Claude Codeは使い続けて安全？隠しコード問題と企業の取るべき対策

AI開発・自動化

普段使っているAIコーディングツールが、あなたの居場所を裏でこっそり見分けて本社に報告していたら——そんな不気味な話がClaude Codeを巡って現実になった。中国のアリババが7月10日付でClaude Codeの社内利用を全面禁止し、全従業員にAnthropic製品のアンインストールを命じたのだ。単なる企業間の喧嘩では片付けられない、AIツールの「信頼」の根幹を揺さぶる技術的な論点がそこにある。

エグゼクティブ・サマリー

  • アリババが「Claude Code」を高リスクソフトに分類し、7月10日から社内利用を全面禁止。従業員には自社製「Qoder」への移行と、Sonnet・Opus・Fableを含む全Anthropic製品の削除を指示。
  • 引き金は、Claude Code内に中国ユーザーを見分ける「隠しコード」が仕込まれ、その検出結果をステガノグラフィで秘匿送信していたという告発。コードはv2.1.91（4月2日）から無記載のまま存在していた。
  • 背景には、AnthropicがアリババのQwen研究所を「過去最大規模の蒸留攻撃」の主体だと米上院に告発した対立がある。隠しコードは蒸留対策の「実験」だったとAnthropic側は説明するが、告発内容はいずれも係争中である。

この記事で分かること

  • Claude Codeに仕込まれていたとされる「中国検出コード」が、技術的にどう動き、なぜユーザーに気づかれなかったのか
  • Anthropicがなぜそんな仕組みを必要としたのか——「蒸留攻撃」という業界共通の頭痛の種の正体
  • 一連の騒動がAI業界全体に突きつける、ツール選定とサプライチェーン・セキュリティの新しい論点

AIエージェントにPCを丸ごと預ける危うさ——従来型セキュリティが見落とす死角

まず押さえておきたいのは、Claude Codeのようなツールが従来のアプリと決定的に違う点だ。これは単なるチャットボットではなく、あなたのターミナルでコマンドを実行し、ファイルを読み書きし、シェルを操作するエージェント（※人間の指示を受けて自律的に作業を代行するAIのこと）である。

裏を返せば、ユーザーはこの手のツールに対して、自宅の合鍵を渡すのに近い信頼を預けている。玄関だけでなく金庫の中まで自由に開けられる合鍵だ。だからこそ、その合鍵の持ち主が家の中で何を見て、何をメモして持ち帰っているのかは、契約書（利用規約）にすべて明記されていなければ筋が通らない。

ところが従来型のセキュリティ対策は、この死角をうまく捉えられない。多くのソフトは利用状況を開発元へ自動送信するテレメトリ（※ソフトが動作状況を開発元へ自動で送る仕組みのこと）を持つが、その多くは「何を送っているか」が比較的追いやすい。問題になるのは、次のような条件が重なったときだ。

  • 送信内容が難読化されている：中身をひと目で読めないよう暗号的に隠されている
  • 送信方法が非可視である：通常のログではなく、人間の目に触れない経路に紛れ込ませている
  • リリースノートに記載がない：更新履歴のどこにも「この機能を追加した」と書かれていない

この3つが揃うと、たとえ収集しているデータ自体はプライバシーポリシーの範囲内だったとしても、話は一気にきな臭くなる。今回Claude Codeで見つかったとされる仕組みは、まさにこの3条件を満たしていた。

Claude Codeの「中国検出コード」とは？ステガノグラフィで送られた正体を解説

事の発端は、2026年6月30日にRedditのr/ClaudeAIへ投稿された一本の告発だった。LegitMichel777を名乗る開発者が、無効化されていたリモート制御機能を復元しようとClaude Code（v2.1.196）を解析する過程で、見覚えのない難読化コードに行き当たったという。

