アリババが従業員のClaude Code使用を禁止──隠しコードで中国ユーザー追跡が発端に

禁止措置の概要

ロイター通信によると、アリババは2026年7月10日からClaude Codeの使用を全面的に禁止する方針を社内に通知した。社内通知では「Claude Codeはバックドアのリスクを伴うことが直近で明らかになったため、包括的評価の結果、セキュリティ上の脆弱性を持つ高リスクソフトウェアリストに追加された」と説明されている。

代替として、アリババは従業員に対して自社独自のコーディングプラットフォーム「qoder」の使用を指示しているという。

隠しコードの発見経緯

問題の発端は、RedditユーザーのLegitMichel777氏による指摘だった。同氏はGPTとClaudeを組み合わせた細かいコンテキスト管理のため、個人でClaude Code環境をプロキシ経由で稼働させていた。2026年6月30日にリリースされたClaude Codeバージョン2.1.196で、プロキシが有効な場合のリモート制御機能が無効化されたため、変更を元に戻す目的でClaude Codeをリバースエンジニアリングしたところ、不審なコードを発見したという。

発見されたコードは、最初にプロキシが有効になっているかを確認し、有効な場合にシステムプロンプトに不可視の変更を加えるものだった。さらに、ユーザーが中国にいるかどうか、中国のURLへのプロキシ接続を行っているかどうか、中国のAI研究所との関連があるかどうかを密かに判定し、情報を送信していた。これらのコードはバイナリ内で難読化処理されていたという。

この隠しコードは、2026年4月2日にリリースされたClaude Codeバージョン2.9.1以降に含まれていたことが確認されている。