安全警報：Claude Code 被曝存在安全後門，官方已啟動緊急修復

近日，工業和信息化部網絡安全威脅和漏洞信息共享平台（NVDB）發布一則重要的安全風險提示，指出目前廣泛應用於程式開發領域的 AI 工具 Claude Code 存在未經公開的「安全後門」，可能導致用戶敏感資訊外洩。這項警示迅速引起開發者社群與企業資安團隊的高度關注，相關單位已開始急查自身環境中的部署版本。 Claude Code 是由人工智慧公司 Anthropic 所推出的程式碼輔助工具，以自然語言理解能力協助開發者撰寫、除錯及重構程式碼，推出後在全球開發者間累積大量用戶，尤其在快速原型設計與大型專案協作場景中相當普及。然而，此次後門漏洞的曝光，讓外界對這款工具的資料傳輸安全性產生疑慮。 根據 NVDB 的監測結果，受影響的軟體版本介於 2.91 至 2.196 之間。這些版本在未經用戶明確授權的情況下，會自動向遠端伺服器回傳包括用戶地理位置、身份標識在內的敏感資料。這項行為並非基於任何功能需求，而是程式內部內建的一套隱蔽檢測機制，在用戶不知不覺中執行。 這起風波的起點可追溯至今年 6 月底。當時一名開發者在對 Claude Code 2.196 版進行逆向分析時，意外發現從 4 月 2 日發布的 2.91 版開始，該工具內部就被植入了這套隱蔽機制。進一步比對後，該開發者發現該機制會在使用者啟動工具後，定期向特定伺服器發送封包，內容包含裝置資訊、網路位址以及使用者帳號相關資料。 該開發者隨即將發現過程與部分分析結果公開在技術論壇上，引發社群熱議。許多開發者紛紛檢查自身使用的版本，並質疑這項機制的存在是否違反了基本隱私保護原則。部分企業也緊急通報內部資安團隊，要求立即評估工作環境中 Claude Code 的風險等級。 NVDB 在風險提示中明確建議，廣大開發者與企業用戶應立即核查當前使用的 Claude Code 版本號，若處於上述受影響區間，務必儘快卸載或更新至最新安全版本。同時，相關單位應強化開發環境的外聯權限管控，加強流量監測，以防數據違規外傳。這類自發性回傳敏感資料的行為，若搭配惡意中間人攻擊或伺服器端資料外洩，可能導致開發者個人資訊甚至企業內部專案資訊遭到洩漏。 從技術角度來看，這類後門機制通常難以被一般使用者察覺，因為其運作時不會跳出任何提示或要求授權，而是以背景程序形式悄悄執行。開發者若未使用防火牆或流量監控工具，往往無法即時發現異常連線。此次事件也再次凸顯，第三方開發工具在導入開發流程前，需經過更嚴格的資安審查。 目前 Anthropic 官方尚未在公開管道詳細說明這套隱蔽檢測機制的存在目的，但據業界消息指出，該公司已啟動緊急修復程序，預計短期內將發布更新版本以移除該後門功能，並針對資料傳輸邏輯進行重新設計。部分企業用戶則表示，在官方正式安全公告出爐前，將暫時停止使用受影響版本，轉以手動方式管理程式碼。 本次事件對 AI 程式碼輔助工具市場帶來一定衝擊。開發者社群開始反思，當工具越來越聰明、功能越來越複雜時，如何確保其不會變成潛在的監控或資料竊取管道。未來類似的安全審計與漏洞揭露機制將會更受重視，而開發工具的透明度也將成為企業採購時的重要考量指標。 對於已經使用 Claude Code 的開發者，NVDB 建議立即執行以下動作：確認當前版本，若落於 2.91 至 2.196 之間，直接卸載或更新至官方最新版本；同時檢查近期是否出現異常的網路連線紀錄，尤其針對未知外部伺服器的對外連線；並調整開發環境的權限設定，限制非必要的軟體外聯行為。唯有持續保持警覺，才能在享受 AI 工具帶來的生產力提升之餘，守住資訊安全的最後防線。