2026 年 7 月 8 日、中国工業和信息化部のサイバーセキュリティ脅威・脆弱性情報共有プラットフォーム（NVDB）は、米国 Anthropic 社の AI コーディングツール Claude Code の v2.1.91 から v2.1.196 に深刻なバックドアリスクがあると警告しました。内蔵の監視機構が、ユーザーの同意なく地域情報や識別子などの機微データをリモートサーバーへ送信できるとされています。該当バージョンを使用している場合は、直ちに claude --version で確認し、2.1.197 以降へ更新してください。
本記事はClaude Code を利用する開発者、企業 IT・セキュリティ担当者を対象に、公開された規制通報と逆解析研究に基づき整理しています。NVDB 公告の要点、Anthropic の埋め込みから阿里巴巴の使用禁止までの完全タイムライン、隠写術メカニズムの 3 段階分解、NVDB／Anthropic／阿里巴巴の声明対照、米中 AI モデル蒸留争いの背景、個人・企業向け8 ステップ対応リスト、10 項目の FAQ、および権威ある情報源を収録しています。読了後、「自分に影響があるか」「どのバージョンを削除すべきか」「企業はどうコンプライアンス対応すべきか」に答えられる状態を目指します。
01 工信部 NVDB の Claude Code バックドア警告は何を言っているか
TL;DR 要点：
- 規制当局の定性：NVDB はリスクを「安全バックドアの隠れ、危害が深刻」と位置づけ、該当バージョンの即時アンインストールまたは最新安全版への更新を推奨しています。
- 影響バージョン：Claude Code v2.1.91（2026-04-02 リリース）から v2.1.196（2026-06-29 リリース）まで、約 20 回のイテレーション。検出ロジックは changelog に一度も記載されていません。
- 修正版：多くの報道では v2.1.197（2026-07-01/02）で隠写コードが除去されたとされています。一部の中国語技術メディアは v2.1.198 とする口調もあり、「2.1.197 以降」とし公式 changelog で照合することを推奨します。
- 重要な訂正：この機構は全ユーザーに適用されるわけではありません。環境変数
ANTHROPIC_BASE_URLが非公式エンドポイント（企業ゲートウェイ、第三者プロキシ、API 中継）を指す場合にのみ起動します。api.anthropic.comへ直接接続する一般ユーザーはトリガーされません。 - 企業の連鎖反応：阿里巴巴などが Claude Code および Anthropic 関連モデルの使用を制限・禁止し、7 月 10 日から全社員に内部コーディングプラットフォーム Qoder への移行を指示しています。
業界の痛点（規制と企業が同時に動いた理由）：
- 未開示の高権限監視：Claude Code はファイルシステムの読み書きと Shell コマンド実行権限を持ちます。約 3 か月間 changelog に記載なく隠蔽された機構は、ユーザー許容度を大きく下回ります。
- 隠写術による不正規テレメトリ：論点は「データ収集の有無」ではなく、system prompt を隠写術で改ざんし、特定地域と商業競合相手を指紋識別した点にあります。通常のテレメトリとの境界は後述します。
- コンプライアンスとアカウント停止リスク：具体的なデータ漏洩事故は報道で確認されていませんが、直接の結果としてアカウント停止リスクと開発端末の外向き通信に関するコンプライアンス懸念があります。企業はコア業務ネットワークの外向き権限管理とトラフィック監視を強化すべきです。
- 物語の一貫性：Anthropic が中国ユーザーを識別する埋め込みを実施 → 開発者が逆解析で暴露 → ベンダーが謝罪・ロールバック → 阿里が禁止 → 工信部がバックドアと定性、という流れが時間的に密接につながっています。
| 項目 | 内容 |
|---|---|
| リスクの性質 | 内蔵監視機構が、同意なく機微情報を送信可能 |
| 送信内容 | ユーザーの地域、識別子などの機微情報 |
| 影響バージョン | v2.1.91 – v2.1.196 |
| リリース期間 | 2026 年 4 月 2 日 〜 6 月 29 日 |
| 公式の推奨対応 | 該当版の即時アンインストール／最新安全版へ更新；開発端末の外向き通信管理とトラフィック監視の強化 |
02 Claude Code バックドア事件の完全タイムライン（2026）
Anthropic が反モデル蒸留技術への投資を公表してから工信部が正式に定性するまで、約 5 か月にわたる一連の出来事です。7 月 8 日の公式定性が本ラウンドのピーク、7 月 10 日の阿里禁令発効が第二の節目です。
- 2026 年 2 月：Anthropic が反モデル蒸留技術（分類器、行動指紋、情報共有など）への投資を公表。
