Claude Code バックドア問題を解説
ステガノグラフィ、影響バージョン、開発者の対処法（2026）

Claude Code を個人またはチームで利用している開発者の方へ、2026年7月8日に中国工業和信息化部のサイバーセキュリティ脅威・脆弱性情報共有プラットフォーム（NVDB）が、v2.1.91–v2.1.196 に重大なセキュリティバックドアリスクがあると警告しました。内蔵監視機構が同意なく地域や識別情報を外部へ送信する恐れがあります。本記事では、NVDB 公告の要点、2月から7月10日までのタイムライン、ステガノグラフィの3段階分解、NVDB・Anthropic・アリババ各社の声明、米中 AI 蒸留争いの文脈、よくある誤解の事実確認、個人・企業向け処置チェックリスト、FAQ 10問を一次情報に沿って整理します。技術詳細はステガノグラフィ逆解析の長文を参照してください。開発端末の分離には料金ページもご覧ください。

[ SECTION_01 ] // TL;DR Claude Code バックドアリスクとは？30秒で押さえる要点

  • 規制当局の定性（7月8日）：工信部 NVDB は Anthropic Claude Code に重大なセキュリティバックドアリスクがあると指摘しました。内蔵監視機構が、ユーザー同意なく地域・識別情報などの機微データをリモートサーバーへ送信する可能性があります。
  • 影響バージョン：v2.1.91（2026-04-02）から v2.1.196（2026-06-29）まで。約3か月にわたり配布され、changelog には一切記載がありませんでした。
  • 当局の推奨処置：影響バージョンの即時アンインストールまたは最新安全版へのアップグレード、開発端末の外向き通信管理とトラフィック監視の強化。
  • 重要な補足：この機構は全ユーザーに作動するわけではありません。ANTHROPIC_BASE_URL が非公式エンドポイント（企業ゲートウェイ、第三者プロキシ、API 中継）を指す場合にのみ活性化します。
  • 企業の連鎖反応：アリババなど大手企業が制限・禁止を実施し、7月10日から全社員が社内ツール Qoder へ移行しました。
  • ベンダー回答：Anthropic エンジニア Thariq Shihipar が3月導入の「実験的」反悪用・反蒸留措置を認め、翌日版でロールバックを約束。v2.1.197（一部報道では v2.1.198）でステガノ検知コードは削除済みです。
  • 今すぐ実行：claude --version で自己確認し、影響範囲内であれば直ちにアップグレードまたはアンインストールしてください。

[ SECTION_02 ] // TIMELINE Anthropic の埋め込みから工信部定性まで：完全イベント年表

Claude Code バックドア事件タイムライン（2026年2月–7月10日）
時期 出来事
2026年2月 Anthropic が反モデル蒸留技術（分類器、行動指紋、情報共有など）への投資を公表
2026年3月 Claude Code 内部で隠蔽検知機構が静かに導入、公開開示なし
2026-04-02 v2.1.91 リリース、隠蔽検知コードが配布を開始
2026年4月–6月 約20バージョンが迭代、検知ロジックは継続、changelog 未記載
2026-06-29 v2.1.196 リリース（影響範囲の最終バージョン）
2026-06-30 Reddit ユーザー LegitMichel777 が暴露投稿。Thereallo が技術分析を公開。Adnane Khan が GitHub で逆解析レポートを公開し、v2.1.193/195/196 に該当ロジックがあることを検証
2026-07-01 Thariq Shihipar が X で「実験的」反悪用・反蒸留機構を公認し、翌日ロールバックを約束
2026-07-02 v2.1.197（一部報道では v2.1.198）リリース、ステガノ検知コード削除、changelog では明示なし
2026-07-03/04 Reuters・TechCrunch が報道：アリババが7月10日から Claude Code と Anthropic 関連モデルを全社禁止し Qoder へ移行
2026-07-08 工信部 NVDB が正式リスク警告を発表、重大なセキュリティバックドアリスクと定性
2026-07-10 アリババ社内禁止令が正式発効

物語の流れはこうです。Anthropic が中国関連ユーザーを識別するための埋め込みを実施し、開発者が逆解析で暴露、ベンダーが謝罪してロールバック、アリババが禁止、工信部がバックドアと定性する——規制当局の通報はこの連鎖の最終環にすぎません。

[ SECTION_03 ] // TECH Claude Code ステガノグラフィ監視機構：技術3段階の分解

第一段階：作動条件（最も誤解されやすい点）

隠蔽機構は全ユーザーに作動しません。環境変数 ANTHROPIC_BASE_URL で API リクエストが非公式エンドポイント（企業ゲートウェイ、第三者プロキシ、API 転売・中継サービス）を向く場合にのみ活性化します。公式 api.anthropic.com を利用する一般ユーザーはこの検知経路をトリガーしません。

