据媒体获取的内部通知，阿里集团将从 2026 年 7 月 10 日起禁止全体员工在工作环境中使用 Anthropic 的 Claude Code。通知将 Claude Code 定性为"近期被发现存在后门风险"的高危软件，列入安全漏洞清单，并要求员工改用阿里自研的编程助手 Qoder。据 Tom's Hardware 等媒体援引知情人士的消息，禁令范围实际超出了 Claude Code 本身——员工被要求停用所有 Anthropic 产品，涉及 Sonnet、Opus 和 Fable 等模型服务。
这则消息由中文财经媒体第一财经率先报道，随后路透社通过独立信源证实。阿里和 Anthropic 均未就禁令发表官方声明。这次争议提出了一个具体问题：能够读取代码、执行命令和连接外部服务的编程 AI，应当接受怎样的企业安全审查？
隐藏代码据称会检查代理和时区，并随请求发送分类信号
隐藏代码争议源于 6 月 30 日 Reddit 上的一篇帖子。用户 LegitMichel777 在 r/ClaudeAI 板块发文称，他在尝试恢复 Claude Code 一个被禁用的远程控制功能时，逆向工程发现了一段隐藏的检测逻辑。
据相关技术分析，这段代码自 2.1.91 版本（4 月 2 日发布）起就存在于 Claude Code 中，分析者未在发布说明中找到相关披露。他们将机制概括为三个步骤：
触发条件。 当 Claude Code 检测到自定义 API 地址（环境变量 ANTHROPIC_BASE_URL 被修改，可用于代理连接），代码会检查系统时区是否匹配 Asia/Shanghai 或 Asia/Urumqi，并将代理 URL 与一个硬编码列表比对。该列表包含约 147 个中国相关实体，涉及企业网络、云区域和 AI 实验室——阿里巴巴、百度、字节跳动、蚂蚁集团、月之暗面等均在其中。据分析，实体名称和域名经过 XOR-91 混淆和 base64 编码，难以通过普通明文搜索找到。
信号编码。 一旦匹配成功，工具不会发送明码遥测信号，而是通过隐写方式在系统提示词中编码检测结果：将日期格式从 2026-06-30 改为 2026/06/30，并用三个肉眼不可区分的 Unicode 撇号字符之一替换标准 ASCII 撇号，分别对应不同的检测组合（中国时区/中国代理/中国 AI 实验室）。
数据传输。 修改后的系统提示词随正常 API 请求发回 Anthropic 服务器，用户端无任何可见提示——但对 Anthropic 而言，这是一条机器可读的分类标记。
Anthropic 没有否认该机制的存在。Claude Code 团队成员 Thariq Shihipar 在 X（原 Twitter）上回应称，这是"我们在 3 月启动的一个实验，目的是防止未经授权的转售商的账户滥用行为，并防御模型蒸馏"。他表示团队"本来就打算移除这段代码"，对应的 Pull Request 已于 7 月 1 日合并。从 4 月 2 日发布到 7 月 1 日合并移除请求，相隔约三个月。
图片来源：Microsoft Security Blog。
编程 AI 可操作文件和命令，风险取决于授权与隔离措施
与只处理对话文本的产品相比，编程 Agent 还可能直接操作开发环境。这让它的权限配置和数据流向更值得审查。
Claude Code 是一个可在开发者终端运行的命令行编程 Agent。在相应授权和配置下，它能够读取整个代码仓库的文件结构、编辑和创建文件、执行 Shell 命令、管理 Git 工作流、通过 MCP（Model Context Protocol）连接外部工具和 API、访问环境变量（其中可能包含数据库密码和 API 密钥）。这些能力不等于所有权限默认开放；实际访问范围还受操作系统权限、工具审批规则和沙箱配置约束。
如果客户端还包含未披露的检测逻辑，安全团队就需要同时审查模型操作和软件自身行为。Docker 在一份 2026 年的安全分析中记录了至少 10 起已公开的 AI 编码工具事故，横跨 Claude Code、Amazon Kiro、Replit AI Agent、Google Antigravity IDE 和 Cursor 等六个主流产品，该分析将问题分为六类：文件访问缺少限制、继承过多权限、上下文泄露密钥、输入内容中的提示注入、恶意技能或插件，以及缺少人工介入的自主操作。
企业部署这类工具时，需要明确授予自动化程序哪些文件和网络权限。无论厂商将某项行为解释为反滥用还是反蒸馏，安全团队都需要了解它实际收集什么、传到哪里，以及用户是否知情。
阿里内部通知中的措辞——"经综合评估，列入存在安全漏洞的高风险软件清单"——说明公司将其作为内部软件安全问题处理。这是阿里的风险评估结论，尚不能代替对隐藏代码完整行为的独立技术审计。
图片来源：CyberSecurity News / LegitMichel777。
Anthropic 称检测用于反蒸馏，访问限制又加深用户疑虑
隐藏代码曝光前，Anthropic 已多次提出模型蒸馏指控。
6 月 10 日，Anthropic 向美国参议院银行委员会领导人致信，指控与阿里 Qwen 实验室相关的运营者在 4 月 22 日至 6 月 5 日期间，使用近 25,000 个欺诈账户生成了超过 2,880 万次 Claude 交互，构成 Anthropic 所描述的"规模最大的非法能力提取行动"。阿里未就此公开置评。
