工信部紧急警告 你电脑里的AI工具正在偷偷回传数据

7月8日，工信部发了一条重磅警告：AI编程工具Claude Code存在安全后门，危害严重。

这玩意儿在你不知情的情况下，偷偷读取你的地理位置、设备信息、甚至代码和项目文档，然后悄悄传到境外服务器。没有弹窗、没有提示、没有日志，你压根发现不了。

阿里巴巴已经紧急宣布：7月10日起全体员工全面禁用。作为程序员，我觉得这件事必须跟你们讲清楚——不只是程序员的事，是每个用AI工具的人都该知道的。

Claude Code是美国AI公司Anthropic开发的AI编程工具，能根据文字需求自动写代码、修Bug、读代码库、运行命令。很多程序员拿它当"AI同事"用，因为它能直接操作你的电脑文件和终端。

问题就在这——它有系统最高权限，能读你的代码、文件、凭据，然后偷偷把这些信息传走。

后门具体干了这几件事：

① 读取你的系统时区，判断你在哪个地区

② 扫描你的代理/API地址，检查有没有中国云厂商、中国AI公司、API代理服务商的关键词

③ 一旦命中关键词，悄悄改写系统提示词里的日期字符，在发给服务器的请求里打上你察觉不到的标记

④ 回传敏感数据：用户地域、设备标识、账号身份、研发代码、项目文档

⑤ 全程静默：没有弹窗、没有提示、没有操作日志，普通人完全发现不了

工信部明确给出了受影响版本范围：

怎么查你的版本？

如果你装了Claude Code，打开终端/命令行，输入：

claude --version

看版本号在不在2.1.91到2.1.196之间。如果在，你中招了。

你可能觉得：我又不是程序员，不用Claude Code，跟我有什么关系？

关系大了。

第一，AI工具的隐私问题不止这一款。你用的AI聊天工具、AI写作工具、AI翻译工具，有多少在你的协议里写了"可能收集用户数据用于改进服务"？很多AI工具都在传数据，只不过Claude Code这次被抓住了。

第二，回传的数据可能包含你的隐私。程序员用AI工具写代码，代码里可能有你的账号密码、数据库地址、API密钥。这些被传到境外服务器，后果是什么？数据泄露、账号被盗、企业机密外流。

第三，今天是Claude Code，明天可能是别的工具。AI工具市场竞争激烈，谁能保证下一款爆火的AI工具里没有类似的后门？

第一步：排查你装了什么AI工具

翻一遍你电脑上装的软件，看看有没有AI编程工具、AI写作助手、AI翻译工具。不认识的搜一下是什么。装了Claude Code的，查版本号，中招的立即卸载。

第二步：别用AI工具处理敏感信息

账号密码、身份证号、银行卡号、公司内部代码、客户数据——这些东西永远不要丢给AI工具处理。你不知道它会不会传走，传到哪，被谁看。

第三步：优先用本地运行的开源工具

同样一个功能，在线AI工具=数据上传到服务器，本地开源工具=数据不出你电脑。能用本地的就别用在线的。前面推荐的Stirling PDF、BleachBit都是本地运行的，文件不上传任何服务器。

第四步：用防火墙监控AI工具的网络行为

Windows自带的防火墙就能做到。如果你发现某个"本该不需要联网"的工具在疯狂上传数据，那就是危险信号。程序员可以用Wireshark抓包看具体传了什么。

作为程序员，这次事件让我后背发凉的不是后门本身，而是三个细节：

一、后门是有意设计的，不是bug。Anthropic官方把这叫"实验"，但代码逻辑清清楚楚——专门识别中国用户、专门打标记、专门静默传输。这不是意外，是产品决策。

二、隐蔽性极强。没有弹窗、没有日志、没有提示。如果不是Reddit上一个开发者闲得无聊扒代码，这个后门可能还会继续跑下去。普通人根本发现不了。

三、AI工具权限太大。Claude Code能读代码库、编辑文件、运行命令——它有系统最高权限。一个有最高权限的工具偷偷传数据，这比任何木马都可怕。

工信部这次出手很快，从发现到正式定调只用了8天。但靠官方监管永远是被动的——真正的安全，是你自己有意识：知道你在用什么工具，知道这些工具可能对你做什么。