第二段階：環境偵察——端末が「中国関連ユーザー」かどうかを判定

  • システムタイムゾーン検査：Asia/Shanghai または Asia/Urumqi かどうか
  • プロキシドメインブラックリスト照合：ANTHROPIC_BASE_URL の hostname を内蔵リストと比較

複数の独立した逆解析（LegitMichel777、Thereallo、Adnane Khan、Vincent Schmalbach など）によれば、ブラックリストは147エントリで、中国大手テック企業ドメイン（アリ、百度、バイトダンスなど）、中国 AI ラボキーワード（DeepSeek、Moonshot、智譜、MiniMax、Baichuan、StepFun、01.AI など）、既知の API プロキシ・転売ゲートウェイを含みます。リストは XOR 暗号化（キー 91）+ Base64 エンコードで二重に難読化されており、通常の strings 検索では直接抽出できません。

第三段階：ステガノ符号化——結果を「こっそり」送り返す

本事件が「ステガノグラフィ（steganography）」と呼ばれ、単なる「テレメトリ（telemetry）」ではない理由はここにあります。独立したデータ送信チャネルは使わず、モデルへ送る system prompt 自体を改ざんしています。

  • 日付区切り：中国タイムゾーン命中時、日付形式が 2026-06-30（ハイフン）から 2026/06/30（スラッシュ）へ変化
  • Unicode アポストロフィ置換：Today's date is 内の標準アポストロフィ ' が、視覚的にほぼ判別不能だが Unicode コードポイントが異なる3種のアポストロフィに置換され、「タイムゾーン命中 / ドメイン命中 / AI ラボキーワード命中」の3ビットを符号化

セキュリティ研究者 Adnane Khan はこれを 「a covert information channel embedded in system prompts」（システムプロンプトに埋め込まれた隠蔽情報チャネル）と定義しました。1ビットの日付形式と3種のアポストロフィ変体で約3ビットの環境情報を、一見正常な英文の1文に隠します。

影響バージョンと安全バージョンの対照
区分 バージョン 日付
隠蔽機構を含む最初の版 v2.1.91 2026-04-02
最後の影響バージョン v2.1.196 2026-06-29
修正版 v2.1.197（一部報道では 2.1.198） 2026-07-01/02

[ SECTION_04 ] // STATEMENTS 工信部・Anthropic・アリババ：各社声明と用語の対照

各主体の定性用語対照表
出典 主要な定性用語 叙述の焦点
NVDB / 工信部 重大なセキュリティバックドアリスク / 危害が深刻 コンプライアンスとデータ外部送信リスク
CNBC / Reuters / CBS security backdoor / built-in monitoring mechanism 規制定性の中立転載と企業連鎖反応
The Register covert code / secret steganography system 技術的説明責任と未開示アップデート
Ars Technica spyware-like tracking / secret Claude tracker 信頼危機と政策分析
Cybernews a nothing burger（一部技術コミュニティの見解） 過剰反応論、実質は反蒸留エンジニアリング手段
Anthropic 公式 experiment / anti-abuse / anti-distillation measure 正当な防御目的の強調、悪意ある監視ではないとの主張

工信部 / NVDB の推奨処置：開発端末の全面点検 → アンインストールまたはアップグレード → コア業務ネットワークの外向き権限管理とトラフィック監視の強化。

Anthropic / Thariq Shihipar（X 投稿の要旨）：「This is an experiment we launched in March that was meant to prevent account abuse from unauthorized resellers and protect against distillation... this should be fully rolled back in tomorrow's release.」——「バックドア（backdoor）」ではなく「実験（experiment）」と定性し、不正アカウント転売悪用とモデル蒸留対策が目的だと説明しています。

アリババ（SCMP・Ars Technica 引用）：「As Claude Code was recently discovered to carry back-door risks... added to a list of high-risk software with security vulnerabilities.」発効日は2026年7月10日。対象は Claude Code および Anthropic 関連モデル製品（Sonnet、Opus、Fable など）で、代替は社内プログラミング基盤 Qoder です。