彼の分析によれば、その隠しロジックはv2.1.91（4月2日リリース）から更新履歴に何の記載もないまま静かに搭載されていた。動作の流れはこうだ。

まず、ユーザーがプロキシ（※通信を中継して接続元を隠すサーバーのこと）を経由していることを検知すると、コードは二段構えの照合を始める。

  • タイムゾーンの照合：システムの時刻設定が Asia/Shanghai（上海）または Asia/Urumqi（ウルムチ）になっていないかを確認する
  • 接続元の照合：プロキシのURLを、中国系ドメインや中国AIラボの識別子を並べたハードコード済みのリスト（一部報道では147件）と突き合わせる。リストにはアリババ、バイドゥ、バイトダンス、アントグループ、ムーンショットAIなどが含まれていたとされる

ここまでなら「地域判定」に過ぎない。この一件をスキャンダルへと押し上げたのは、判定結果の送り方だった。

コードは検出結果を、あからさまなログとして送るのではなく、Anthropicのサーバーへ返されるシステムプロンプト（※AIに毎回渡される前提の指示文のこと）の中に、こっそり埋め込んでいたとされる。具体的には、日付の区切り文字をハイフンからスラッシュに変え、「Today’s date is」というお決まりの文言のアポストロフィを、見た目はまったく同じでも内部的には別物のUnicode文字に差し替える。トリガーされた条件の組み合わせに応じて、この差し替えパターンが変化したという。

これはちょうど、宛名も本文もまったく同じ手紙でありながら、句読点の形だけをほんの少し変えることで「この差出人は特定地域から出した」という符牒を紛れ込ませる仕草に近い。封筒を手にした本人にはごく普通の手紙にしか見えないが、本社の仕分け係だけがその微妙な違いを読み取れる。これがデータの中に別情報を隠す技術、ステガノグラフィ（※データの中に、それと悟られないよう別の情報を隠す技術のこと）である。

さらに告発者は、Anthropicがこのロジックを意図的に隠そうとしたと指摘する。中国系ドメインや識別子のリストは、鍵となる数値「91」を使ったXOR（※排他的論理和。鍵の数値でデータを撹拌し、同じ鍵で元に戻せる簡易な難読化のこと）とBase64で覆い隠されており、テキストとして単純検索しても文字列が浮かび上がらないようになっていたという。金庫の中身を見られないよう、いったん鍵で撹拌してから棚の奥にしまう——そんな念の入れようだ。

これに対しAnthropicは公式声明こそ出していないものの、Claude CodeチームのエンジニアであるThariq Shihipar氏がX上で反応した。同氏はこの仕組みを、無許可の再販業者によるアカウント不正利用の防止と、モデルの蒸留対策を目的とした「3月に始めた実験」だと説明。以前から削除するつもりだったとし、該当コードを除去するプルリクエストはRedditの告発翌日の7月1日にマージされた（v2.1.197で撤去）と述べた。Anthropicは機能の存在自体は否定せず、その秘匿的な実装がユーザーの信頼を損なった点は認めた一方、これを従来型の「バックドア」と呼ぶ見方には距離を置いている。

つまり、批判する側は「同意なき隠れた監視」と受け止め、Anthropic側は「不正利用対策の実験」と位置づける。同じコードでも、立つ位置によってまったく違う顔に見えるわけだ。

なぜAnthropicは検出コードを仕込んだのか？「蒸留攻撃」を巡る米中対立

この隠しコードは、単独で生まれたわけではない。もっと大きな対立の火種の上に置かれている。

Anthropicは2026年6月10日、米上院銀行委員会のティム・スコット委員長とエリザベス・ウォーレン筆頭理事に宛てた書簡で、アリババのQwen研究所に関係する運用者が「過去最大規模の蒸留攻撃」を仕掛けたと告発した。同社の主張によれば、約25,000件の不正アカウントを使い、4月22日から6月5日にかけて2,880万回もの対話をClaudeと行い、その能力を組織的に吸い出そうとしたという。この件はまずBloombergが報じ、CNBCが同日確認している。

