# Безопасен ли Claude Code при доступе к данным в 2026 году
> Разбираем безопасность Claude Code в 2026 году: какие данные передаются Anthropic, как устроены права доступа и какие настройки помогают снизить риск утечки.
Source: https://ailoot.ai/blog/ru/claude-code-data-access-safety/
Canonical: https://ailoot.ai/blog/ru/claude-code-data-access-safety/
Language: ru
Publisher: Ailoot (https://ailoot.ai/)
Translation: guide-013
Revision: sha256-5772764ddc823fe55f3e5797b7ec7d64ddb7b63f64142ce89f7efd0fa8b300ce
В конце июня 2026 года по сети разошёлся заголовок о том, что в Claude Code обнаружили скрытый код для слежки за пользователями. После этого автору исходного разбора за два дня написали примерно десять участников его курса: «Всё, прекращаем? Он читает мой проект?»
Коротко: прекращать работу не нужно, и проект Claude Code не читал. Ниже разбираем подробности: сверяем утверждения с первоисточниками и отделяем их от громких заголовков. Также рассмотрим, какие сведения Claude Code действительно передаёт, где находятся практические риски и как ограничить доступ.
Дополнительные инструкции доступны в [документации Ailoot](https://ailoot.ai/docs/).
## Какой скрытый код обнаружили в Claude Code и для чего он служил?
Главное
30 июня 2026 года исследователь изучил Claude Code и обнаружил фрагмент, который ставил метку на запрос, если тот направлялся к Claude через сторонний прокси, а не напрямую. Этот код появился в версии 2.1.91 в апреле и оставался незаметным почти три месяца. Anthropic подтвердил его наличие; в версии 2.1.197 код удалили.
Рассмотрим механизм спокойно и по шагам. Программа определяла, куда направляется запрос. При обычном прямом подключении к Anthropic код не запускался. Он активировался, только если пользователь указывал другой сервер через переменную `ANTHROPIC_BASE_URL`.
Затем код проверял часовой пояс и адрес прокси, сопоставлял их со встроенными списками и встраивал результат в служебную строку `Today's date is...`. Для сокрытия метки он менял разделитель даты и использовал похожий на обычный апостроф символ из другого набора знаков. Списки были зашифрованы, поэтому обычный текстовый поиск по коду их не обнаруживал.
В списках значилась китайская инфраструктура: примерно сотня доменов и около десяти названий китайских ИИ-лабораторий, включая deepseek, moonshot и zhipu. По объяснению Anthropic, эксперимент был направлен на борьбу со злоупотреблением аккаунтами со стороны неавторизованных перекупщиков и на защиту моделей от копирования.
Код удалили в версии 2.1.197, выпущенной 1 июля. В официальном списке изменений удаление не упоминалось. Таким образом, код некоторое время присутствовал в инструменте без заметного объяснения, а затем исчез без записи в списке изменений. Это может повлиять на доверие к инструменту, хотя сам механизм не обращался к файлам проекта.
## Читал ли Claude Code файлы и похищал ли данные?
Главное
Нет. Этот код определял маршрут запроса и часовой пояс. Он не читал исходный код, не открывал проектные файлы и не отправлял их содержимое. Заголовки о сборе данных смешивали сведения о маршруте с содержимым запросов, хотя это разные вещи.
Это важное различие. В публикациях встречались утверждения о тайном доступе Claude к пользовательским данным и даже формулировка «закладка». Однако описание механизма указывает на более ограниченное поведение. Сопоставим заявления с тем, что делал код.
| Утверждение в заголовках | Фактическое поведение кода |
|----|----|
| Читал исходники и файлы | Проверял только адрес прокси и часовой пояс |
| Передавал содержимое проекта Anthropic | Добавлял метку «свой/чужой маршрут» в служебную строку |
| Отслеживал всех пользователей | Запускался только при настройке стороннего прокси вместо обычного адреса сервера |
При использовании официального прямого доступа Anthropic этот механизм не срабатывал: без изменения адреса сервера условие активации не выполнялось. Следовательно, он не мог читать проект через описанный механизм. Практические риски утечки связаны с другими настройками и способами подключения; они разобраны ниже.
## Какие данные Claude Code действительно передаёт?
Главное
По умолчанию Claude Code запрашивает разрешение перед чтением файлов и выполнением команд, а записывать файлы может в папке проекта и её подпапках. Anthropic получает промпты, показанные агенту файлы и ответы модели по защищённому каналу. Учётные данные хранятся в защищённом хранилище системы.
Разберём обычную работу Claude Code по официальной документации Anthropic. По умолчанию инструмент работает с ограниченными правами. Перед дополнительными действиями, например редактированием файлов, запуском тестов или выполнением команд, он запрашивает разрешение.
По умолчанию Claude Code использует строгий режим «только чтение». Для дополнительных действий — редактирования файлов, запуска тестов и выполнения команд — он просит явное разрешение.