[ SECTION_05 ] // CONTEXT 事件の延長：米中 AI モデル蒸留争い

これは孤立したバグではなく、2026年の米中 AI 競争の縮図です。

  • Anthropic は長らく中国および「敵対地域」ユーザーへの直接アクセスを禁止していますが、VPN、海外の電話番号・クレジットカード、第三者プロキシで回避するユーザーが存在します。
  • 2026年2月、北京大学と中国科学院の研究者が論文を発表し、中国の主要大規模モデルの多くに海外モデルからの蒸留痕跡があると報告しました。
  • Anthropic は DeepSeek、Moonshot AI、MiniMax、アリババなどが無許可で Claude 出力を自社モデル訓練に利用したと主張し、米上院銀行委員会への書簡ではアリ Qwen チームが約2.5万の不正アカウントで2880万回のインタラクションを行い Claude 能力を窃取しようとしたと具体的に指控しました。
  • Claude Opus 4.8 がテストで「自分は Qwen / DeepSeek だ」と誤認した事例は、二重基準の証拠だと一部コメンテーターが指摘しています。
  • 中国企業は自研・オープンソースモデル体系（DeepSeek、通義 Qwen、Kimi/Moonshot、智譜、MiniMax など）へ広く移行しており、アリ社内ツール Qoder はその具体例です。

[ SECTION_06 ] // FACTCHECK 事実確認と記述の補正：よくある5つの誤解

  • 誤解1——「全ユーザーを監視」：作動するのは ANTHROPIC_BASE_URL が非公式エンドポイントを向く場合のみです。必ずこの限定条件を付けて記述してください。
  • 誤解2——修正バージョン番号：多くの一次報道は v2.1.197（7月1日）を指しますが、一部中国語技術メディアは v2.1.198 と記載しています。「2.1.197 以降」で統一するのが安全です。
  • 誤解3——「バックドア」という唯一の呼び方：技術コミュニティでは「ステガノグラフィ検知機構」や covert channel と呼ぶのがより正確です。Anthropic は「実験」と称し、検索意図と当局口径に合わせて「バックドア」を主に用いる記事もあります。
  • 誤解4——データ漏洩スキャンダル：公開報道では、この機構により具体的な経済損失を被ったユーザーが確認された事実はありません。直接の結果はアカウント制限リスクであり、未開示監視行為とコンプライアンスリスク自体に焦点を当てるべきです。
  • 誤解5——通常テレメトリとの混同：Claude Code には Datadog や OpenTelemetry などの通常収集もありますが、今回の論点はステガノグラフィ、未開示、地域・競合他社向け指紋付け、そしてファイルシステム読み書きと Shell 実行という高権限を持つツール内での隠蔽行為です。

開発チームが重視すべき論点：

  • 高権限ツール内の隠蔽行為：Claude Code はファイルシステムの読み書きと Shell コマンド実行が可能です。「見えない動作」への許容度は本来より低くあるべきです。
  • 企業ゲートウェイの誤爆範囲：多くのチームが社内 API ゲートウェイで課金と監査を一元化しており、これがまさに作動条件を満たします。
  • コンプライアンス連鎖：工信部の定性とアリババの禁止は、他の大企業が追随する先例になり得ます。
  • changelog の空白：約3か月のゼロ開示はサプライチェーンの透明性と E-E-A-T を損ないます。
  • アカウント制限リスク：機構の目的の一つは蒸留・転売パイプラインの識別であり、命中ユーザーは確認済みのデータ悪用ではなくアカウント制限に直面する恐れがあります。

[ SECTION_07 ] // ACTION Claude Code バージョン確認・アップグレード・完全削除：個人と企業の処置チェックリスト

terminal — version check 
claude --version
echo $ANTHROPIC_BASE_URL
npm install -g @anthropic-ai/claude-code@latest
claude update

個人開発者向け処置（6ステップ以上）：

  1. バージョン確認：claude --version を実行し、v2.1.91–v2.1.196 の範囲内かどうかを確認します。
  2. プロキシ設定確認：echo $ANTHROPIC_BASE_URL を実行し、api.anthropic.com 以外を指していれば作動経路にあった可能性があります。
  3. 即時アップグレード：npm install -g @anthropic-ai/claude-code@latest または claude update を実行し、v2.1.197 以降であることを確認します。
  4. 完全アンインストール（任意）：macOS/Linux では ~/.claude、~/.claude.json、~/.cache/claude-code、~/.config/claude-code を削除します。Windows では対応する %USERPROFILE% 配下を削除します。
  5. 代替ツールの評価：企業ユーザーは Qoder、通義灵码、Cursor などを参照できます。個人は用途に応じて選定してください。
  6. 継続的な注視：7月10日前後のアリババ禁止発効と業界の追随報道を確認し、必要に応じて dateModified を更新します。

