中國工業和信息化部旗下網絡安全威脅和漏洞信息共享平臺（NVDB）周三（7/8）發布風險提示，指稱美國AI新創Anthropic的AI程式開發工具Claude Code存在「安全後門隱患」，要求相關單位全面排查，並立即卸載受影響版本或升級至已移除相關程式碼的最新版。
公告指出，Claude Code內建監控機制，未經用戶同意即向遠端伺服器傳送地域及身分識別等敏感資訊，受影響版本為Claude Code 2.1.91至2.1.196。
NVDB因此建議相關單位及用戶全面排查，立即卸載或升級至已清除後門的最新安全版本；同時加強核心業務網段內開發工具的對外連線權限管理與流量監控，以防止敏感資料違規外傳。
不過，此一被中國官方認定為安全後門的機制，正是Anthropic日前承認、並已移除的實驗性反蒸餾（Distillation）措施。Anthropic今年2月曾公開指控DeepSeek、Moonshot與MiniMax等中國3大AI實驗室針對Claude發動大規模的蒸餾攻擊，總計利用約2.4萬個虛假的帳號，產生超過1,600萬次的對話，繞過區域限制，以非法榨取Claude的核心能力來訓練自己的模型。
一名Reddit用戶LegitMichel777上周指出，他逆向分析Claude Code後發現，程式碼中暗藏可偵測環境資訊的隱碼，偵測目標包括改用Proxy/Gateway連線的對象、中國時區、特定網域與中國AI實驗室，並會透過隱寫術將偵測結果藏入系統提示詞。Claude Code技術主管Thariq Shihipar隨後承認此事，說明這是Anthropic於今年3月啟動的一項實驗性防禦機制，本來就打算移除。Anthropic在7月1日釋出的Claude Code 2.1.198已移除該機制，而目前最新版本為2.1.204。
其實Anthropic並未在中國市場提供Claude及Claude Code服務，且境外生成式AI服務必須符合中國監管要求才能向境內提供，只是相關工具仍透過代理或海外帳號在中國開發者間流通。中國官方此次公告，等於是針對已安裝Claude Code的單位與使用者提出資安處置建議。
Comments (0)