跳转至

Anthropic Claude Code 木马门：隐私遥测争议

Ch01.799 Anthropic Claude Code 木马门：隐私遥测争议

📊 Level ⭐⭐ | 8.0KB | entities/anthropic-claude-code-trojan-telemetry-security-2026.md

Anthropic Claude Code 木马门：隐私遥测争议

摘要

2026 年 7 月，开发者发现 Anthropic 的 Claude Code CLI 工具自 2.1.91 版本（2026 年 4 月 2 日）起，暗中嵌入了检测用户本地环境（时区、代理设置等）的混淆代码，并通过不可见的系统提示词修改将遥测信息回传。该行为持续约三个月未被公开披露，直至被开发者通过逆向工程发现，社区迅速将其称为"木马门"事件。Anthropic 随后承认该行为并承诺回滚相关代码。这一事件与不久前的 Claude Code tool call 安全事件连续发生，凸显了 AI agent 工具在隐私和安全治理方面的系统性挑战。

核心要点

  • 隐形代码机制：Claude Code 从 2.1.91 版本起嵌入了三部分代码——针对性检测（检查代理 URL 是否匹配特定域名列表）、XOR 混淆（防止被安全软件扫描）、肉眼不可见的系统提示词修改（通过替换日期格式和 Unicode 字符回传检测结果）。
  • 时间跨度：该代码自 2026 年 4 月 2 日已存在，持续约三个月，期间 Anthropic 未在任何发布说明中提及此行为。
  • 官方回应：Claude Code 负责人 Thariq 回应称这是三月份启动的一项防止未经授权转售和模型蒸馏的实验，并声称团队已经实施了更强有力的缓解措施，PR 已经合并，将在次日发布中回滚。
  • 社区质疑：核心质疑在于——如果没有被发现，Anthropic 是否真的会回滚？代码的混淆程度（XOR 加密、隐写式回传）远超"防止滥用实验"的合理范围。
  • 连锁事件：该事件紧接 Claude Code tool call 安全事件（涉及 tool call 导致的文件泄露），形成连续的安全争议链。

深度分析

从"防蒸馏"到"隐写术"：安全手段的滑坡

Anthropic 将此行为解释为防止模型蒸馏的防御措施。模型蒸馏确实是 AI 公司的真实威胁——竞争对手可以通过 API 调用大量提取模型能力，绕过商业壁垒。然而，从合理防御到隐写术之间存在巨大的伦理鸿沟：

  1. 透明性缺失：任何安全措施，如果不在更新日志、产品文档或用户协议中披露，就已经跨越了从"防御"到"监控"的边界。
  2. 手段与目的的比例失调：XOR 加密是恶意软件对抗杀毒软件的典型手段。一个合法的防御实验为什么要使用与恶意软件相同的代码混淆技术？这种行为模式本身就会摧毁用户信任。
  3. 用户自主权的侵蚀：Claude Code 拥有系统最高权限（可直接读写文件系统）。在这种权限级别上隐藏遥测代码，意味着用户的所有行为都在公司监控之下，而不被用户所知。

供应链安全的新维度

"木马门"揭示了 AI 开发工具供应链安全的一个新维度：工具的开发者本身就是供应链的参与者。传统供应链安全关注第三方依赖的漏洞（如 Log4j、npm 恶意包），但 AI 开发工具的直接开发者可以在用户无感知的情况下修改工具行为。

Claude Code 的案例特别值得警惕，因为它是一个拥有文件系统访问权限的 CLI 工具，且运行在开发者的核心工作环境中。这种工具的"信任假设"远高于普通 npm 包——用户默认认为"Anthropic 官方发布的工具是可信的"。当这种信任被滥用时，损害的不只是用户隐私，还有整个 AI 工具生态的可信基础。

连续安全事件揭示的系统性治理缺失

"Wooden Horse Gate" 事件并非孤例。此前不久，Claude Code 刚发生 tool call 安全事件（意外读取 .gitignore 文件、访问 Redis 实例等）。两个事件的共同特征表明这是一个系统性治理问题，而非个别工程师的失误：

  • 缺乏内部审计：混淆代码在二进制中潜伏三个月而未通过内部安全审查
  • 缺乏披露机制：更新日志中没有任何相关说明
  • 缺乏独立的第三方审计：AI 开发工具的安全审计仍然主要由工具开发者自行执行

对 Agent 工具生态的影响

此事件对 AI Agent 工具生态产生了深远的信任冲击。类似 Claude Code 的 Agent 工具正越来越深入地融入开发者的日常工作流，它们拥有系统访问权限、网络访问权限和数据读写权限。当这类工具的可信度受到质疑时，企业的 AI 工具采用决策会变得更加谨慎——引入一个 Agent 工具不仅需要考虑功能价值，还需要评估其隐私和安全治理水平。

实践启示

  1. 对 AI 开发工具进行独立安全审计：企业引入 Claude Code 等 AI 开发工具前，应进行独立的安全审计，重点关注网络通信行为、文件系统访问模式和二进制完整性。不要自动信任工具的发布者。

  2. 监控工具的运行时行为：对于运行在开发环境中的 AI Agent 工具，应设置运行时行为监控——包括网络请求目的地、文件访问模式、系统提示词修改检测。建议使用 strace、dtrace 或类似工具定期检查。

  3. 建立 AI 工具的隐私评估标准：将 AI 开发工具纳入组织的隐私评估框架。评估维度应包括：数据收集声明与实际行为的一致性、遥测数据的透明度和匿名化程度、用户对数据收集的控制权。

  4. 为 Agent 工具设置沙箱环境：在确定工具的可信度之前，应在沙箱环境中运行 Agent 工具，限制其对生产代码和敏感数据的访问。使用 Docker 或类似容器技术进行隔离。

  5. 关注 AI 工具供应链的透明度：选择 AI 开发工具时，优先考虑有独立安全审计、明确的披露政策和开源代码的工具。对于闭源工具，要求供应商提供完整的遥测数据清单和安全架构文档。

相关实体

→ 原文存档