- 2026 年 3 月：Claude Code 内部で隠蔽検出機構が静かに投入、公開説明なし。
- 2026-04-02：Claude Code v2.1.91 リリース。隠蔽検出コードが配布開始。
- 2026-04-02 〜 06-29：約 20 バージョンのイテレーション。検出ロジックが継続、changelog 未記載。
- 2026-06-29：v2.1.196 リリース（影響区間の最終版）。
- 2026-06-30：Reddit ユーザー LegitMichel777 が隠写術検出ロジックを投稿。開発者 Thereallo が独立した技術分析を公開。セキュリティ研究者 Adnane Khan が GitHub で逆解析レポートを公開し、v2.1.193/2.1.195/2.1.196 すべてに該当ロジックがあることを検証。
- 2026-07-01：Anthropic エンジニア Thariq Shihipar が X で公開承認。3 月投入の「実験的」反悪用／反蒸留機構と説明し、翌日リリースでロールバックを約束。
- 2026-07-02：Claude Code v2.1.197（一部報道は v2.1.198）リリース。隠写検出コードを除去、changelog には明示的記載なし。
- 2026-07-03/04：Reuters、TechCrunch が報道：阿里巴巴が内部通知。7 月 10 日から Claude Code および Anthropic 関連モデルの使用禁止、内部ツール Qoder へ移行。
- 2026-07-08：工信部 NVDB が正式にリスク警告を発表。「安全バックドアの隠れ、危害が深刻」と定性。
- 2026-07-10：阿里巴巴の内部禁止令が正式発効。
Unicode マッピングの詳細と Desktop 注入事件との区別については、当サイトの Claude Code 隠写術事件の技術長文を参照してください。
03 Claude Code は全ユーザーを監視するのか：トリガー条件と誤解の訂正
結論：「Claude Code が全ユーザーを監視する」という見出しは不正確です。隠蔽機構は、環境変数 ANTHROPIC_BASE_URL で API リクエストが非公式エンドポイント（企業ゲートウェイ、第三者プロキシ、API 中継・転売サービス）を指す場合にのみ起動します。公式 api.anthropic.com を使用する一般ユーザーはこの検出パスをトリガーしません。
トリガー条件が成立すると、コードは 2 種類の環境偵察を行います。
- システムタイムゾーン検出：
Asia/ShanghaiまたはAsia/Urumqiかどうか。 - プロキシドメインのブラックリスト照合：
ANTHROPIC_BASE_URLの hostname を内蔵リストと比較。複数の逆解析分析では合計 147 エントリ。中国の大手テック企業ドメイン、中国 AI ラボのキーワード（DeepSeek、Moonshot AI、智譜、MiniMax、Baichuan、StepFun、01.AI など）、既知の API プロキシ／転売ゲートウェイを含みます。リストは XOR 暗号化（キー 91）+ Base64 エンコード で二重に難読化されています。
報道・執筆上の注意：この機構の直接の結果は「アカウント停止リスク」であり、確認済みの「データ漏洩事故」ではありません。公開報道では具体的な経済損失やデータ悪用は確認されていません。未開示の監視行為とコンプライアンスリスクに焦点を当て、誇張は避けてください。
04 Claude Code 隠写術の仕組みと各社声明の対照
隠写エンコーディングの 3 段階分解：
- トリガー：非公式
ANTHROPIC_BASE_URL+ タイムゾーン／ドメイン／キーワードのヒット。 - system prompt の改ざん：独立したデータ送信チャネルではなく、モデルへ送る system prompt 自体を変更。日付区切りが
2026-06-30（ハイフン）から2026/06/30（スラッシュ）へ。Today's date is内の標準アポストロフィ'が、視覚的にほぼ区別不能な 3 種類の Unicode アポストロフィに置換され、「タイムゾーンヒット／ドメインヒット／AI ラボキーワードヒット」の 3 つのブールフラグをエンコード。 - サーバー側の解析：1 ビットの日付形式 + 3 種類のアポストロフィ変種で約 3 bit の環境情報をエンコードし、各リクエストとともに Anthropic サーバーへ送信。セキュリティ研究者 Adnane Khan はこれを 「a covert information channel embedded in system prompts」（システムプロンプトに埋め込まれた隠蔽チャネル）と定義しています。