Официальная документация Claude Code: безопасность
Запись разрешена в папке, откуда запущен инструмент, и в её подпапках. Доступ к родительским папкам требует отдельного разрешения. Ниже перечислено, какие данные передаются и какие остаются локально.
| Передаётся Anthropic | Остаётся на вашем устройстве |
|----|----|
| Промпты и ответы модели по зашифрованному каналу | Файлы, которые вы не предоставляли агенту |
| Содержимое файлов, которые вы показали агенту | Служебная телеметрия не включает исходный код и пути к файлам |
| Домен сайта при проверке ссылок | История сеансов хранится локально 30 дней |
Для коммерческих тарифов Team и Enterprise, а также доступа по API-ключу, Anthropic не использует переданные Claude Code код и промпты для обучения моделей, если клиент сам не согласился предоставить данные для улучшения модели.
Anthropic не обучает генеративные модели на коде и промптах, отправленных в Claude Code в рамках коммерческих условий, если клиент отдельно не выбрал передачу данных для улучшения модели.
Официальная документация Claude Code: использование данных
Для личных тарифов Free, Pro и Max использование данных для обучения также зависит от выбора пользователя: соответствующая настройка по умолчанию выключена. Claude Code хранит ключи и токены в защищённом системном хранилище, например в Keychain на Mac, а не в обычном текстовом файле проекта.
## Три практических источника утечки данных
Главное
Код, ставивший метку маршруту, не относится к основным рискам утечки. Гораздо важнее не допустить попадания ключей в git, учитывать скрытые инструкции во внешнем содержимом и проверять сторонние MCP-серверы перед подключением.
Утечки часто возникают из-за повседневных ошибок в настройке. Стоит обратить внимание на три сценария.
1. **Секреты попадают в git.** Агент может записать ключ прямо в исходный код. Если затем отправить проект в публичный репозиторий, секрет станет доступен посторонним. Храните ключи отдельно от кода и проверяйте, что файлы с секретами исключены через `.gitignore`.
2. **Внешнее содержимое содержит скрытые инструкции.** Это называется непрямой промпт-инъекцией. Агент может обработать инструкцию, встроенную в текст веб-страницы, описание библиотеки или данные стороннего инструмента, как будто это команда. Anthropic предупреждает, что защитные меры снижают риск, но не исключают все виды атак.
Хотя эти меры существенно снижают риск, ни одна система не защищена от всех возможных атак.
Официальная документация Claude Code: безопасность
3. **Подключены непроверенные MCP-серверы.** Сторонний сервер может расширить возможности агента, но его безопасность и работа не контролируются Anthropic.
Anthropic не проверяет безопасность сторонних MCP-серверов и не управляет ими.
Официальная документация Claude Code: безопасность
Сервер, которому вы доверяете доступ к агенту, может получать данные или выполнять действия в рамках выданных ему прав. Перед подключением выясните, какие данные он видит и что может изменять. Дополнительные рекомендации приведены в [руководстве по MCP-серверам для Claude Code](https://ailoot.ai/blog/ru/mcp-servers-claude-code/).
## Как ограничить доступ Claude Code: практический список
Главное
Используйте минимально необходимые права, запускайте агент из папки проекта, храните секреты отдельно, задавайте лимит расходов для отдельного ключа, включайте песочницу и проверяйте сторонние подключения. Эти настройки помогают уменьшить риск доступа к лишним данным.
Это базовые меры цифровой гигиены. Пройдите список по порядку и проверьте каждую настройку.
1. **Оставьте режим «только чтение» по умолчанию.** Не выдавайте агенту широкие права заранее. Перед подтверждением просматривайте запрашиваемые действия и команды.
2. **Запускайте инструмент в папке нужного проекта.** Не открывайте для него весь диск или корневую папку с разными данными. Так область записи будет ограничена проектом.
3. **Разделяйте защиту секретов от публикации в Git и от чтения агентом.** Добавьте `.env` в `.gitignore`, чтобы случайно не начать отслеживать файл: это не запрещает чтение и не исключает уже отслеживаемые файлы. Храните рабочие секреты вне доступной агенту среды, например за пределами виртуальной машины или контейнера, куда подключён только проект. Проверьте права на чтение и запуск команд. Отдельно испытайте исключение из Git и изоляцию доступа на безвредном тестовом секрете, а не на настоящем ключе.
4. **Используйте отдельный ключ с лимитом расходов.** Не передавайте агенту основной ключ от всех сервисов. Ограничение расходов уменьшит возможный ущерб при утечке или ошибочном цикле запросов.
5. **Включите песочницу (`/sandbox`).** Она ограничивает доступ к файлам и сети во время автономной работы. Для особо чувствительных проектов рассмотрите запуск в виртуальной машине.
6. **Считайте незнакомые данные недоверенными.** Случайную веб-страницу или неизвестный инструмент не следует без проверки напрямую передавать агенту. В документации Claude Code также рекомендуется не направлять ему непроверенное содержимое.
7. **Проверяйте MCP-серверы до подключения.** Предпочитайте инструменты, созданные вами или поставщиками, которым вы доверяете. Изучите, какие данные сервер получает и какие действия выполняет.
8. **Создавайте отдельные резервные копии проекта.** Храните копию отдельно от рабочего проекта и периодически проверяйте, что её можно восстановить.
