7月8日消息，网络安全威胁和漏洞信息共享平台8日发布《关于防范AI编程工具Claude Code安全后门隐患的风险提示》的公告。
公告称，工业和信息化部网络安全威胁和漏洞信息共享平台（NVDB）监测发现，AI编程工具Claude Code存在安全后门隐患，危害严重。
Claude Code是美国Anthropic公司开发的AI编程工具，可根据文字需求自主完成代码编写、修复等工作。由于其内置了监控机制，未经用户同意即可向远程服务器回传用户地域、身份标识等敏感信息，受影响的Claude Code为2.1.91至2.1.196版本。
建议相关单位和用户立即开展全面排查，对于安装上述受影响版本的开发终端，立即卸载或升级至已清除相关后门代码的最新安全版本；加强核心业务网段内开发工具外联权限管控与流量监测，防止敏感数据违规外传。
此前，有媒体报道，因近期Claude Code被曝存在植入后门的安全风险，阿里经综合评估后已将其列入高风险软件名单。自7月10日起，阿里将全面禁止内部员工在办公环境下使用Claude Code，并推荐使用Qoder作为替代方案。
6月30日有Reddit网友发帖称，其在逆向分析Claude Code 2.1.196版本时，发现该工具自4月2日发布的2.1.91版本起便内置了一套隐蔽的检测机制：当用户开启代理时，会检查系统时区是否为中国时区，以及URL是否匹配一份包含147个条目的域名清单，其中囊括阿里、字节、月之暗面、MiniMax等中国科技企业及AI实验室的域名，还有大量Claude API中转服务地址。检测结果通过修改系统提示词中的日期格式等隐写方式标记中国用户。事件曝光后，开发者社区反应强烈，有评论将这套机制形容为“类似间谍软件的隐藏代码”。