今天要聊的这个事，所有搞研发、写代码的朋友们可得竖起耳朵听好了，一个顶级的AI编程工具被曝出了高危后门，可能正在悄悄把你的代码和项目文档传出去。

没错，就在7月8号，咱们工信部下属的NVDB，也就是网络安全威胁和漏洞信息共享平台，发布了一个官方风险提示，直接点名了美国Anthropic公司旗下的AI编程工具Claude Code。

Claude Code，这不就是那个能帮你写代码、修bug、还能优化程序的效率神器吗？我记得很多开发者和IT运维都在用，怎么突然就出大事了？

问题就出在这里。NVDB经过溯源核查发现，它的受影响版本里，内置了一个非常隐蔽的监控后门。换句话说，这个后门可以绕过你的授权，完全没有弹窗提示，也不留任何操作日志，就这么静悄悄地把数据传走了。

静默传输，这太可怕了。那它到底会传走些什么东西呢？

全是核心敏感数据。比如你所在的地域、设备标识、账号身份，最要命的是，你正在写的研发代码和项目文档，都会被主动传到境外的远程服务器上。

这风险也太高了，尤其是对于政企单位来说，搞不好就会引发商业机密泄露，甚至政务研发数据外流，整个源代码被别人拿走，这都不是开玩笑的。

所以这次风险提示里，明确给出了受影响的版本范围，是从2.1.91到2.1.196的全部版本。这里有个关键点，因为它的隐蔽性极强，普通用户根本没法自查，可能数据早就泄露了你还浑然不知。

那针对这么高危的漏洞，官方有没有给出什么紧急处理办法？总不能坐以待毙吧。

当然有，NVDB发了四条应急防护指引。第一条，就是让政企研发单位赶紧全面排查所有办公和开发终端，看看有没有装过这些版本的Claude Code，把存量彻底清查一遍。

嗯，找到了就得立刻卸载对吧？

对，第二条就是立即卸载这些受影响版本，而且建议先暂缓部署同类工具。如果实在要用，必须得在完成安全隔离审计之后才行。

这个隔离审计很关键，相当于给工具单独划个安全区。那第三条呢？

第三条是强化研发网络的边界管控，直接拦截掉这个工具对外的异常连接行为，从网络层面就把它给堵住。最后一条，就是要把所有操作日志留好，做好溯源备案，万一真有数据外泄，也能有据可查。

明白了，总结一下就是：全面排查、立即卸载、网络封堵、留存日志。这四步下来，应该能最大程度降低风险。

没错，这件事也给我们提了个醒，越是强大的AI开发工具，在使用时越要留个心眼，特别是涉及核心代码和数据的时候，供应链安全真的马虎不得。

暖阳

云舟

<!DOCTYPE html>
<html lang="en">
  <head>
    <meta charset="UTF-8">
    <meta http-equiv="X-UA-Compatible" content="IE=edge">
    <meta name="viewport" content="width=device-width, initial-scale=1.0">
    <title>卡片-小图</title>
    <style>
       * {
        margin: 0;
        padding: 0;
        box-sizing: border-box;
      }
      html {
        background: white;
      }

      body {
        font-family: "PingFangSC-Regular", "PingFang SC";
      }

      img {
        vertical-align: middle;
        width: 100%;
        height: 100%;
        object-fit: cover;
      }

      .wrapper {
        padding: 9.0667vw 8vw 0;
      }

      .wrapper .logo {
        width: 33.6vw;
        height: 12.5333vw;
        margin: 0 auto;
        background: url("https://app-stc.zjol.com.cn/card-share/new_card_logo.png") no-repeat center / contain;
      }

      .wrapper .cover {
        width: 84vw;
        min-height: 21vw;
        margin-top: 6.9333vw;
        background: #f1f1f1 url("https://app-stc.zjol.com.cn/card-share/blank_bg.png") no-repeat center / 9vw 9vw;
      }

      .wrapper h1 {
        margin-top: 3.7333vw;
        color: #151515;
        font: 500 6.4vw / 9.0667vw "PingFangSC-Medium", "PingFang SC";
        display: -webkit-box;
        -webkit-box-orient: vertical;
        -webkit-line-clamp: 4;
        overflow: hidden;
        text-overflow: ellipsis;
        word-break: break-all;
      }

      .bottom {
        position: relative;
        height: 40.5333vw;
        margin: 5.8667vw -8vw 0;
        background: url("https://app-stc.zjol.com.cn/card-share/small_card_bottom.png") no-repeat center / contain;
      }

      .bottom .date {
        position: absolute;
        top: -1.0667vw;
        left: 8vw;
        font-size: 3.7333vw;
        color: #999;
      }

      .bottom .legend {
        position: absolute;
        left: 8vw;
        bottom: 8.8vw;
        height: 6.9333vw;
        line-height: 6.9333vw;
        font-size: 3vw;
        color: #151515;
        border-bottom: 1px solid rgba(20, 20, 20, 0.5);
      }

      .bottom .qr-area {
        display: flex;
        position: absolute;
        right: 8vw;
        bottom: 8.8vw;
        height: 14.4vw;
      }

