Claude Code 被曝含未公开检测机制，可回传用户敏感数据

工信部网络安全威胁和漏洞信息共享平台（NVDB）发布安全风险提示，指出 AI 编程工具 Claude Code 的 2.1.91 至 2.1.196 版本存在未经授权的行为，能够自动向远程服务器回传用户地理位置、身份标识等敏感信息。NVDB 建议开发者尽快卸载或更新至安全版本，并强化开发环境的外联权限管控。

这一安全隐患于 6 月底被开发者逆向分析发现。自 4 月 2 日发布的 2.1.91 版本起，该工具内置了一套隐蔽机制，会实时检查系统时区及代理服务器信息，以识别中国用户。该机制在历次更新日志中从未被披露。

Anthropic 团队成员 Thariq Shihipar 回应称，这属于“实验性”措施，初衷是为了防止账户转售并防范模型蒸馏攻击。官方表示已于 7 月 2 日发布新版本并移除了该检测功能。

阿里巴巴已在内部下发禁令，自 7 月 10 日起全面禁止员工在办公环境中使用 Claude Code，并将该工具列入高风险软件名单。