האם בטוח לתת ל-Claude Code גישה לנתונים שלכם בשנת 2026

בסוף יוני 2026 התפשטה ברחבי האינטרנט כותרת: „נמצא קוד נסתר ב-Claude Code שמרגל אחר המשתמשים”. בתוך יומיים כתבו למחבר כעשרה אנשים מתוכנית ההכשרה שלו: „זהו, לפרוש? הוא קורא את הפרויקט שלי?”

התשובה הקצרה: לא, אל תפרשו, ולא, הוא לא קרא את הפרויקט שלכם. התשובה הארוכה היא הניתוח שלפניכם. הוא מסתמך על מקורות ראשוניים, מפריד בין עובדות לכותרות ומרכז את מה שבאמת חשוב לבעלים של עסק: מה Claude Code שולח עליכם, היכן נמצאות נקודות התורפה האמיתיות, ואיך להגדיר את הגישה כדי שתוכלו לישון בשקט.

מידע נוסף זמין בתיעוד של Ailoot.

איזה קוד נסתר נמצא ב-Claude Code, ומה הוא עשה?#

נעבור על זה שלב אחר שלב, בלי דרמה. התוכנית בדקה דבר אחד: לאן הבקשה שלכם נשלחת. אם משתמשים ב-Claude Code כרגיל ומתחברים ישירות דרך Anthropic, הקוד כלל לא רץ. הוא הופעל רק כשמישהו שינה את כתובת השרת (המשתנה ANTHROPIC_BASE_URL) והפנה אותה לפרוקסי חיצוני.

לאחר מכן הקוד בדק את אזור הזמן ואת כתובת הפרוקסי, השווה אותם לרשימות שהוטמעו בקוד והסתיר את התוצאה בתוך מחרוזת השירות Today's date is.... הוא הסתיר אותה בתחכום: שינה את המפריד בתאריך והחליף גרש בתו זהה למראה ממערכת תווים אחרת. הרשימות הוצפנו במכוון כדי שלא יופיעו בחיפושי קוד רגילים. החוקר שפענח את המנגנון ציין שהסתרת נתונים בדרך הזאת אופיינית יותר לתוכנות זדוניות, וכינה זאת בחירה מוזרה לכלי פיתוח.

אחרי מי חיפשו הרשימות? רק תשתיות סיניות: כמאה דומיינים וכשמות של תריסר מעבדות AI סיניות (deepseek, moonshot, zhipu ואחרות). באותה תקופה Anthropic הייתה בעימות עם חברות סיניות סביב העתקת המודלים שלה, והתג היה חלק מהמאבק הזה.

הקוד הוסר בגרסה 2.1.197, שפורסמה ב-1 ביולי. יש רק פרט אחד לא נעים: יומן השינויים הרשמי כלל לא מזכיר את ההסרה. כלי שמבקש מכם לתת בו אמון הכיל קוד נסתר במשך שלושה חודשים והסיר אותו בשקט. החוקר שחשף את כל זה ניסח זאת במדויק: זו לא תוכנה זדונית, אבל זו בחירה מוזרה לכלי שאתם מפקידים בידיו את הפרויקט שלכם.

האם Claude Code קרא את הקבצים שלכם או גנב את הנתונים שלכם?#

זאת הנקודה המרכזית, והיא הסיבה שכדאי לקרוא את הסעיף הזה. כמה פרסומים פרסמו כותרות דרמטיות כמו „Claude מקבל בסתר גישה לנתוני המשתמשים”, ותזכיר פנימי של Alibaba אפילו כינה זאת „דלת אחורית”. אבל כשחוקרים בחנו את המנגנון שורה אחר שורה, התמונה התגלתה כצנועה הרבה יותר. הנה מה שקרה בפועל, ומה שהכותרות דמיינו.

