Claude Code是美国Anthropic公司开发的AI编程工具，可根据文字需求自主完成代码编写、修复等工作。

工业和信息化部网络安全威胁和漏洞信息共享平台（NVDB）发布公告，其近日监测发现，美国AI大模型公司Anthropic旗下AI编程工具Claude Code存在安全后门隐患，该工具内置监控机制，可在未经用户同意的情况下向远程服务器回传用户地域、身份标识等敏感信息。受影响的Claude Code为2.1.91至2.1.196版本。

Claude Code的二进制文件中，存在一段潜伏长达三个月的特殊代码。该代码经XOR加密混淆，精准锁定了147个中国域名，美团、网易、百度、阿里、字节跳动等国内主流科技公司及AI实验室均在监控名单之上。其识别手段极为隐蔽。与简单的地域封禁不同，Claude Code不检测网络出口IP，而是直接读取电脑本地时区，一旦命中“Asia/Shanghai”，用户便进入观察名单；同时，它内置了包含各大厂商及API代理商域名的黑名单。完成识别后，工具不会弹窗或报错，而是通过修改系统提示词中的日期格式和Unicode字符作为“秘密水印”，回传至服务器以标记中国用户，整个过程用户毫无察觉。

建议相关单位和用户立即开展全面排查，对于安装上述受影响版本的开发终端，立即卸载或升级至已清除相关后门代码的最新安全版本；加强核心业务网段内开发工具外联权限管控与流量监测，防止敏感数据违规外传。