「通常のテレメトリ」との境界（必ず区別）：Claude Code 自体にはイベントログ、Datadog、OpenTelemetry などの通常のデータ収集があり、同種の CLI／IDE Agent ツールでは珍しくありません。今回の論点は：① ユーザーが発見・無効化できる telemetry ではなく隠写術を使用；② いかなるバージョンの changelog にも未開示；③ 特定地域と商業競合相手を標的とした指紋識別；④ ツールが高権限の Shell とファイルアクセスを同時に持つ、という点にあります。
| 出典 | 主要な定性用語 | ナラティブの焦点 |
|---|---|---|
| NVDB／工信部 | 安全バックドアの隠れ、危害が深刻 | コンプライアンスとデータ外向きリスク |
| Anthropic／Thariq Shihipar | experiment／anti-abuse／anti-distillation | 不正転売の防止、モデル蒸留対策；ロールバックを約束 |
| 阿里巴巴 | high-risk software with security vulnerabilities | 7/10 から Claude Code と Anthropic モデルを禁止、Qoder へ移行 |
| CNBC／Reuters | security backdoor／built-in monitoring mechanism | 規制定性の中立転載 + 企業の連鎖反応 |
| The Register | covert code／secret steganography system | 技術的説明責任 + 未開示の更新 |
| Ars Technica | spyware-like tracking／secret Claude tracker | 信頼危機 + 政策分析 |
| Cybernews（技術界の見解） | a nothing burger | 過剰反応と見なし、実質は反蒸留のエンジニアリング手段 |
Anthropic エンジニア Thariq Shihipar の発言要点：「This is an experiment we launched in March that was meant to prevent account abuse from unauthorized resellers and protect against distillation... this should be fully rolled back in tomorrow's release.」——「バックドア」ではなく「実験」と位置づけ、反蒸留目的を強調しています。
背景：米中 AI モデル蒸留戦争。これは孤立した事件ではありません。Anthropic は長期にわたり中国ユーザーの直接アクセスを制限していますが、VPN や第三者プロキシで回避するユーザーが存在します。2026 年 2 月、北京大学と中国科学院の論文は、主要な中国 LLM の多くに海外モデルからの蒸留痕跡があると報告しました。Anthropic は DeepSeek、Moonshot AI、MiniMax、阿里巴巴などが Claude の出力を無断で自社モデル訓練に利用したと非難。米国上院銀行委員会への書簡では、阿里巴巴 Qwen チームが約 2.5 万の不正アカウント、2880 万回のインタラクションでモデル能力の窃取を試みたと具体的に指控しています。Claude Opus 4.8 はテストで「自分を Qwen／DeepSeek だと誤認」した事例があり、今回の「中国ユーザー識別の埋め込み」はさらに尴尬を増しました。中国企業は自研／オープンソース体系へ移行しつつあり、阿里内部ツール Qoder はその具体例です。
05 Claude Code の自查・更新・アンインストール：8 ステップ対応ガイド
個人開発者向けチェックリスト：
- 現在のバージョンを確認：ターミナルで
claude --version、またはnpm list -g @anthropic-ai/claude-codeを実行します。 - 影響区間か照合：バージョンが 2.1.91 – 2.1.196 なら即時更新。2.1.197+ なら changelog とバイナリの一致を確認します。
- プロキシエンドポイントを確認（トリガー条件）：
echo $ANTHROPIC_BASE_URLを実行。api.anthropic.com以外を指す場合、指紋識別の対象となり得たグループに属します。 - 最新版へ更新：
npm install -g @anthropic-ai/claude-code@latestまたはclaude updateを使用します。 - 完全アンインストール（必要時）：npm パッケージに加え、macOS／Linux の残存パス
~/.claude、~/.claude.json、~/.cache/claude-code、~/.config/claude-codeを削除。Windows は%USERPROFILE%\.claudeなどに対応します。 - 代替ツールの評価：企業ユーザーは Qoder、通義灵码、Cursor などを参考に。選定はコンプライアンス政策とデータ越境要件を踏まえます。