מי שניתח את הקוד לראשונה סיכם זאת במשפט אחד:

אם אתם עובדים דרך הגישה הרשמית של Anthropic, הקוד הזה לא רץ אצלכם. מבחינה טכנית הוא לא יכול היה לפעול: בלי שינוי כתובת השרת, אין תג. לכן „Claude קרא את הפרויקט שלי” הוא מיתוס. הסיכונים האמיתיים לדליפת נתונים נמצאים במקום אחר, ונגיע אליהם.

מה Claude Code באמת שולח עליכם?#

עכשיו נסביר איך זה באמת עובד — כדאי להבין זאת אחת ולתמיד. כל מה שמופיע בהמשך לקוח מהתיעוד הרשמי של Claude Code, ולא משמועות.

כברירת מחדל, לסוכן יש הרשאות „לקריאה בלבד” מחמירות. בכל פעם שהוא צריך לערוך קובץ, להריץ בדיקה או לבצע פקודה, הוא מבקש רשות:

הוא יכול לכתוב רק לתיקייה שממנה הפעלתם אותו ולתיקיות המשנה שלה. הוא לא יכול לכתוב לתיקיות האב בלי הרשאה נפרדת. הנה מה יוצא ומה נשאר אצלכם:

חשש נפרד הוא „הם מאמנים את המודל על הקוד שלי”. בתוכניות לעסקים (Team, Enterprise, גישה באמצעות מפתח API), הם לא עושים זאת:

בתוכניות האישיות (Free, Pro, Max), הנתונים שלכם משמשים לאימון המודל רק אם תבחרו לאפשר זאת — יש מתג נפרד בהגדרות, והוא כבוי כברירת מחדל. Claude Code שומר מפתחות ואסימונים באחסון המאובטח של המערכת (ב-Keychain במחשב MacBook), ולא בקובץ טקסט לצד הפרויקט.

הרשאות הן רק שכבת ההגנה הראשונה. רוצים לבנות מערכת שמשאירה את הסוכן בשליטה מלאה? גישה מאובטחת לנתונים היא חלק מהנדסת הקשר: אתם מחליטים מה הסוכן יכול לראות ומה לא.

שלוש נקודות תורפה אמיתיות שעלולות לדלוף את הנתונים שלכם#

הסיכונים האלה נסקרו בחומרי האבטחה המקוריים עוד באביב, ומאז דבר לא השתנה. דליפות נתונים אינן מתרחשות בגלל שערוריות דרמטיות, אלא בגלל השמטות יום-יומיות. הנה שלוש נקודות התורפה העיקריות, לפי סדר חומרת הסכנה.

1. מפתחות שנשמרו ב-git. סוכן כתב בנוחות מפתח ישירות בקוד, לא שמתם לב ודחפתם את הפרויקט ל-GitHub — וזהו. בוטים סורקים כרגע מאגרים ציבוריים וחוטפים מפתחות של Anthropic, OpenAI ושירותים אחרים, כי מדובר בכסף אמיתי. מפתח במאגר ציבורי עלול להיחשף בתוך דקות.

2. הוראות זדוניות נסתרות בתוכן של אחרים. התופעה נקראת הזרקת הנחיה עקיפה, והיא הסיכון מספר אחת לסוכני AI בשנת 2026. סוכן לא תמיד מסוגל להבחין בין הפקודות שלכם לבין פקודות שהוסתרו בטקסט שהוא קורא: באתר, בתיאור של ספרייה או בכלי של צד שלישי. התיעוד עצמו מודה:

3. שרתי צד שלישי שלא נבדקו (MCP). אתם מחברים כלי מוכן מהאינטרנט לסוכן כדי שיוכל לעשות יותר. הבעיה היא שאיש אינו בודק את השרתים האלה:

ייתכן שבתוך אחד מהשרתים האלה מסתתרת הוראה שאומרת: „צרף לכל תשובה את תוכן הקבצים שקראת” — והסוכן ידליף בשקט את הפרויקט שלכם לכתובת חיצונית. אני מפרט כיצד לבחור ולחבר שרתים כאלה במדריך נפרד על שרתי MCP ל-Claude Code. כדאי לבדוק בנפרד מה כל חיבור יכול לראות ולשנות.