在此之前，Anthropic 已于 2 月公开指控 DeepSeek（超过 15 万次交互）、月之暗面（超过 340 万次交互）和 MiniMax（超过 1,300 万次交互）进行了工业规模的模型蒸馏攻击。Anthropic 在官方博客中详细描述了这些实验室如何通过代理服务搭建"九头蛇集群"架构——一旦某个账户被封禁，新账户立刻替代——来规避检测。
Anthropic 的商业访问限制涵盖中国等不支持地区的实体，以及由这些地区公司控制的海外实体。部分开发者借代理寻求访问；隐藏检测又涉及代理、时区和中国 AI 实验室域名，因此引起定向识别用户的担忧。公司所说的反滥用目的，与用户关心的数据处理方式，是需要分别说明的问题。
反蒸馏措施若涉及未披露的客户端识别和信号传递，就需要接受企业的数据与软件安全审查。各家企业是否允许使用，还取决于其风险要求和审查结果。
Meta 也限制外部编程工具，担心模型输出进入训练数据
其他科技公司也对编程 Agent 施加了内部限制，但理由与阿里并不完全相同。
6 月下旬，The Information 披露了 Meta 的内部文件，显示 Meta 已对旗下应用 AI 工程部门的工程师使用 Claude Code 和 OpenAI Codex 施加了严格限制。一份内部备忘录甚至要求部分团队暂停使用外部工具的任务，警告竞争产品的输出可能"渗入 Meta 的训练数据"，引发"与合作伙伴公司的严重升级事件"。
与阿里不同，Meta 的限制动机是防止无意的模型蒸馏：Meta 正在开发自研编程工具 MetaCode，如果工程师在开发过程中大量使用竞争对手的代码 Agent，Meta 可能在不经意间用对手模型的输出训练自己的系统——这可能涉及合同条款、知识产权与竞争风险，具体判断仍要看实际使用方式。Google 也被报道限制了 Meta 使用 Gemini 模型进行编程的量。
这些案例说明，企业在评估编程工具的效率之外，也会检查数据来源、使用协议和软件行为。不同公司的限制范围与风险判断仍需分别看待。
企业审查需要覆盖凭证、源代码、软件更新和网络连接
随着企业扩大 AI 部署，权限和治理问题也更受关注。Gartner 将"Agentic AI 治理"列为 2026 年顶级网络安全趋势之一，理由正是大多数组织部署 Agent 的速度远超治理框架的跟进速度。
代码 Agent 的特殊性在于，它同时触及了企业安全模型中最敏感的几层：
- 身份与凭证层：未作额外隔离时，Agent 进程可能取得当前用户的系统权限；具体可用范围还受沙箱、挂载目录和工具规则约束。开发者的终端往往存储着 SSH 密钥、云服务凭证、内部仓库的访问令牌。
- 代码资产层：Agent 天然需要读取和修改源代码——这是大多数科技公司最核心的知识产权。
- 供应链层：Agent 的更新机制、依赖库、远程配置下发通道都是潜在的供应链攻击面。检测逻辑存在约三个月才受到公开关注，也会促使安全团队进一步检查更新披露和客户端审计机制。
- 网络边界层：代码 Agent 的 MCP 工具连接、远程会话功能、CI/CD 集成意味着它可能成为跨越企业网络边界的数据通道。
安恒信息、奇安信等中国安全厂商近期已在报告中提示企业注意 AI 编码工具的客户端行为审计。Forcepoint 在 2026 年的一份报告中指出，"当 Agent 在跨企业基础设施中自主行动时，其访问权限、记忆、工具集成以及与其他 Agent 的连接，都变成了潜在的攻击面"。
阿里通知给出的理由是客户端安全风险。对采购团队而言，这一案例提示：在部署前检查客户端透明度和可审计性，并明确持续更新后的复查方式。
完整代码审计、禁令范围和后续执行仍待确认
截至本篇报道日期 7 月 3 日，距离禁令在 7 月 10 日生效还有一周，以下问题仍待确认。
首先，现有材料尚未提供独立第三方的完整安全审计，以确认隐藏代码的全部行为。Reddit 用户的逆向工程分析虽然详实，但未经过正规安全厂商的验证。Anthropic 表示已移除相关代码，但未承诺对产品进行全量审计或公开审计结果。
其次，阿里的禁令范围尚不完全明确。包括 Tom's Hardware 在内的多家媒体援引知情人士称，禁令覆盖所有 Anthropic 模型产品，而不仅是 Claude Code。如果属实，内部禁令将涉及更广的产品使用范围；是否同时终止所有采购或供应关系，还需另外确认。
第三，其他中国大型企业是否会跟进尚不可知。字节跳动和百度同样出现在 Claude Code 隐藏代码的检测名单中，这两家公司拥有大规模开发者团队和自研代码助手（百度的 Comate、字节的 MarsCode）。如果它们采取类似限制，会影响相关工具在这些企业内的使用，但是否进一步影响市场准入仍需观察。
最后，既有安全措施能否覆盖客户端的全部行为，仍需验证。浏览器有同源策略和跨域访问规则，移动应用与编程 Agent 也可以通过沙箱和权限配置限制操作。客户端仍运行厂商提供的程序代码，企业需要检查这些限制是否有效、更新是否可审计，而不能只依据厂商的安全承诺。
阿里此次内部禁令的公开理由是软件安全风险。对更广泛的企业部署而言，它提出了同一个要求：当编程 Agent 进入生产环境，厂商承诺需要得到权限控制、行为审计和数据处理说明的支持。 这些能力将直接影响企业允许它访问哪些系统，以及允许它完成哪些操作。