企業 IT・コンプライアンス向け処置（6ステップ以上）：

  1. 全端末の一括点検：すべての開発マシンで Claude Code のバージョンと ANTHROPIC_BASE_URL 設定をスキャンします。
  2. 強制アップグレードまたは禁止：影響バージョンは一律で v2.1.197 以降へアップグレードするか、社内方針に従いアンインストールと使用禁止を実施します。
  3. 外向きトラフィック監査：非認可 AI サービスエンドポイントへの継続的な外向き通信を調査し、アンインストールだけで終わらせません。
  4. コア業務ネットワークの管理強化：外向き権限管理とトラフィック監視を徹底し、NVDB の推奨を実装します。
  5. 代替案の評価：社内ツール（Qoder など）や国産・オープンソースモデル系コーディングアシスタントへの移行経路を評価します。
  6. ポリシー文書の更新：Claude Code を高リスクソフトウェアリストに追加し全社員へ通知し、監査記録を残します。

引用可能な技術情報：

  • 影響バージョン範囲：v2.1.91（2026-04-02）から v2.1.196（2026-06-29）まで、約3か月 changelog 未開示。
  • ブラックリスト規模：147エントリ、XOR-91 + Base64 二重難読化（複数の逆解析レポートに基づく）。
  • 符号化容量：1ビットの日付形式 + 3種の Unicode アポストロフィ変体 ≈ 3ビットの環境情報。
  • アリ蒸留指控の規模：約2.5万の不正アカウント、2880万回のインタラクション（Anthropic 上院銀行委員会書簡の引用に基づく）。

[ SECTION_08 ] // FAQ Claude Code バックドア FAQ と参考資料

Q：Claude Code にバックドアはありますか？
v2.1.91–2.1.196 では、Anthropic が未開示のステガノグラフィ指紋を組み込んでいました。工信部 NVDB は重大なセキュリティバックドアリスクと定性し、Anthropic は反蒸留実験と説明して v2.1.197 で削除しました。

Q：影響を受けるバージョンはどれですか？
v2.1.91（2026-04-02）から v2.1.196（2026-06-29）までです。v2.1.197 以降へアップグレードしてください。

Q：公式 API を使えば影響を受けますか？
影響を受けません。ANTHROPIC_BASE_URL が非公式プロキシやゲートウェイを指す場合にのみ作動します。

Q：バージョンの確認方法は？
ターミナルで claude --version を実行してください。

Q：アンインストールすべきですか？
影響バージョンは直ちにアップグレードが必要です。コンプライアンス要件のある企業は追加でアンインストールと外向きトラフィック監査を検討してください。

Q：ステガノグラフィはどの技術を使っていますか？
system prompt の日付区切りと Unicode アポストロフィ変体で3つのブールフラグを符号化します。

Q：アリババが禁止した理由は？
報道によれば Claude Code を高リスクソフトウェアに指定し、7月10日から全社員が Qoder へ移行しました。

Q：changelog に開示されましたか？
されていません。影響バージョンおよび修正版の changelog に明示的な記載はありません。

Q：今は安全ですか？
2.1.197 以降では関連コードは削除済みです。継続利用は組織のリスク許容度とコンプライアンス方針次第です。

Q：モデル蒸留とこの事件の関係は？
Anthropic は機構を不正転売と蒸留パイプライン対策と説明しており、米中 AI 競争の背景と直接結びついています。

本記事は工信部 NVDB 公告および公開報道に基づく技術・コンプライアンス参考情報であり、法的助言やセキュリティ監査結論を構成するものではありません。

以下は主要な参考資料です。上流のリリースや公式文書が更新された場合は、再度リンクを開いて内容をご確認ください。

IT之家：工信部が Claude Code のセキュリティバックドアリスクを警告

新京报：工信部、Claude Code に重大なバックドアリスク

CNBC: China warns about AI risks with Anthropic's Claude Code

The Register: China: Ditch older Claude versions with backdoor code

Thereallo: Claude Code Is Steganographically Marking Requests

Claude Code を個人ノート PC や共有オフィスネットワーク上で動かしている場合、工信部の定性とアリババの禁止は、コンプライアンス監査・外向きポリシー・バージョン管理がますます厳格になることを意味します。ノート PC のスリープは長時間の Agent タスクを中断し、共有ネットワークでは一貫した egress フィルタリングが困難です。

分離された 7×24 開発端末、制御可能な外向きポリシー、専有の Apple Silicon が必要であれば、AI コーディングアシスタントと iOS CI を階層分離して専用 Mac Mini ベアメタルノードへ配置する方が、コンプライアンスリスクが不透明な混合環境で運用を続けるより安定します。NOVAKVM は複数リージョンの Mac Mini M4 / M4 Pro を柔軟なレンタル期間で提供し、デフォルト SSH 接続、iOS CI/CD と AI Agent 自動化に適しています。詳細は料金ページ、注文は注文ページ、導入はヘルプセンターをご覧ください。