由亞馬遜累計投資達130億美元的AI巨頭Anthropic,所開發的AI輔助程式開發工具Claude Code,因具備高效的程式碼生成能力而受全球開發者青睞。然而,該工具內建之「反蒸餾機制」涉嫌在傳輸時回傳使用者隱私,引發資安疑慮。此事件不僅關係到企業的核心程式碼防護,更直接升級至國家級的資訊安全與合規防線。
中國工信部於2026年7月8日發布安全預警,指出該工具的v2.1.91至v2.1.196版本存在嚴重後門漏洞,會上傳地理位置與身分資訊。官方要求中國企業立即解除安裝或升級。對此,Anthropic已於7月1日後的更新中移除此機制,並強調其服務原本就禁止中國境內用戶使用。
全部報導
3 篇原始報導馬克翻舊帳
這個事件的歷史脈絡微軟揭露 Anthropic Claude Code 提示注入漏洞,可致 CI/CD 憑證外洩
Anthropic 的 Claude Code 是運用生成式 AI 協助開發者讀寫程式碼、操作工具的開發環境;若將 GitHub 儲存庫中的文字誤認為可信指令,提示注入便可能越過使用者原意。微軟指出,CI/CD 系統常握有部署金鑰、雲端權杖等高權限憑證,因此漏洞影響重大。
微軟資安研究員最新揭露,攻擊者可將惡意提示藏入 GitHub 內容,誘使 Claude Code 執行非預期指令,並把 CI/CD 憑證傳送至外部。Anthropic 已完成修補,建議使用 2.1.128 版及更早版本的用戶立即升級,以降低供應鏈及部署環境遭入侵的風險。
訂閱馬克雷達週報
每週五,本週最強訊號送進收件匣。隨時一鍵退訂。