我住台灣，我的 Claude Code 使用安全嗎？

目前已升至 v2.1.198 或更新版本的台灣用戶，使用安全。CNNVD 指控的偵測機制針對的是中國時區（Asia/Shanghai / Asia/Urumqi）和中國 AI 機構代理域名，台灣系統時區（Asia/Taipei）不在觸發條件內。執行 claude --version 確認版本即可。

我需要立即換工具嗎？

不需要。問題已在 2026-07-01 發布的 v2.1.198 中移除。台灣個人開發者確認版本後繼續使用即可。企業用戶若有嚴格合規需求，可評估 Cursor（SOC 2 Type 2）或 GitHub Copilot Enterprise，但應基於整體 AI 工具政策，而非單一事件反應。

什麼是 distillation attack（模型蒸餾攻擊）？

指大規模使用 AI 工具的輸出結果來訓練競爭模型，複製 AI 核心能力而不付授權費。Anthropic 指控多家中國 AI 公司在 2026 年上半年透過 25,000 個假帳號進行此類攻擊（2,880 萬次對話），這是 Anthropic 設計 anti-distillation 機制的直接原因。

v2.1.198 以後的版本已移除問題代碼，這是真的嗎？

是。Anthropic 工程師 Thariq Shihipar 確認，移除 ANTI_DISTILLATION_CC 偵測代碼的 PR 於 2026-07-01 合併，v2.1.198 為清洗後的首個版本。這早於 CNNVD 2026-07-08 的公告整整 7 天。

我有接中國大陸的案子，這樣使用 Claude Code 有問題嗎？

一般接案工作（連接中國電商、製造業、一般企業伺服器）不會觸發偵測條件，因為偵測針對的是中國 AI 機構代理域名（阿里巴巴 AI 平台、百度千帆等），不是中國商業伺服器本身。若你的工作環境完全在台灣時區（Asia/Taipei）下運行，且未使用中國 AI 機構平台的代理，則不受影響。

CNNVD 的「後門」警告和 CVE 有什麼不同，應該怎麼看待？

CVE（Common Vulnerabilities and Exposures）是國際標準化的漏洞編號系統，需要漏洞發現方、供應商和 MITRE 三方協作，並公開技術細節供第三方驗證。此次 CNNVD 警告未分配任何 CVE 或 CNVD 編號，也未公開可重現的技術分析，因此在國際資安社群中的參考價值有限。

工信部點名 Claude Code 後門疑雲：台灣開發者需要擔心什麼？

2026 年 7 月 8 日，中國工業和信息化部下屬的 CNNVD（中國國家信息安全漏洞庫）發布公告，指控 Anthropic 的 AI 程式開發工具 Claude Code 內藏「安全後門漏洞，構成嚴重威脅」。兩天後，阿里巴巴宣布全面禁用 Claude Code 及 Anthropic 所有模型，改用自家開發的 Qoder。

台灣開發者社群開始討論：「我每天都用 Claude Code，程式碼有沒有被傳出去？」根據我梳理這 12 個已驗證來源之後，從技術機制、時間軸和台灣開發者實際場景，給你一個清楚的答案。

TL;DR

問題版本：v2.1.91（2026-04-02）至 v2.1.196，已於 v2.1.198（2026-07-01）移除
Anthropic 說法：這是防範中國 AI 機構竊取模型能力的「反蒸餾實驗」，不是針對一般用戶的後門
台灣開發者：Asia/Taipei 時區不在偵測目標內，已升至最新版本則無此問題
CNNVD 警告：在 Anthropic 移除代碼一週後才發布，無正式 CVE 編號，有明顯政策動機
行動建議：執行 claude --version 確認在 v2.1.198+；企業用戶趁機建立 AI 工具資料分類政策

