Китайская база уязвимостей заявила, что в Claude Code обнаружены «бэкдоры безопасности», передающие данные пользователей
Китайские власти выпустили предупреждение об удалении Claude Code, хотя инструмент официально не одобрен для использования в стране
Установлено, что версии Claude Code с апреля по июнь 2026 года тайно передавали геоданные и идентификаторы на удалённые серверы
Anthropic объяснила слежку экспериментом по борьбе с кражей моделей и пообещала откатить изменения в новом релизе
Национальная база данных уязвимостей Китая (NVDB) заявила, что Claude Code — популярный инструмент разработки с ИИ от компании Anthropic — содержит «уязвимости типа backdoor», и порекомендовала пользователям либо удалить его, либо обновиться до последней версии.
Согласно The Wall Street Journal, версии инструмента, выпущенные с апреля по июнь 2026 года, «могут отправлять конфиденциальную информацию, такую как местоположение и личные данные пользователя, на удалённые серверы без его согласия из-за встроенного механизма мониторинга». Отдельная пикантность ситуации в том, что предупреждение выпущено о продукте, который официально не одобрен для публичного использования в Китае. Сама Anthropic к тому же ограничила применение своих ИИ-инструментов в регионе, сославшись на риски национальной безопасности.
Источник изображения — tomshardware.com
Что именно обнаружили в Claude Code
Похоже, директива связана с публикацией разработчика, известного как Troye Sivan: он обнаружил, что Claude Code незаметно передаёт данные — например, часовой пояс и домены — и что механизм нацелен именно на китайских пользователей. Инженер Anthropic Thariq Shihipar подтвердил на платформе X, что это был запущенный компанией в июне эксперимент «для предотвращения злоупотреблений аккаунтами со стороны неавторизованных реселлеров и защиты от дистилляции». Он также добавил, что изменения «будут полностью отменены в завтрашнем релизе».
Стоит понимать, о какого рода инструменте идёт речь. Claude Code — это агент, работающий в терминале разработчика: он читает файлы проекта, правит код и запускает команды. Любая телеметрия в таком продукте автоматически становится чувствительной темой, потому что инструмент по определению находится внутри рабочего окружения, рядом с исходниками и конфигурацией. Сбор технических метрик сам по себе для среды разработки обычное дело — спорным его делает не факт сбора, а отсутствие раскрытия и адресная нацеленность на пользователей конкретной страны.
Фон: споры вокруг дистилляции моделей
Anthropic уже дважды обвиняла китайские ИИ-лаборатории в дистилляции Claude. Ранее компания заявляла, что DeepSeek вместе с другими китайскими разработчиками создала 24 000 поддельных аккаунтов для обучения более компактных моделей. В конце июня прозвучало новое обвинение — на этот раз в адрес Alibaba. Параллельно появились сообщения о том, что доступ к Claude API перепродаётся на сером рынке со скидкой до 90% через прокси-сети.
Дистилляция в этом контексте — обучение собственной, более компактной модели на ответах чужой, более сильной. Формально исходные веса при этом не крадут, но результат близок к копированию: покупателю достаётся почти то же качество за долю затрат на обучение. Для компаний, вложивших миллиарды в тренировку флагманских моделей, это прямая угроза бизнес-модели, и именно поэтому все крупные лаборатории запрещают такой сценарий в пользовательских соглашениях и вкладываются в системы обнаружения подозрительных аккаунтов. Отсюда же и цепочка, приведшая к скандалу: чтобы отличить легального пользователя от перепродавца, платформе нужно собирать признаки — а именно сбор признаков и был воспринят как слежка.
Почему предупреждение выглядит противоречиво
Судя по заявлению Shihipar, эксперимент Anthropic уже завершён, а функции отслеживания перестанут быть скрытыми и станут встроены явно в Claude Code. Вероятно, именно поэтому китайское ведомство рекомендовало не только удаление, но и обновление до последней версии. Вопросы, впрочем, остаются: хотя Claude Code напрямую в Китае не запрещён, там действует требование обязательной проверки больших языковых моделей перед публичным использованием, и модели Anthropic её не проходили.
Получается парадокс: регулятор предупреждает о рисках продукта, которого в стране формально нет, и советует его обновить. Тем не менее, несмотря на двойные ограничения, китайские разработчики находят способы получить доступ к Claude Code — и Пекин, по сути, признаёт этот факт самой формулировкой своей директивы. Это тот случай, когда официальный документ невольно фиксирует реальное положение дел лучше любой статистики.
Что из этого следует для читателя из СНГ
Прямых последствий для пользователей из стран СНГ история не несёт: инструменты Anthropic и здесь официально недоступны, а доступ к ним чаще всего получают через сторонние прокси-сервисы и перепродавцов. Именно это и делает сюжет практически полезным. Перепродаваемый доступ означает, что между разработчиком и провайдером модели стоит неизвестный посредник, через которого проходят и запросы, и фрагменты кода. Риск утечки в такой схеме на порядок выше любых споров о телеметрии официального клиента.
Второй вывод касается любых ИИ-агентов, которые запускаются в рабочем окружении. Разумная гигиена здесь простая и не зависит от бренда: держать секреты и токены вне репозитория, ограничивать инструменту область видимости каталогами конкретного проекта, а в корпоративной среде — заранее выяснять, какие данные уходят наружу и на каких серверах обрабатываются. История с Claude Code примечательна не масштабом (передавались часовой пояс и домены, а не исходники), а тем, насколько быстро непрозрачный сбор данных превращается в вопрос государственной безопасности, когда речь идёт о технологиях на стыке двух конкурирующих экономик.