Для первичной проверки проекта можно использовать этот промпт:
Промпт: проверка безопасности проекта
```
Проверь мой проект на утечки данных и слабые места в настройках доступа. Для каждого пункта укажи результат: «ок / риск / чинить срочно».
Проверь, есть ли в коде или истории git открытые ключи, токены и пароли. Если есть, перечисли файлы и предложи, что предпринять.
Проверь, исключён ли .env из Git и отслеживался ли он раньше. Отдельно выясни, могут ли файловые инструменты агента или разрешённые команды прочитать секретные файлы. Используй безвредный тестовый файл, не открывай настоящие ключи. Предложи отдельные меры против публикации в Git и против доступа агента.
Перечисли команды и права, которые я автоматически выдал агенту, и отметь потенциально опасные.
Проверь, подключены ли сторонние MCP-серверы и насколько можно доверять их источникам.
Проверь наличие резервной копии и то, хранится ли она отдельно от основного проекта.
Для каждого риска дай краткое объяснение простыми словами и предложи конкретный способ его устранить. Не изменяй файлы без моего подтверждения.
```
О безопасности автономной работы и ограничении риска повреждения проекта читайте в [руководстве по настройке Claude Code для ночной работы](https://ailoot.ai/blog/ru/claude-code-safe-overnight-setup/). Дополнительные рекомендации собраны в руководстве по навыкам безопасности.
## Что выбрать, если вы всё ещё беспокоитесь: открытые модели
Главное
Для задач с особо чувствительными данными можно рассмотреть открытую модель и другой способ её размещения. GLM-5.2 распространяется под лицензией MIT; Kimi K2.7 доступна через GitHub Copilot. Выбор модели и поставщика определяет, куда направляются ваши промпты.
Это дополнительные варианты для тех, кому важно управлять размещением модели и передачей данных. При выборе учитывайте условия поставщика, способ развёртывания и требования к оборудованию.
GLM-5.2 от китайской компании Z.ai была представлена в июне 2026 года с открытыми весами и лицензией MIT. Для подключения модели к Claude Code можно изменить значение `ANTHROPIC_BASE_URL` и указать токен Z.ai; дополнительное обучение модели для этого не требуется. Условия и стоимость зависят от выбранного доступа.
ZCode — отдельная среда для работы с этой моделью; приложение не является открытым, в отличие от самой модели. Ещё один вариант — Kimi K2.7 от Moonshot, доступная в GitHub Copilot с 1 июля.
При использовании другой модели Anthropic исключается из цепочки только в том случае, если запросы действительно направляются другому поставщику или на собственный сервер. Размещение крупной модели на своём оборудовании требует значительных ресурсов. Сравнение вариантов приведено в материалах [GLM-5.2 и Claude Code](https://ailoot.ai/blog/ru/glm-5-2-vs-claude-code/) и [бесплатных моделей для программирования](https://ailoot.ai/blog/ru/free-coding-models/).
## Продолжать ли пользоваться Claude Code?
Главное
Да, если инструмент подходит для ваших задач. Обнаруженная метка относилась к маршруту запроса, не к содержимому проекта; в версии 2.1.197 её удалили. Основные практические риски связаны с настройкой прав, хранением ключей и использованием непроверенных серверов.
Скрытая метка была связана с тем, как Anthropic выявлял неавторизованных посредников и защищал модели от копирования. При прямом официальном подключении описанный код не запускался и файлы проекта не читал. При этом отсутствие упоминания об удалении кода в официальном списке изменений может вызывать вопросы о прозрачности изменений.
В повседневной работе уделяйте внимание выданным агенту правам, хранению ключей и сторонним подключениям. Проверка этих настроек помогает снизить риск утечки и сохранить контроль над проектом.
### Источники
- [Anthropic: официальная документация Claude Code — безопасность](https://code.claude.com/docs/en/security)
- [Anthropic: официальная документация Claude Code — использование данных](https://code.claude.com/docs/en/data-usage)
Дополнительные материалы доступны на [сайте Ailoot](https://ailoot.ai/).
## Вопросы и ответы
### Запрещает ли .gitignore читать .env через Claude Code?
Нет. Правила Git определяют добавление неотслеживаемых файлов, но не управляют чтением с диска и не исключают уже отслеживаемые файлы. Ограничьте доступ отдельно и проверьте обе меры на тестовом файле.
### Как проверить изоляцию секретов, не раскрывая ключ?
Положите безвредный тестовый секрет в защищаемое место. Проверьте доступ файловыми инструментами агента и разрешёнными командами, затем отдельно проверьте исключение из Git. Настоящие рабочие ключи в испытании не используйте.
## Ailoot · Компания и портфель её проектов
Ailoot опирается на накопленный опыт работы, большую клиентскую базу, стабильный сервис и постоянный контроль KPI.
Компания и портфель её проектов: миллионы клиентов; продажи на миллиарды ежемесячно.
Этот опыт Ailoot использует для API-доступа к нейросетям в продуктах клиентов, агентах, приложениях и автоматизациях.