      .bottom .qr-area .left {
        align-self: flex-end;
        margin-right: 1.0667vw;
        font-size: 3.2vw;
        color: #999;
      }

      .bottom .qr-area .right {
        position: relative;
        width: 14.4vw;
        height: 14.4vw;
      }

      .qr-area .right .qr {
        position: absolute;
        left: 0;
        top: 0;
      }

      .qr-area .right .qr-logo {
        position: absolute;
        left: 50%;
        top: 50%;
        transform: translate(-50%, -50%);
        width: 4vw;
        height: 4vw;
        border: 1px solid #fff;
        border-radius: 3px;
      }
    </style>
    <script src="https://app-stc.zjol.com.cn/qrious.min.js"></script>
  </head>
  <body>
    <div class="wrapper">
      <div class="logo"></div>
      <div class="cover">
        <img />
      </div>
      <h1></h1>
      <div class="bottom">
        <div class="date"></div>
        <div class="legend">深耕浙江 解读中国 影响世界</div>
        <div class="qr-area">
          <div class="left">长按识别<br />查看详情</div>
          <div class="right">
            <img class="qr" />
            <img class="qr-logo"
              src="https://app-stc.zjol.com.cn/card-share/card_logo1.png" />
          </div>
        </div>
      </div>
    </div>
    <script>
      if (window.ZBJTJSBridge && typeof ZBJTJSBridge.invoke === "function") {
        window.getNewsDetailCallback = function (res) {
            const resObj = JSON.parse(res) || {};
            const article = resObj.data;
            if (article) {
              const coverWrapperEl = document.querySelector(".wrapper .cover");
              const coverEl = document.querySelector(".cover img");
              const titleEl = document.querySelector(".wrapper h1");
              const dateEl = document.querySelector(".date");
              const qrEl = document.querySelector(".qr-area .qr");
              if (typeof QRious !== 'undefined') {
                new QRious({
                  element: qrEl,
                  value: article.url,
                  foreground: "#183081",
                  level: "M",
                  size: 200,
                });
              }
              const item = article.card_list.find(item => item.category === 0);
              if (item && item.image_url) {
                coverEl.onerror = function (e) {
                  this.style.display = 'none';
                }
                coverEl.src = item.image_url;
                const search = item.image_url.split('?')[1]
                if (search) {
                  const params = new URLSearchParams(search)
                  const width = params.get('width')
                  const height = params.get('height')
                  if (width && height) {
                    coverWrapperEl.style.height = height / width * (document.documentElement.offsetWidth / 100 * 84) + 'px'
                  }
                }
              }
              titleEl.textContent = article.list_title;
              const published_at = article.doc_type == 8 ? article.live_start : article.published_at
              if (published_at) {
                const date = new Date(published_at);
                dateEl.textContent = `${date.getFullYear()}-${String(date.getMonth() + 1).padStart(2, "0")}-${String(date.getDate()).padStart(2, "0")} ${String(date.getHours()).padStart(2, "0")}:${String(date.getMinutes()).padStart(2, "0")}`;
              }
            }
            delete window.getNewsDetailCallback;
          };
          ZBJTJSBridge.invoke("getNewsDetail", "", "getNewsDetailCallback");
      }
    </script>
  </body>
</html>

<p>7月8日，工业和信息化部网络安全威胁和漏洞信息共享平台（NVDB）发布官方风险提示，监测发现美国Anthropic公司旗下AI编程工具Claude Code存在高危安全后门隐患，相关漏洞危害等级高，威胁国内政企研发数据与网络安全。</p>
<p>据悉，Claude Code主打智能代码编写、程序漏洞修复、代码优化等功能，广泛应用于软件开发、信息技术运维领域。NVDB溯源核查发现，该工具受影响版本内置隐蔽监控后门机制，可绕过用户授权，主动向境外远程服务器静默传输数据。外泄信息涵盖用户所在地域、设备标识、账号身份、研发代码、项目文档等核心敏感数据。</p>
<p>本次风险波及明确版本区间，受影响范围为Claude Code 2.1.91至2.1.196全量版本。该隐患隐蔽性极强，后台数据传输无弹窗提示、无操作日志留存，普通用户难以自查溯源，极易引发商业机密泄露、政务研发数据外流、源代码窃取等安全事件，损害行业数据安全权益。</p>
<p>针对本次高危风险，NVDB发布应急防护指引：一是政企研发单位全面排查办公、开发终端，清查存量安装版本；二是立即卸载受影响版本，暂缓部署同类工具，如需使用需完成安全隔离审计；三是强化研发网络边界管控，拦截工具异常外联行为；四是留存日志做好溯源备案，防范数据外泄风险。</p>
<p><br></p><p class="zrbja">责任编辑：祝瑶</p>

工信部：AI编程工具Claude Code有高危后门隐患

聊天中请勿随意透露银行卡号、账户密码、身份证号、验证码等重要信息，请勿随意在第三方软件中加对方好友。因透露个人信息或在第三方软件中加对方好友导致利益受损的，潮新闻不承担任何责任。