MIIT/NVDB 警報が示す
Claude Code v2.1.91–2.1.196 のリスク

TL;DR：2026 年 7 月 8 日（水）、NVDB は WeChat 公式アカウントとオンライン声明で、Claude Code v2.1.91–2.1.196 に内蔵モニタリング機構があり、ユーザーの地理的位置データと身元関連識別子を同意なくリモートサーバーへ送信できる「重大なバックドアリスク」があると警告しました。関連組織・開発者への即時全数調査、アンインストールまたは安全版へのアップグレード、コア業務ネットワーク内開発ツールの外向き通信制御強化を求めています。

NVDB が「内蔵モニタリング機構」と呼ぶものは、thereallo.dev ほかのリバースエンジニアリング報告ではシステムプロンプトへのテキストステガノグラフィとして詳述されています。核心は、一見無害な英語行 Today's date is ... の日付区切り文字とUnicode アポストロフィを微細に切り替え、ユーザ分類シグナルを API リクエストに埋め込むことです。

トリガー条件（最重要）：この機構は ANTHROPIC_BASE_URL が公式 api.anthropic.com 以外（プロキシ、API ゲートウェイ、第三者転売、OpenAI 互換レイヤー等）に設定された場合のみ発動します。公式エンドポイント直結ユーザーは、リバースエンジニアリング報告の範囲では日付行は改変されません。NVDB 警報はバージョン範囲で指定しているため、プロキシ未使用でも影響バージョンのアップグレードは推奨されますが、ステガノグラフィの実動はプロキシ経路に限定される点を理解しておく必要があります。

環境偵察の三段階：① タイムゾーンが Asia/Shanghai または Asia/Urumqi かを確認し、該当時は日付区切りを - から / へ変更。② ホスト名・環境変数・設定ファイルから約 147 件のドメインルールと AI ラボキーワード（deepseek、moonshot、zhipu、minimax、baichuan、stepfun、01ai 等）をスキャン。③ ヒット結果に応じてアポストロフィの Unicode コードポイントを選択し、サーバー側がバックエンドでデコードできる covert channel を形成します。

147 件ブラックリストの難読化：ドメインリストは Base64 エンコード後に XOR キー 91 で軽度難読化されバイナリ内に埋め込まれています。静的解析を迂回する意図が読み取れ、NVDB の「バックドア」定性とコミュニティの「covert channel」呼称が一致する技術的根拠です。

echo $ANTHROPIC_BASE_URL
claude --version
python3 -c "s=\"Today's\"; print([hex(ord(c)) for c in s if c in \"''ʼʹ\"])"

実害の輪郭：ステガノグラフィ自体はリクエスト本文に分類ビットを載せる方式であり、従来のマルウェア型バックドア（任意コード実行、永続化シェル）とは異なります。しかし NVDB は「同意なく機密情報を外部送信できる」と判断し、開発端末がコア業務ネットワークに接続されている企業にとってはデータガバナンス違反・輸出規制・内部監査のトリガーになり得ます。

AI モデル蒸留（distillation）の地政学背景：Anthropic、OpenAI、Google はいずれも、競合が自社 API から大量の出力を取得して小規模モデルを訓練する「蒸留」を重大な脅威とみなしています。2026 年には Anthropic が Alibaba らに対し Claude 出力の無断利用を公に非難し、米上院議員への書簡で「同社史上最大の攻撃」と表現したと Reuters が報じました。中国側は NVDB を通じて外国 AI コーディングツールの監視機構を国家安全・データ主権の観点から問題視し、国内企業のツール選定に直接圧力をかけています。開発者個人にとっては技術的トリガーがプロキシ設定に限定されても、企業コンプライアンスの世界ではバージョン番号だけで利用停止が決まる——この温度差が今回の混乱の本質です。

Claude Code に依存する iOS CI/CD と AI Agent 自動化チームにとって、開発者のローカル Mac 上で高権限 CLI Agent を動かす方式は、権限拡大・非開示テレメトリ・プロキシ経由のデータ分類という三重リスクを抱えます。共有 VPS や仮想マシンでは隔離も不十分です。より安定し、監査可能で、7×24 オンラインな Apple Silicon 本番環境には、MESHLAUNCH の Mac Mini クラウドレンタルが通常はより適した選択です。M4/M4 Pro 独占ベアメタル、日／週／月の弾力デプロイ、開発端末と本番 Agent ワークロードの物理的分離により、API Key とプロキシ設定を統制されたクラウドノード上で運用できます。

免責事項：本稿は公開情報と第三者リバースエンジニアリング報告に基づく技術解説であり、法的助言ではありません。NVDB の「バックドア」定性と Anthropic の「反蒸留実験」説明は当事者間で争点が残ります。バージョン番号・企業対応は変更される可能性があるため、導入前に公式声明と社内法務の確認を推奨します。

参考ソース：NVDB / MIIT 声明（2026-07-08）；China Daily；Global Times；Reuters；The Register；Cybernews；South China Morning Post（Alibaba 禁止）；thereallo.dev；Anthropic エンジニア Thariq Shihipar 公言；MESHLAUNCH「Claude Code ステガノグラフィ事件」。