工信部近日发布了一项重磅风险提示，直接点名Anthropic公司的AI编程工具Claude Code——这是一款能根据自然语言指令自动编写代码并修复漏洞的明星AI编程工具，但被检测到存在安全后门，且危害评级为“严重”。具体而言，该工具在用户未授权的情况下，向远程服务器回传敏感信息，包括地理位置、用户身份标识等不应被泄露的数据。影响范围涵盖2.1.91至2.1.196版本，几乎覆盖了当前主流的绝大多数使用中版本。

此事件之所以值得高度警惕，不仅因为数据泄露本身。试想，在开发终端上运行的这款工具如同一个“带眼线的助手”，一边辅助编写代码，一边悄然获取开发环境的敏感信息——这无异于在核心开发环境中留下一个安全后门。行业此前持续关注AI编程工具的数据安全问题，但此次直接由国家漏洞平台公开点名，表明问题已从理论担忧变为具体威胁，不再是纸面上的顾虑。

面对这一风险，该如何应对？工信部给出了明确的应对建议：首先，立即排查所有安装了受影响版本（2.1.91至2.1.196）Claude Code的开发终端；其次，卸载或升级至最新版本（最新版已清除后门代码）；第三，从长期角度，应加强核心业务网段中开发工具的外联权限管控和流量监测，防止类似事件再次上演。这一建议尤为关键——许多团队安装后直接使用，忽略了对外部通信的管控，等到数据外泄才追悔莫及，已为时晚矣。

总而言之，此次事件为所有依赖AI编程工具的团队敲响了警钟：工具的便捷性固然重要，但安全可控更为关键。没有任何团队希望代码库和用户数据在不知情的情况下被“同步”至第三方服务器。行业最佳实践是将开发工具的联网权限降至最低，必要时采用离线版本。然而，Claude Code依赖云端能力，离线方案难以实施，因此，外联管控和流量审计成为必须弥补的安全短板。