工信部：AI编程工具Claude Code存在安全后门隐患
速览
工信部网络安全威胁和漏洞信息共享平台监测发现，Anthropic公司开发的AI编程工具Claude Code 2.1.91至2.1.196版本存在安全后门隐患。其内置监控机制可在未经用户同意的情况下回传用户地域、身份标识等敏感信息，危害严重。建议相关单位和用户立即排查，卸载或升级受影响版本，并加强开发工具外联权限管控与流量监测。
AI 深度解读
背景
近年来，AI 编程工具因其高效生成代码的能力而迅速普及，成为开发者的重要辅助。然而，随着这些工具被广泛集成到企业研发流程中，其安全性也日益受到关注。2026 年 6 月 12 日，工信部网络安全威胁和漏洞信息共享平台（NVDB）发布了一条紧急风险提示，指出美国 Anthropic 公司开发的 AI 编程工具 Claude Code 存在严重安全后门隐患，涉及多个版本。该工具内置的监控机制可在未经用户明确同意的情况下回传用户地域、身份标识等敏感信息，属于高危漏洞。这一事件再次将 AI 工具的数据合规与供应链安全问题推向风口浪尖。
核心内容
工信部监测发现，Claude Code 的 2.1.91 至 2.1.196 版本存在安全后门隐患。具体表现为：该工具内置了某种监控功能，能够在用户使用过程中自动收集并回传地域位置、身份标识等敏感数据，且未经用户许可。此类行为违反了我国网络安全相关法律法规，对用户隐私和企业数据安全构成严重威胁。
工信部建议相关单位和用户立即采取以下措施：1）排查当前使用的 Claude Code 版本是否处于受影响范围；2）对受影响的版本进行卸载或升级至安全版本；3）加强对开发工具外联权限的管控，对网络流量进行实时监测，防止敏感数据违规外传。
该风险提示发布于 2026 年 6 月 12 日，同时还引用了一系列此前工信部在安全领域的行动记录，包括核查处置涉诈高风险电话卡近 2 亿张（2026-02-05）、防范 OpenClaw 开源 AI 智能体安全风险（2026-02-05）、通报 27 款侵害用户权益 App（2024-11-13）、推出 AI 换脸诈骗风险提醒功能（2024-08-19）等，表明工信部持续关注 AI 工具及软件供应链安全。
关键要点
- 漏洞范围：Claude Code 2.1.91 至 2.1.196 版本存在安全后门，涉及较广的版本区间。
- 核心风险：工具内置监控机制，可未经用户同意回传地域、身份标识等敏感信息，数据外泄危害严重。
- 官方建议：立即排查、卸载或升级受影响版本；加强开发工具外联权限管控与流量监测，防止数据违规外传。
- 责任主体：由美国 Anthropic 公司开发的 AI 编程工具，中国用户及企业直接暴露于风险中。
- 连续监管：这是工信部近年来一系列针对 AI 工具、App、SDK 及通信安全风险提示的延续，体现了监管对技术供应链安全的持续重视。
意义与影响
此事件对行业和用户有多方面影响。首先，它揭示了 AI 编程工具在便利性之外可能隐藏的隐私侵犯和数据回传风险，特别是当这些工具由境外公司开发时，其数据流向和监控机制可能不受国内法律直接约束。其次，工信部的及时风险提示强化了我国在软件供应链安全领域的监管力度，促使企业和开发者重新审视所用开发工具的合规性，尤其是涉及敏感业务场景时。第三，这一事件可能推动国内 AI 编程工具市场加速发展自主可控的替代方案，减少对外部闭源工具的依赖。最后，对于 Anthropic 而言，此事可能影响其在中国市场的声誉和后续运营，开发者社区或将更多转向开源或经过安全认证的替代工具。总体而言，这是一次对 AI 工具安全合规性的重要警示，提醒行业在拥抱技术的同时必须守住数据安全的底线。