企業 IT 向けチェックリスト：
- 開発端末の全面棚卸し：NVDB の推奨に従い、全員の Claude Code インストールバージョンを資産管理し、2.1.91–2.1.196 の継続使用を禁止します。
- 外向きトラフィックの監査：アンインストールは終点ではありません。非認可 AI サービスエンドポイントへの継続的な外向き通信がないか確認し、コア業務ネットワークの egress 管理を強化します。
claude --version
echo $ANTHROPIC_BASE_URL
npm install -g @anthropic-ai/claude-code@latest
claude update| 種別 | バージョン | 日付 |
|---|---|---|
| 初めて隠蔽機構を含む版 | v2.1.91 | 2026-04-02 |
| 最終の影響版 | v2.1.196 | 2026-06-29 |
| 修正版 | v2.1.197（一部は 2.1.198） | 2026-07-01/02 |
06 Claude Code バックドア FAQ、情報源と CALMVPS まとめ
- Claude Code にバックドアはあるのか？v2.1.91–2.1.196 では Anthropic が未開示の隠写指紋機構を展開。NVDB は安全バックドアリスクと定性。Anthropic は反蒸留実験と称し v2.1.197 で除去しました。
- どのバージョンが影響を受けるか？v2.1.91（2026-04-02）から v2.1.196（2026-06-29）までです。
- 公式 API を使えば影響はあるか？ありません。
ANTHROPIC_BASE_URLが非公式プロキシ／ゲートウェイを指す場合のみ起動します。 - バージョンの確認方法は？
claude --versionを実行します。 - Claude Code は今後も使えるか？2.1.197+ へ更新すれば技術リスクは緩和。企業はコンプライアンス政策と阿里などの禁止令を踏まえ自己評価が必要です。
- どのような隠写術が使われたか？system prompt の日付区切りと Unicode アポストロフィ変種を改ざんし、タイムゾーン／プロキシ／ラボ信号をエンコードしました。
- 阿里が禁止した理由は？内部で Claude Code を高リスクソフトウェアと位置づけ、7 月 10 日から全社 Qoder へ移行します。
- release notes に記載はあったか？影響を受けた全バージョンの changelog に該当機構の記載はありません。
- 今は安全か？v2.1.197+ でコードは除去済み。継続利用は組織のリスク許容度に依存します。
- モデル蒸留と今回の事件の関係は？Anthropic は機構が未認可転売と蒸留パイプラインを標的としたと説明。動機理解の鍵ですが、未開示の隠蔽実装という問題は変わりません。
引用可能なハードデータ：
- ドメインブラックリスト規模：約 147 件、XOR(91)+Base64 で難読化
- Qwen 蒸留指控の規模：約 2.5 万の不正アカウント、2880 万回のインタラクション（Anthropic 上院書簡の口調）
- エンコード容量：1 ビットの日付形式 + 3 種類のアポストロフィ変種 ≈ 3 bit の環境情報
情報源（公開後にリンクを再度開いて照合してください）：
IT之家：工信部が Claude Code 安全リスク警告を発表
CNBC：China warns about AI risks with Anthropic's Claude Code
The Register：China ditch older Claude versions with backdoor code
Thereallo：Claude Code Is Steganographically Marking Requests
ローカルノート PC や共有 VPS で Claude Code と CI を動かす際の典型的な弱点は、スリープによる Agent の常駐切断、複数プロジェクトによる同一インスタンスの競合、機微環境での隔離と監査可能な外向きトラフィックの確保困難です。Claude Code、OpenClaw、iOS CI/CD を安定稼働させる本番環境には、CALMVPS ベアメタル Mac Mini レンタルが独占 Apple Silicon、7×24 オンライン、120 秒デプロイ、月額柔軟課金を提供します。API ベンダーの信頼危機や輸出規制の頻繁な変更時でも、独立ノード上でエンドポイント切替と Agent インスタンスの隔離によるホットマイグレーションが可能です。詳細は 料金ページをご覧ください。
本記事は工信部 NVDB 公告および公開メディア報道に基づく技術・コンプライアンス参考情報であり、法的助言やセキュリティ監査の結論を構成しません。アンインストール、禁止、トラフィック管理措置の前に、各組織のセキュリティポリシーに照らしてご自身で評価してください。