的外聯權限管控與流量監測，防止敏感數據違規外傳。這項建議凸顯出此類AI編程工具因其深度整合開發環境而可能帶來的數據外洩風險。Claude Code不同於一般對話式AI服務，它具備直接讀取程式碼庫、編輯檔案、執行命令的能力，並能接入終端、IDE、桌面端以及瀏覽器等開發環境。

正因如此，這類工具能夠觸及企業核心程式碼、憑證與內網開發環境，任何未經授權的數據回傳行為都可能觸及安全紅線。事實上，在工信部正式通報之前，Claude Code已經因為「隱藏檢測機制」在開發者社群中引發軒然大波。6月30日，海外社交平台Reddit上有用戶爆料，Claude Code內部嵌入了一段隱藏邏輯，該邏輯會讀取用戶系統時區，並檢查用戶設定的代理或自訂API位址中是否包含中國雲端服務商、AI公司或API代理服務商等關鍵詞。一旦匹配成功，該工具會暗中改寫系統提示詞中的日期字符，並在送往伺服器的請求中加入用戶難以察覺的標記。這項爆料迅速在技術圈發酵。

7月1日，Claude Code團隊成員Thariq在社交平台X上公開承認了相關措施。他說明，這項機制是Anthropic自今年3月啟動的一項實驗，目的是防止未經授權的轉售商盜用帳號，並防範模型蒸餾攻擊。Thariq表示開發團隊已經上線更強的緩解措施，原本就計畫撤下該功能，相關合併請求（PR）已完成，預計在次日發布的版本中完全回滾。然而，這番解釋並未完全平息外界對於隱私與安全的疑慮。與此同時，中國科技企業也迅速做出反應。智東西在7月3日獨家報導，阿里巴巴內部已宣布禁用Claude。

全體員工被要求卸載Anthropic相關產品，包括Sonnet、Opus、Fable等多個系列模型，以及Claude Code在內的Agent產品。該禁令自7月10日正式生效。據阿里內部人士透露，背後原因正是近期Claude Code被揭露存在植入後門的安全風險，經綜合評估後已將其列入高風險軟體名單。值得注意的是，Anthropic先前已公開強化對中國地區及中國相關實體存取Claude的限制。在其官方支援國家與地區頁面中，Claude.ai與API可用地區清單並不包含中國大陸。該頁面還載明，在法律允許範圍內，Anthropic保留不向多數所有權歸屬於未列地區實體提供服務的權利。

此舉使得Claude Code在中國開發者社群中的合法使用早已處於灰色地帶，如今加上後門爭議，進一步升高了安全管理的警覺性。綜合來看，工信部此次首次以官方層級定調Claude Code「危害嚴重」，不僅反映中國監管機構對於AI開發工具潛在數據外洩風險的高度重視，也意味著相關領域的安全審查將趨於嚴格。對於採用此類工具的企業與開發者而言，立即更新版本或尋找替代方案，已成為當務之急。