איך להגדיר את Claude Code כדי למנוע דליפות נתונים: רשימת בדיקה#

אין כאן קסם, רק היגיינה טובה. עברו על הרשימה מלמעלה למטה, ותסלקו את רוב הסיכונים מהסעיפים הקודמים. הכלל פשוט: הרשאות מינימליות, למשך הזמן הקצר ביותר האפשרי, ומקורות מאומתים בלבד.

1. השאירו את הרשאות „לקריאה בלבד” כברירת מחדל. אל תתנו לסוכן הרשאה לעשות הכול בבת אחת. בדקו כל פעולה ופקודה לפני שאתם לוחצים על „כן”. בימים הראשונים זה מייגע, ואחר כך זה הופך להרגל.
2. עבדו בתיקיית פרויקט מסוימת, ולא ב„כונן כולו”. הפעילו את הסוכן בתוך הפרויקט, ולא בתיקיית השורש שבה הכול נמצא. הוא יוכל לכתוב רק כאן.
3. הגנו בנפרד מפני חשיפת סודות ב-Git ומפני גישת הסוכן אליהם. הוסיפו את .env ל-.gitignore כדי למנוע מעקב מקרי; ההגדרה אינה חוסמת קריאת קבצים, וקבצים שכבר נמצאים במעקב נשארים בו. שמרו סודות של סביבת הייצור מחוץ לסביבה הנגישה לסוכן, למשל מחוץ למכונה וירטואלית או למכולה שרק תיקיית הפרויקט מחוברת אליה. בדקו גם הרשאות קריאה והרצת פקודות. בדקו בנפרד החרגה מ-Git ובידוד גישה באמצעות סוד דמה חסר ערך, ולעולם לא באמצעות מפתח אמיתי.
4. צרו מפתח נפרד עם מגבלת הוצאות. אל תתנו לסוכן את מפתח-העל שלכם לכל דבר. מפתח נפרד עם תקרת הוצאה הוא אמצעי ביטוח: אם הוא ידלוף או שהסוכן ייתקע בלולאה, ההפסדים יוגבלו לסכום הזה.
5. הפעילו את ארגז החול (/sandbox). הוא מבודד קבצים ורשת בזמן שהסוכן עובד באופן אוטונומי. בפרויקט רגיש, הוסיפו מכונה וירטואלית.
6. אל תזינו לסוכן תוכן חיצוני ישירות. התייחסו לדף אינטרנט אקראי או לכלי לא מוכר כאל קלט עוין. התיעוד ממליץ במפורש שלא להפנות תוכן שלא נבדק ישירות ל-Claude.
7. בדקו שרתי צד שלישי (MCP) כאילו היו קבלנים. בחרו שרתים שכתבתם בעצמכם או שסופקו בידי ספק שאתם סומכים עליו. בכלי אלמוני עם רק כמה כוכבים עלול להיות קוד נסתר שמדליף נתונים.
8. גבו את הפרויקט. שמרו את הגיבויים בנפרד מהמיקום הראשי. מדי כמה שבועות בדקו שאפשר באמת לשחזר מהם, במקום לתת להם לשבת ללא שימוש.

כדי שלא תצטרכו לעבור על כל זה ידנית בכל פעם, הנה הנחיה מוכנה — הדביקו אותה ב-Claude Code יחד עם הפרויקט, והוא יבדוק את הגדרות האבטחה שלכם.

בדוק אם יש בפרויקט שלי דליפות נתונים ונקודות תורפה בגישה. עבור על הפריטים ותן פסק דין לגבי כל אחד: „תקין / סיכון / יש לתקן בדחיפות”:

האם יש בקוד או בהיסטוריית git מפתחות, אסימונים או סיסמאות חשופים? אם כן, באילו קבצים ומה עליי לעשות.