什麼是 CNNVD？它說的「後門」可信嗎？

CNNVD（中國國家信息安全漏洞庫）隸屬工信部，性質相當於美國的 NIST NVD。但這次警告有兩個關鍵異常。

第一，此次公告未分配任何 CVE 或 CNVD 正式漏洞編號。在標準資安實務中，這意味著它是「風險提示」而非正式漏洞認定，無法在國際資安資料庫中被追蹤或獨立驗證（來源：unwire.hk 2026-07-09、Igor's Lab 2026-07-08）。

第二，公告發布時機（2026-07-08）比 Anthropic 移除問題代碼晚整整 7 天。Anthropic 的代碼於 2026-07-01 已被 PR 移除，v2.1.198 也已發布，但 CNNVD 在一週後才發出警告，且與阿里巴巴禁令（7/4 內部通知、7/10 正式生效）時序高度吻合。

Igor's Lab 明確指出：沒有任何獨立第三方安全機構驗證 CNNVD 所描述的技術行為，CNNVD 公告也未公開可重現的技術分析。反而是 Anthropic 工程師提供的程式碼層級說明，具備更高的技術透明度。

你以為政府資安機構的公告比工程師推文更可信，但實際上這次的情況剛好相反。

完整時間軸：從 3 月實驗到 7 月禁令

台灣媒體集中報導的 7 月 8-10 日，其實是「政治落幕」週，技術問題早在一週前就已解決：

日期	事件
2026-03	Anthropic 內部啟動 anti-distillation 實驗
2026-04-02	v2.1.91 發布，為第一個含有偵測代碼的版本
2026-06-30	Reddit 用戶 LegitMichel777 公開逆向工程分析，揭露技術細節
2026-07-01	Anthropic 合併 PR 移除代碼，v2.1.198 發布
2026-07-04	阿里巴巴向員工發出內部通知（TechCrunch 以「reportedly」首報）
2026-07-08	工信部 CNNVD 正式公告
2026-07-10	阿里巴巴禁令正式生效，全面停用 Claude Code 及 Anthropic 所有模型

台灣開發者看到新聞報導時，使用的 v2.1.198+ 早已不含問題代碼。7/8 的 CNNVD 公告是政策動作，不是即時安全警報。

Anthropic 為什麼要這樣做？Anti-distillation 背景完整解析

這不是傳統後門，而是一個實驗性的「訓練資料污染」防禦機制。

Distillation attack（模型蒸餾攻擊） 是指用大量 prompt 和 Claude 的輸出結果來訓練競爭模型，複製 Claude 的核心能力而不付授權費。Anthropic 在致美國參議院的信中指控阿里巴巴使用 25,000 個虛假帳號進行 2,880 萬次對話（2026 年 4-6 月），稱為「已知最大規模的 distillation 攻擊」（自述；來源：CNBC 2026-07-06、T客邦）。

Anthropic 工程師 Thariq Shihipar 在 X 上公開說明：「This is an experiment we launched in March that was meant to prevent account abuse from unauthorized resellers and protect against distillation.」（來源：The Register 2026-07-01）

Anthropic 也告知 SCMP，中國用戶「本來就不應使用 Claude Code」，因為 Anthropic 原本就限制中國 IP 存取。

GovInfoSecurity 引述資安專家指出，Anthropic 保護智慧財產的動機合理，但在技術執行上未向用戶公開，是透明度問題。這是這次事件的真正爭議點，不是「有沒有偷傳你的程式碼」這個問題。

技術機制深度解析：ANTI_DISTILLATION_CC 如何運作

理解機制細節，才能評估你的實際風險。

觸發條件（同時滿足才觸發）：

系統時區：Asia/Shanghai 或 Asia/Urumqi。這是中國大陸的兩個標準時區標識符。台灣系統的標準時區為 Asia/Taipei，是完全不同的字串。
代理 URL：符合 147 個中國 AI 機構域名列表，包含阿里巴巴 DashScope、百度千帆、字節跳動、螞蟻集團、Moonshot AI、MiniMax 等（來源：unwire.hk 2026-07-09）。

