Безопасен ли Claude Code при доступе к данным в 2026 году

В конце июня 2026 года по сети разошёлся заголовок о том, что в Claude Code обнаружили скрытый код для слежки за пользователями. После этого автору исходного разбора за два дня написали примерно десять участников его курса: «Всё, прекращаем? Он читает мой проект?»

Коротко: прекращать работу не нужно, и проект Claude Code не читал. Ниже разбираем подробности: сверяем утверждения с первоисточниками и отделяем их от громких заголовков. Также рассмотрим, какие сведения Claude Code действительно передаёт, где находятся практические риски и как ограничить доступ.

Дополнительные инструкции доступны в документации Ailoot.

Какой скрытый код обнаружили в Claude Code и для чего он служил?#

Рассмотрим механизм спокойно и по шагам. Программа определяла, куда направляется запрос. При обычном прямом подключении к Anthropic код не запускался. Он активировался, только если пользователь указывал другой сервер через переменную ANTHROPIC_BASE_URL.

Затем код проверял часовой пояс и адрес прокси, сопоставлял их со встроенными списками и встраивал результат в служебную строку Today's date is.... Для сокрытия метки он менял разделитель даты и использовал похожий на обычный апостроф символ из другого набора знаков. Списки были зашифрованы, поэтому обычный текстовый поиск по коду их не обнаруживал.

В списках значилась китайская инфраструктура: примерно сотня доменов и около десяти названий китайских ИИ-лабораторий, включая deepseek, moonshot и zhipu. По объяснению Anthropic, эксперимент был направлен на борьбу со злоупотреблением аккаунтами со стороны неавторизованных перекупщиков и на защиту моделей от копирования.

Код удалили в версии 2.1.197, выпущенной 1 июля. В официальном списке изменений удаление не упоминалось. Таким образом, код некоторое время присутствовал в инструменте без заметного объяснения, а затем исчез без записи в списке изменений. Это может повлиять на доверие к инструменту, хотя сам механизм не обращался к файлам проекта.

Читал ли Claude Code файлы и похищал ли данные?#

Это важное различие. В публикациях встречались утверждения о тайном доступе Claude к пользовательским данным и даже формулировка «закладка». Однако описание механизма указывает на более ограниченное поведение. Сопоставим заявления с тем, что делал код.

При использовании официального прямого доступа Anthropic этот механизм не срабатывал: без изменения адреса сервера условие активации не выполнялось. Следовательно, он не мог читать проект через описанный механизм. Практические риски утечки связаны с другими настройками и способами подключения; они разобраны ниже.

Какие данные Claude Code действительно передаёт?#

Разберём обычную работу Claude Code по официальной документации Anthropic. По умолчанию инструмент работает с ограниченными правами. Перед дополнительными действиями, например редактированием файлов, запуском тестов или выполнением команд, он запрашивает разрешение.

Запись разрешена в папке, откуда запущен инструмент, и в её подпапках. Доступ к родительским папкам требует отдельного разрешения. Ниже перечислено, какие данные передаются и какие остаются локально.

Для коммерческих тарифов Team и Enterprise, а также доступа по API-ключу, Anthropic не использует переданные Claude Code код и промпты для обучения моделей, если клиент сам не согласился предоставить данные для улучшения модели.

Для личных тарифов Free, Pro и Max использование данных для обучения также зависит от выбора пользователя: соответствующая настройка по умолчанию выключена. Claude Code хранит ключи и токены в защищённом системном хранилище, например в Keychain на Mac, а не в обычном текстовом файле проекта.

Три практических источника утечки данных#

Утечки часто возникают из-за повседневных ошибок в настройке. Стоит обратить внимание на три сценария.

1. Секреты попадают в git. Агент может записать ключ прямо в исходный код. Если затем отправить проект в публичный репозиторий, секрет станет доступен посторонним. Храните ключи отдельно от кода и проверяйте, что файлы с секретами исключены через .gitignore.

2. Внешнее содержимое содержит скрытые инструкции. Это называется непрямой промпт-инъекцией. Агент может обработать инструкцию, встроенную в текст веб-страницы, описание библиотеки или данные стороннего инструмента, как будто это команда. Anthropic предупреждает, что защитные меры снижают риск, но не исключают все виды атак.

3. Подключены непроверенные MCP-серверы. Сторонний сервер может расширить возможности агента, но его безопасность и работа не контролируются Anthropic.

Сервер, которому вы доверяете доступ к агенту, может получать данные или выполнять действия в рамках выданных ему прав. Перед подключением выясните, какие данные он видит и что может изменять. Дополнительные рекомендации приведены в руководстве по MCP-серверам для Claude Code.

Как ограничить доступ Claude Code: практический список#

Это базовые меры цифровой гигиены. Пройдите список по порядку и проверьте каждую настройку.

