#claude-code

中国工业和信息化部于 2025 年 7 月 8 日发布风险提示，指出 Claude Code 2.1.91 至 2.1.196 版本存在安全后门，可以在未经用户同意的情况下，将用户的地域和身份标识等敏感信息传输到远程服务器。 此事意义重大，因为 Claude Code 是一款广泛使用的 AI 编程工具，此次后门事件危及大量开发者的隐私和安全。作为政府权威机构的工信部发出警告，凸显了威胁的严重性，并可能促使各机构重新评估在开发流程中使用 AI 工具的安全性。 受影响版本为 2.1.91 至 2.1.196，后门内置监控机制，会外传敏感数据。建议用户立即排查，卸载受影响版本或升级到已清除恶意代码的最新安全版本，同时加强开发工具的外联权限管控和流量监测。

Anthropic 的 Claude Code 2.1.91 版本包含混淆代码，用于检测中国时区和代理 URL，并将地区信息编码入发送至 API 的提示词中，且未在更新日志中披露。 此事引发了对 AI 工具用户隐私和透明度的严重担忧，因为该功能可能在用户不知情的情况下识别未授权使用或模型蒸馏，从而破坏信任。 检测逻辑使用 XOR 密钥 91 混淆，检查时区是否为 Asia/Shanghai 或 Asia/Urumqi，以及代理 URL 是否指向中国域名或 AI 实验室；地区数据通过修改系统提示中的日期格式和 Unicode 撇号进行编码。