ここで鍵になるのが蒸留（distillation／※高性能AIの出力を教材として、安価な小型AIに能力を写し取る手法のこと）だ。イメージとしては、一流レストランのシェフが作る料理を毎日通って食べ尽くし、その味を舌で完全に再現して、隣に安い模倣店を開くようなものだ。厨房に忍び込んでレシピ（モデルの重み）を盗むわけではない。あくまで出てきた料理（出力）から味を逆算する。だからこそ、ファイアウォールも破られていないし、データベースも盗まれていない——にもかかわらず、価値の源泉だけが流出していく。

この構図が、AI企業にとって厄介な理由は次の点にある。

  • 正規利用と見分けがつかない：蒸留目的の問い合わせも、普通の質問も、API上ではまったく同じ形で届く
  • アクセスを絞れば自社も困る：出力そのものが商品なので、利用を制限しすぎると本来の顧客まで締め出してしまう
  • 法的にグレー：出力を使って別モデルを学習させる行為の是非は、業界でまだ決着していない

Anthropicは中国向けサービスに業界で最も強硬な線を引いており、海外子会社経由であっても中国資本の企業には提供しないと明言している。裏を返せば、だからこそ中国の開発者はプロキシやVPN経由でClaude Codeに手を伸ばす。そして、プ

ロキシをトリガーに作動する検出ルーチンは、中国側の目には「自分たちを名指しで狙い撃つ道具」に映る。ここに、今回の隠しコード問題が一気に炎上した心理的な土壌がある。

なお、Anthropicが蒸留を問題視したのは今回が初めてではない。同社は2026年2月にもDeepSeek、ムーンショットAI、MiniMaxの3社を同種のキャンペーンの主体として名指ししている。ただし今回のアリババを巡る数字（2,880万回・25,000アカウント）はあくまでAnthropic側の主張であり、アリババは不正行為を否定している。この点は、記事を読む側もはっきり区別しておく必要がある。

【比較表】通常のテレメトリと「隠しコード」方式の違い

今回問題になったのは「データを集めたこと」そのものより、「集め方・送り方・見せ方」だ。従来の一般的なテレメトリと、Claude Codeで見つかったとされる方式を並べると、境界線がどこにあるかが見えてくる。

比較項目一般的なテレメトリ今回の「隠しコード」方式（告発ベース）
主目的品質改善・障害検知中国ユーザー／プロキシの識別、蒸留・不正再販の抑止
検出トリガー汎用的な利用イベントプロキシ検出＋タイムゾーン（上海／ウルムチ）＋ドメイン照合
送信方法通常のログ・API送信システムプロンプトへのステガノグラフィ埋め込み
ユーザーからの可視性比較的追跡しやすいほぼ不可視（日付書式・記号の微差）
リリースノート記載記載されるのが通例v2.1.91で無記載
コードの難読化通常は限定的XOR（鍵91）＋Base64で文字列を秘匿
ユーザー同意規約・設定で選択可の場合が多い事前の明示的な同意なし（規約の範囲内かは争点）

こうして並べると、批判の核心が「収集データの中身」ではなく「透明性の欠如」にあることがはっきりする。Anthropicのプライバシーポリシー上、この種のデータ収集自体は記載範囲内だという指摘もある。しかし、ユーザーに悟らせないよう設計された秘匿送信は、通常の開示とは別次元の問題だ——というのが批判側の一致した見立てだ。

【図解】中国検出コードの動作フロー

Claude Code禁止がAI業界に与える影響とは？「AI鎖国」とデカップリングの行方

今回の一件は、技術スキャンダルの枠を超えて、AIツールの選定基準そのものを書き換えつつある。影響が及ぶ範囲を整理しておく。

第一に、企業の情報システム部門にとっての踏み絵になった。AIエージェントは深いシステム権限を握るため、「このツールは何を、どこへ、どう送っているか」を検証できないなら導入を見送る、という判断がいよいよ現実味を帯びる。アリババが約12万人規模の従業員に一斉削除を命じられたのは、それだけ供給網としてのAIツールを警戒し始めた証左だ。