1. Оставьте режим «только чтение» по умолчанию. Не выдавайте агенту широкие права заранее. Перед подтверждением просматривайте запрашиваемые действия и команды.
2. Запускайте инструмент в папке нужного проекта. Не открывайте для него весь диск или корневую папку с разными данными. Так область записи будет ограничена проектом.
3. Разделяйте защиту секретов от публикации в Git и от чтения агентом. Добавьте .env в .gitignore, чтобы случайно не начать отслеживать файл: это не запрещает чтение и не исключает уже отслеживаемые файлы. Храните рабочие секреты вне доступной агенту среды, например за пределами виртуальной машины или контейнера, куда подключён только проект. Проверьте права на чтение и запуск команд. Отдельно испытайте исключение из Git и изоляцию доступа на безвредном тестовом секрете, а не на настоящем ключе.
4. Используйте отдельный ключ с лимитом расходов. Не передавайте агенту основной ключ от всех сервисов. Ограничение расходов уменьшит возможный ущерб при утечке или ошибочном цикле запросов.
5. Включите песочницу (/sandbox). Она ограничивает доступ к файлам и сети во время автономной работы. Для особо чувствительных проектов рассмотрите запуск в виртуальной машине.
6. Считайте незнакомые данные недоверенными. Случайную веб-страницу или неизвестный инструмент не следует без проверки напрямую передавать агенту. В документации Claude Code также рекомендуется не направлять ему непроверенное содержимое.
7. Проверяйте MCP-серверы до подключения. Предпочитайте инструменты, созданные вами или поставщиками, которым вы доверяете. Изучите, какие данные сервер получает и какие действия выполняет.
8. Создавайте отдельные резервные копии проекта. Храните копию отдельно от рабочего проекта и периодически проверяйте, что её можно восстановить.

Для первичной проверки проекта можно использовать этот промпт:

Проверь мой проект на утечки данных и слабые места в настройках доступа. Для каждого пункта укажи результат: «ок / риск / чинить срочно».

Проверь, есть ли в коде или истории git открытые ключи, токены и пароли. Если есть, перечисли файлы и предложи, что предпринять.

Проверь, исключён ли .env из Git и отслеживался ли он раньше. Отдельно выясни, могут ли файловые инструменты агента или разрешённые команды прочитать секретные файлы. Используй безвредный тестовый файл, не открывай настоящие ключи. Предложи отдельные меры против публикации в Git и против доступа агента.

Перечисли команды и права, которые я автоматически выдал агенту, и отметь потенциально опасные.

Проверь, подключены ли сторонние MCP-серверы и насколько можно доверять их источникам.

Проверь наличие резервной копии и то, хранится ли она отдельно от основного проекта.

Для каждого риска дай краткое объяснение простыми словами и предложи конкретный способ его устранить. Не изменяй файлы без моего подтверждения.

О безопасности автономной работы и ограничении риска повреждения проекта читайте в руководстве по настройке Claude Code для ночной работы. Дополнительные рекомендации собраны в руководстве по навыкам безопасности.

Что выбрать, если вы всё ещё беспокоитесь: открытые модели#

Это дополнительные варианты для тех, кому важно управлять размещением модели и передачей данных. При выборе учитывайте условия поставщика, способ развёртывания и требования к оборудованию.

GLM-5.2 от китайской компании Z.ai была представлена в июне 2026 года с открытыми весами и лицензией MIT. Для подключения модели к Claude Code можно изменить значение ANTHROPIC_BASE_URL и указать токен Z.ai; дополнительное обучение модели для этого не требуется. Условия и стоимость зависят от выбранного доступа.

ZCode — отдельная среда для работы с этой моделью; приложение не является открытым, в отличие от самой модели. Ещё один вариант — Kimi K2.7 от Moonshot, доступная в GitHub Copilot с 1 июля.

При использовании другой модели Anthropic исключается из цепочки только в том случае, если запросы действительно направляются другому поставщику или на собственный сервер. Размещение крупной модели на своём оборудовании требует значительных ресурсов. Сравнение вариантов приведено в материалах GLM-5.2 и Claude Code и бесплатных моделей для программирования.

Продолжать ли пользоваться Claude Code?#

Скрытая метка была связана с тем, как Anthropic выявлял неавторизованных посредников и защищал модели от копирования. При прямом официальном подключении описанный код не запускался и файлы проекта не читал. При этом отсутствие упоминания об удалении кода в официальном списке изменений может вызывать вопросы о прозрачности изменений.

В повседневной работе уделяйте внимание выданным агенту правам, хранению ключей и сторонним подключениям. Проверка этих настроек помогает снизить риск утечки и сохранить контроль над проектом.

Дополнительные материалы доступны на сайте Ailoot.