工信部警示：Claude Code 存在安全后门隐患

工信部在 7 月 8 日发布了一条风险提示，对象是 Anthropic 的 AI 编程工具 Claude Code。通报平台是国家网络安全威胁和漏洞信息共享平台（NVDB），给出的定性是"存在安全后门隐患，危害严重"。受影响版本是 2.1.91 到 2.1.196。NVDB 的建议很直接：装过这些版本的终端，立即卸载或升级到已清除相关代码的最新版本。

这不是一次普通的产品更新提醒。它的特殊之处在于，问题不是被黑客攻破，而是软件厂商自己写进客户端的一段隐蔽逻辑。所以更值得追问的是：一款高权限的本地开发工具，为什么会在用户不知情的情况下，把系统时区、代理域名这类环境信息偷偷传回服务器？

事件是怎么被发现的

时间线其实很短。

6 月 30 日，Reddit 用户 LegitMichel777 贴出逆向分析，指出 Claude Code 客户端里有一段针对中国用户的检测代码。这段代码从 4 月 2 日发布的 2.1.91 版本开始出现，到 2.1.196 版本仍然存在。它的工作方式不是传统的"上传一个遥测文件"，而是把检测结果编码进系统提示词，再通过正常请求发送给服务器。

具体来说，它会读取几个环境信号：系统时区是不是 Asia/Shanghai 或 Asia/Urumqi，代理域名是否命中一份内置黑名单，以及是否包含 Moonshot、MiniMax、阶跃星辰等国内 AI 实验室的关键词。黑名单里覆盖了 147 条域名，包括百度、阿里、腾讯、京东、字节等常见域名，以及大量 Claude 镜像站和第三方 API 中转域名。

一旦命中，系统提示词里一句原本普通的日期文本就会被修改。比如日期分隔符从短横线变成斜杠，2026-06-30 变成 2026/06/30；Today's date is 里的英文撇号会被替换成另一种肉眼分辨不出的 Unicode 变体。普通用户根本注意不到，但服务器端只要解析这几个字符的码点，就能还原出用户的分类状态。

7 月 1 日，Anthropic 团队成员 Thariq Shihipar 在 X 上回应，承认这是 3 月启动的一项"反蒸馏实验"，目的是防止未授权账号转售和模型蒸馏。他说团队已经部署了更强的缓解措施，本来也计划撤下这段代码，相关 PR 已经合并，会在下一版中删除。

7 月 2 日，新版 2.1.197 发布。7 月 8 日，工信部 NVDB 发布风险提示。同日消息在国内媒体圈扩散，用词普遍是"安全后门隐患""危害严重"。

为什么说这是"后门"而不是普通风控

很多软件都会做风控、反滥用和遥测。为什么这次舆论反应特别大？

关键在于三点：隐蔽性、高权限、未披露。

Claude Code 不是网页聊天工具。它安装在开发者本地终端里，可以读写文件、执行 Shell 命令、访问代码仓库，甚至在某些配置下直接操作 Git 和部署流程。它拥有比普通浏览器插件高得多的系统权限。一款这样的工具，如果在用户看不见的地方读取系统时区和代理域名，再把结果编码进请求，本质上是在利用"已经获得信任的高权限"做额外的信息收集。

而且它不是光明正大地在隐私政策里写明"我们收集时区信息用于反滥用"，而是采用了一种接近隐写术的方式：不改网络协议，不新增请求，只把系统提示词里的标点和日期格式做微调。这种方式不会在流量层留下明显痕迹，普通安全审查也很难一眼发现。对于开发者而言，这越过了"反滥用"和"本地监控"之间的信任边界。

更微妙的是，系统提示词既然可以被用来传递用户分类标记，开发者自然会有下一个疑问：今天它标记的是时区和代理，明天它会不会根据同样的通道影响模型输出、区分服务等级，或者回传更敏感的内容？目前没有证据表明 Anthropic 做了这些，但机制本身已经让信任打了折扣。

工信部通报里强调的"安全后门隐患"，很大程度上也是针对这个性质。NVDB 不是对一款海外 SaaS 做日常提醒，而是把本地开发工具的隐蔽回传行为上升到了需要企业和用户排查的风险级别。

对普通开发者意味着什么

如果你根本没装 Claude Code，这条新闻跟你关系不大，吃瓜即可。

如果你装了，先看版本。终端里跑 claude --version，如果在 2.1.91 到 2.1.196 之间，工信部和 Anthropic 自己的建议都是一致的：升级或卸载。当前最新版是 2.1.199， Anthropic 方面表示已删除相关代码。升级是最省事的做法。

但升级只能解决已经曝光的这一处代码。它不能保证未来不会有类似的隐蔽机制。所以对企业和团队来说，更稳妥的做法是建立一层自己的边界：

第一，核心业务网段里的开发终端，要对 AI 工具的外联权限做管控。不是所有机器都需要直接访问海外 API。能走统一代理的走统一代理，能走内网转发的走内网转发，便于流量监测和审计。

第二，Claude Code 这类工具尽量不要放在有生产密钥、客户数据、核心代码库的环境里运行。哪怕把它关进容器或虚拟机，也能降低一旦出问题时的影响面。

第三，对源代码和依赖做定期检查。虽然这次代码是混淆过的，但长期维护一个"本地高权限工具清单"，定期审计它们的行为和网络请求，是金融、医疗、政务等敏感行业的基本操作。

这件事对 AI 工具行业的启示

过去一年，AI 编程工具从尝鲜变成很多团队的日常。Cursor、Windsurf、Claude Code、GitHub Copilot，再加上国内的通义灵码、文心快码、豆包 MarsCode，竞争已经白热化。大家的卖点都是"提升研发效率"，但安全边界讨论明显没有跟上功能迭代。

Claude Code 这次事件暴露了一个被忽视的问题：Agent 类工具既是云端模型的客户端，又是本地开发环境的一部分。它夹在用户代码、系统权限和云端服务之间，一旦厂商想收集额外信息，用户很难判断自己到底把什么交了出去。

这不是说所有厂商都会滥用。而是说，当工具权限越来越高，透明度必须同步提高。收集什么、用途是什么、保留多久、能不能关闭，这些信息应该清楚写进文档和隐私政策，而不是藏在二进制和混淆代码里。对于高权限本地工具，"我们相信 Anthropic"这种信任背书，远不如"用户可以看代码、关开关、审流量"来得扎实。

监管的介入也会越来越快。工信部这次通报只是一个开始。未来涉及 AI 工具的数据出境、本地环境信息采集、供应链安全，都会有更明确的合规要求。对厂商来说，提前把透明度和用户可控性做好，比事后被通报再公关要便宜得多。

写在最后

作为开发者，我对 Claude Code 的功能本身是认可的。它确实能把很多重复性工作自动化，让写代码的体验更流畅。但功能越强，责任越大。一个拥有本地 Shell 执行权限的工具，不应该用隐写的方式在用户电脑里做分类标记。

工信部的风险提示不是要让谁用不上 Claude Code，而是提醒所有使用本地高权限 AI 工具的人：效率和安全不是零和，但安全必须自己长点心。升级版本、隔离环境、监控外联，这三件事现在就能做。

Anthropic 已经承诺删除代码，但删除代码不等于重建信任。下一次，开发者希望看到的是更清晰的披露、更可控的遥测、更可审计的更新日志。毕竟，我们让 Agent 进本地环境，是为了让它帮忙写代码，不是让它替我们决定哪些信息可以传出去。