觸發後行為：

機制不是偷傳你的程式碼，而是注入假工具資料（fake tool data），讓輸出對模型訓練「有毒」。同時使用 Unicode 字符替換（標準引號替換為視覺上相似的 Unicode 字符）加上日期格式切換，作為 steganographic 編碼（來源：The Register 2026-07-01）。

重要前提：偵測代碼已在 v2.1.198 中完全移除，2026-07-01 之後更新的版本不含此代碼。

你只要接過中國客戶的案子，不等於 Claude Code 就會被觸發。觸發條件非常具體，需要同時滿足「中國大陸系統時區」AND「中國 AI 機構代理域名」兩個條件。這對在台灣工作、使用台灣 ISP 的開發者而言，日常環境根本不符合。

台灣開發者的實際風險評估

根據我對上述技術機制的分析，一般台灣開發者的直接風險為零，但有兩個邊緣情境值得確認。

直接風險：無。 偵測機制需要同時滿足中國時區（Asia/Shanghai / Asia/Urumqi）和中國 AI 機構代理域名兩個條件，Asia/Taipei 不在列（來源：unwire.hk 2026-07-03、Igor's Lab 2026-07-08）。

邊緣情境 1：若工作環境配置了通過中國 AI 機構（阿里巴巴 DashScope、百度千帆等）的企業代理，且系統時區為 Asia/Shanghai，有極低概率觸發。但這種配置在台灣開發者中極少見。

邊緣情境 2：使用 v2.1.91 至 v2.1.196 版本且尚未更新的開發者，仍含有偵測代碼。立即執行 claude --version 確認，低於 v2.1.198 則更新。

台灣的「安全」純粹來自技術上的區別（時區字串差異），不是政治上的豁免。這個細節在下一節關於 VPN 場景很重要。

有中國業務的台灣開發者：VPN 與跨境工作場景

接中國案子的開發者最常問這個問題。根據偵測邏輯，多數常見工作情境不在觸發條件內：

場景 A：使用 VPN 連中國一般商業客戶伺服器（電商、製造業）

中國一般企業的伺服器域名不在 147 個中國 AI 機構域名列表內，不會觸發（來源：unwire.hk 2026-07-09 域名列表分析）。觸發對象是中國 AI 機構的代理，不是中國商業伺服器本身。

場景 B：使用中國 AI 平台 API 作為服務層（如 DashScope、千帆、火山引擎等）

若企業代理路由通過這些機構的域名，且系統時區恰好設為 Asia/Shanghai，屬於需要關注的邊緣情境。但台灣開發者在正常工作環境下，系統時區通常仍是 Asia/Taipei。

另一個常見顧慮是「帳號會不會被停用」。Anthropic 的機制是污染輸出資料，而非直接停用帳號。SCMP 報導 Anthropic 稱中國用戶「本來就不應使用」，這是政策立場，不是技術動作（來源：SCMP 2026-07-10）。

在 v2.1.198+ 版本下，上述考量已無實際影響，因為代碼已移除。

企業 CTO 評估框架：這次事件給 AI 工具採購的啟示

這次事件是建立企業 AI 工具資料政策的最佳時機，但不構成「立即換工具」的技術理由。

透明度指標：Anthropic 此次未主動揭露實驗，工程師 Thariq Shihipar 的公開說明是在 Reddit 揭露後的反應性回應，而非主動公告（來源：The Register 2026-07-01）。對比之下，Cursor 持有 SOC 2 Type 2 認證，提供可查核的合規承諾。

正確的評估維度：任何 AI 工具供應商在技術上都有能力對特定用戶群執行不同行為，差異在於是否有可查核的審計框架。SOC 2 Type 2 提供的不是「保證不會有問題」，而是「問題發生時有可追溯的記錄」。

如果你在評估不同 AI coding 工具的整體安全性，可以參考Claude Code vs Gemini CLI vs Codex CLI 的完整比較，了解三個工具在資料處理政策上的實際差異。