第二に、米中のAIデカップリングがソフトウェア層へ降りてきた。これまで規制の主戦場は半導体だった。米国はAIチップの輸出規制を一部緩め、アリババを含む中国企業にH200の購入枠を認めた一方、北京側は安全保障を理由に自国企業へ米国製シリコンの購入を控えるよう促してきた。ハードで進んだ「線引き」が、いまソフトとサービスの層でも起きている。ちなみに米国が世界のAIインフラを「許可制」で直接管理しようとする流れは、本件の伏線として押さえておきたい（関連記事：NVIDIAとAMDのAIチップが「許可制」に？米国が世界のAIインフラを直接管理する超強力輸出規制の全貌／自サイトの該当記事へ内部リンク）。

第三に、「自前主義（インハウス化）」への追い風だ。アリババは禁止と同時に、代替として自社のコーディングプラットフォーム「Qoder」への移行を推奨した。信頼できない外部ツールを排し、検証可能な内製スタックへ回帰する——この動きは中国に限らず、機微なコードを扱うあらゆる組織に広がりうる。

そして忘れてはならないのが、これがAIガバナンス（※AIの開発・運用における倫理・法・安全の原則と、それを守る枠組みのこと）の生々しい実例だという点だ。透明性、同意、データ主権、そして国家安全保障——本来なら会議室で議論される抽象的なテーマが、たった一つの難読化コードの発見をきっかけに、開発者コミュニティの目の前で一気に噴き出した。

よくある質問（FAQ）

Q. Claude Codeは使い続けても安全ですか？ A. 問題とされた検出コードは、Anthropicが7月1日のアップデート（v2.1.197）で撤去したと説明しています。ただし機微なソースコードを扱う場合は、どのツールであれ「何が外部送信されるか」を検証し、権限を最小化する運用が前提になります。ツール単体の是非より、自組織のセキュリティ方針で判断するのが現実的です。

Q. 隠しコードで個人情報や書いたコードは漏れたのですか？ A. 告発と各報道で送信対象とされたのは、タイムゾーンやプロキシ設定といった「環境メタデータ」で、ソースコード本体の抜き取りが確認されたという報道は現時点でありません。ただしClaude Codeはファイルとシェルへの広範なアクセス権を持つため、原理的にはより深い操作も可能だった、という指摘が懸念の中心です。

Q. アリババが推奨する代替ツール「Qoder」とは何ですか？ A. Qoderはアリババが自社開発するAIコーディング・エージェントで、今回の禁止措置に合わせてエンタープライズ版も投入されました。外部モデルへの依存を減らし、検証可能な内製環境へ移行する狙いがあり、中国国内での「脱・米国AIツール」の受け皿として位置づけられています。

まとめ

この騒動が突きつけたのは、「AIツールは中身を検証できて初めて信頼できる」という、当たり前だが見過ごされがちな原則だ。データを集めていたこと自体より、更新履歴に一行も書かず、文字列を鍵で撹拌し、記号の形に符牒を忍ばせて送っていた——その不透明さこそが、開発者の反発に火をつけた。

Anthropic側の「不正対策の実験だった」という説明にも一定の説得力はある。蒸留は業界全体の未解決問題であり、アクセスを絞れば自社も損をするというジレンマは本物だ。だが、目的が正当であることと、手段が秘匿的であってよいことは、まったく別の話である。ユーザーに気づかせない設計を選んだ瞬間、その正当性は問われる側に回る。

一方の当事者を無条件に断罪するにはまだ早い。蒸留攻撃の規模もAnthropicの一方的な主張であり、アリババは否定している。確かなのは方向だけだ——米国製AIと中国製AIの間の信頼は薄れ、企業は否応なく「どちらのブロックに属するか」を日常のツール選定で迫られ始めている。パニックでも旗色鮮明な忠誠でもなく、各ツールが何を収集するかを把握し、最も機微なコードは検証できないサービスから遠ざける。その地味な規律が、これからのエンジニアの基礎体力になる。

引用元記事・補足資料

コメント

タイトルとURLをコピーしました