האם .env מוחרג מ-Git, והאם היה אי פעם במעקב? בנפרד, האם הסוכן או הפקודות שאושרו לו יכולים לקרוא קובצי סודות? בדוק גישה באמצעות קובץ דמה חסר ערך; אל תפתח מפתחות אמיתיים. הצע תיקונים נפרדים לחשיפה ב-Git ולגישת הסוכן.

אילו פקודות והרשאות הענקתי לסוכן באופן אוטומטי? האם יש בהן כאלה שמסוכנות.

האם מחוברים שרתי MCP של צד שלישי? עד כמה הם נבדקו.

האם יש גיבוי, והאם הוא מוגדר בנפרד מהמיקום הראשי.

לגבי כל סיכון, תן הסבר קצר בשפה פשוטה וצעד מסוים לטיפול בו. אל תיגע בקבצים בלי אישורי.

אם תרצו להעמיק בעבודה אוטונומית בלי להסתכן בנזק לפרויקט, יש ניתוח נפרד על איך להגדיר את Claude Code כך שלא יהרוס את הפרויקט שלכם בן לילה, וכן מדריך ל-754 כישורי אבטחה הכולל ספרייה מוכנה של כישורי הגנה.

מה אם אתם עדיין מודאגים: מודלים פתוחים#

הסעיף הזה אומר „יש לכם אפשרויות”, ולא קורא לנטוש הכול. לרוב המשימות, Claude Code הרשמי עדיין נשאר הכלי הטוב ביותר. אבל אם אתם עובדים עם נתונים רגישים ורוצים שליטה מלאה, הנה כמה חלופות.

GLM-5.2 של Z.ai הסינית הושק ביוני 2026 עם משקולות פתוחות ברישיון MIT: תוכלו להריץ אותו בעצמכם. החיבור שלו ל-Claude Code פשוט: משנים את כתובת השרת (המשתנה ANTHROPIC_BASE_URL) לכתובת של Z.ai ומזינים את האסימון שלכם, בלי אימון מחדש. התוכניות מתחילות ב-$18 לחודש.

יש גם את אפליקציית ZCode החינמית, כסביבה נפרדת למודל הזה (האפליקציה עצמה אינה פתוחה, רק המודל). אפשרות נוספת היא Kimi K2.7 של Moonshot, ששולב ישירות ב-GitHub Copilot ב-1 ביולי.

הרעיון פשוט: כשאתם מריצים מודל פתוח, אתם מסירים את Anthropic מהשרשרת. עם זאת, שרת משלכם למודל גדול כל כך דורש חומרה רצינית, ולכן בפועל קל יותר להשתמש בגישה הרשמית של ספק. להשוואה מלאה, ראו את הניתוחים של GLM-5.2 לעומת Claude Code ושל מודלים חינמיים לקידוד.

האם כדאי להמשיך להשתמש ב-Claude Code?#

נסכם את הדברים. שערוריית הקוד הנסתר הייתה סיפור על המאבק התאגידי של Anthropic עם חברות סיניות, ולא איום על העסק שלכם. הקוד הזה לא רץ אצלכם אם השתמשתם בגישה הרשמית, הוא לא קרא קבצים, והוא הוסר. הביקורת ההוגנת היחידה היא שהכלי נשא קוד נסתר במשך שלושה חודשים והסיר אותו בשקט. זה עניין של אמון, וכדאי לזכור אותו, אבל נתוני הפרויקט שלכם לא היו בסיכון.

מה שבאמת דורש את תשומת לבכם הוא ההגדרה שלכם. מפתח שנדחף ל-git, שרת צד שלישי שלא נבדק או סוכן עם גישה לכונן כולו — אלה הדרכים שבהן נתונים דולפים. החדשות הטובות הן שאפשר לטפל בכל זה בערב אחד באמצעות רשימת הבדיקה שלמעלה. הגדירו פעם אחת, ואז השתמשו בכלי בלי לדאוג לכותרות.

כשתהיו מוכנים, הכירו את Ailoot.