工具替換選項（供有嚴格合規需求的企業）：

GitHub Copilot Enterprise：Microsoft 擁有，SOC 2 認證，Enterprise 方案有資料不用於模型訓練的書面承諾；適合已在使用 Microsoft 365 生態系的企業
Cursor Business：SOC 2 Type 2 認證，是目前 AI coding 工具中合規認證最完整的選項，IDE 整合深度高
Windsurf Enterprise（前 Codeium）：支援本地部署，資料主權最明確

現實面：Claude Code 的 1M token context 和 agent 能力在同類工具中仍屬領先。一個修復 7 天後才被中國政府點名的事件，不構成立即換工具的技術理由。

中美 AI 工具戰場：阿里巴巴禁令的更深意義

這是 AI 供應鏈智財權爭奪公開化的早期案例。

Anthropic 在致美國參議院的信中（自述）指控阿里巴巴的 25,000 個假帳號、2,880 萬次對話是「已知最大規模的 distillation 攻擊」（來源：CNBC 2026-07-06）。若此指控屬實，阿里巴巴在被公開點名後推出禁令並強推 Qoder，邏輯上是一次將「安全事件」轉化為「推廣自家產品」的市場替換行動。

Qoder 的推廣時機恰好與禁令同步執行，顯示這個決定不僅是安全回應，也是商業替換策略（來源：TechCrunch 2026-07-04、unwire.hk 2026-07-03）。

對台灣的意義：台灣開發者目前在技術上可以自由使用美國 AI 工具，但如果 AI 工具本身開始用「地理偵測」作為防禦或反制機制，台灣企業未來在工具選擇上需要有更明確的供應商風險考量。這次事件是 AI 工具進入「陣營化」的明確信號，不是孤立的技術事故。

風險揭露：這件事還有哪些不確定性

問題代碼已修復，但有三個未解決的透明度問題值得持續關注：

1. Anthropic 目前無正式部落格公告

Thariq Shihipar 的說明是工程師個人 X 貼文，而非官方政策聲明或 CVE 公告。企業用戶若需要正式文件佐證，目前仍缺乏。這個缺口對有合規審計需求的企業是實際問題。

2. AI 工具差異化行為的透明度問題未解

此次機制未公開部署，揭示了一個結構性問題：AI 工具供應商在法律和技術上有能力對特定用戶群執行不同行為，而現行 ToS 通常沒有明確禁止這種做法。v2.1.198 修復的只是代碼，不是這個行業的透明度缺口，未來類似機制可能在其他工具中被部署（來源：GovInfoSecurity 2026-07-08）。

3. 跨國 AI 智財權訴訟的前景不明

若 Anthropic 的蒸餾攻擊指控屬實，相關法律責任涉及跨國 AI 智財權的前沿問題，目前沒有明確判例。這是整個事件中最長尾的不確定性。

本文的分析和風險評估基於截至 2026-07-15 的已驗證公開資訊，如 Anthropic 有後續官方聲明或獨立第三方技術驗證，建議以最新資訊為準。

給台灣開發者的行動清單

CNNVD 這份「後門」警告，本質是中美 AI 競爭的公關延伸，不是針對台灣開發者的安全威脅。Anthropic 確實在未公開的情況下對中國 AI 機構部署了差異化技術機制，但這個機制的設計目標是讓竊取者學到錯誤的東西，而不是偷取用戶代碼，而且早在 CNNVD 發出警告一週前就已移除。

如果你是台灣個人開發者：執行 claude --version，確認在 v2.1.198 或更新版本，繼續使用。這次事件不需要換工具。

如果你是 CTO 或負責企業 AI 工具採購：這次事件是建立 AI 工具資料分類政策的好時機。哪些程式碼可以進 AI 工具的 context、哪些不行，這個政策適用於 Claude Code、Cursor、Copilot，也適用於下一個你還不知道的工具。不要讓單一事件驅動工具替換，讓整體資料政策驅動工具評估。

同時，這個事件讓我對 AI coding 工具的MCP 安全配置有了新的觀察：工具層的行為透明度，和 MCP 協定層的存取控制，都是現階段 AI 開發環境中值得認真對待的配置面向。