アリババ、Claude Codeを社内禁止。7月10日から

情報の灯台

2026年7月3日 22:4900

Anthropicのコーディングツール「Claude Code」が中国のユーザー環境を密かに検査していたことが発覚し、アリババは7月10日から全社での使用を禁止する。自社ツールへの移行が従業員に通達された。

禁止の内容

アリババは業務用端末でのClaude Codeの使用を7月10日から禁止し、社内の制限ソフトウェアリストに追加した。ロイターによると、同社はClaude Codeを「ハイリスクソフトウェア」に分類し、従業員には自社のコーディングツール「Qoder」への移行を指示している。

中国メディアの報道では、禁止対象はClaude Codeにとどまらず、Sonnet、Opus、Fableを含むAnthropicの全モデルに及ぶとされている。全社的な排除だ。

Qoderは2025年8月にアリババが公開したAIコーディングプラットフォームで、2026年5月にはバージョン1.0がリリースされ、ユーザー数は全世界で500万を超えている。Claude Codeの代替としての基盤は既にある。

アリババはコメントを出していない。この措置は中国の経済メディア「第一財経」が先行して報じた。

禁止のきっかけ

直接の引き金となったのは、6月30日に開発者コミュニティで表面化したClaude Codeの内部構造に関する発見だ。

あるリサーチャーがClaude Codeのバイナリをリバースエンジニアリングし、バージョン2.1.91（2026年4月2日リリース）以降に組み込まれていた未公開のコードを発見した。

APIリクエストの送信先がAnthropicの公式エンドポイントかどうかを調べ、公式でなければシステムのタイムゾーンとプロキシのホスト名を読み取る。

検出対象はAsia/ShanghaiおよびAsia/Urumqiのタイムゾーンと、アリババ、バイドゥ、バイトダンス、Moonshot AI、MiniMaxなど147のドメインリストだ。このリストはXOR難読化され、通常のテキスト検索では見つからないように処理されていた。

検出結果の伝達方法がとりわけ問題視された。Claude Codeは専用のテレメトリフィールドを使わず、毎回のシステムプロンプトに含まれる「Today's date is...」という1行を書き換える手法を採った。

タイムゾーンが中国と判定されると、日付の区切りがハイフンからスラッシュに変わる（2026-06-30 → 2026/06/30）。「Today's」のアポストロフィも、検出結果に応じて目視では区別できない4種類のUnicode文字の間で切り替わる。

ドメインリストとの一致、AIラボのキーワードとの一致、その両方、どちらにも一致しない、の4パターンで異なる文字が選ばれた。

ステガノグラフィ（情報を別の情報に見えないように埋め込む技術）による隠しチャネルだ。Anthropicのサーバー側では読み取れるが、ユーザーの目には通常のタイムスタンプにしか見えない。

Anthropicの対応

Anthropicは否定しなかった。Claude Codeチームのタリク・シヒパー（Thariq Shihipar）氏が7月1日、Xで経緯を説明している。3月に開始した実験であり、目的は無許可の再販業者によるアカウント悪用の防止と、蒸留攻撃への対策だったという。より強力な対策がその後導入されており、削除は以前から予定していたと同氏は述べた。

コードの削除は7月1日のアップデート（バージョン2.1.197）で実施されたとしている。

セキュリティ研究者からの批判は、目的よりも実装方法に集中した。開発者がClaude Codeに与えているのは、ファイルシステムへのアクセスとシェルの実行権限だ。その権限を持つツールがユーザーの環境情報を黙って読み取り、見えない方法でサーバーに送っていた。信頼して渡した権限が、告知なく別の目的に使われていたことになる。

この検出コードは技術的に容易に回避できるという点も繰り返し指摘された。プロキシのホスト名やタイムゾーンを変更すれば済む。高度な蒸留パイプラインを運用する組織がこの程度の対策に引っかかることはなく、実際に捕捉されるのは、企業のAPIゲートウェイやコスト管理プロキシを正規に利用している開発者だ。

蒸留攻撃との時系列

禁止の背景には、Anthropicとアリババの間で続く蒸留攻撃をめぐる対立がある。

Anthropicは6月10日付の米上院への書簡で、アリババのAI研究チームQwenが約2万5000の不正アカウントを使い、4月22日から6月5日までの間にClaudeと2880万回のやり取りを行ったと告発した。Claudeのコーディング能力やマルチステップ推論を抽出し、自社モデルの訓練に使うための蒸留攻撃だったとAnthropicは主張している。

Claude Code検出コードと蒸留攻撃の時系列

4月2日

検出コード実装

Claude Code v2.1.91で機能開始

4月22日

蒸留攻撃が開始

Qwenが偽アカウント約2万5000件で活動

6月5日

蒸留攻撃の確認範囲が終了

この間にClaudeと2880万回のやり取り

6月10日

Anthropicが米上院に書簡

アリババによる蒸留攻撃を告発

6月30日

検出コードが発覚

リバースエンジニアリングで公開

7月1日

Anthropicが検出コード削除

v2.1.197で実施

7月10日

アリババが全社禁止

全Anthropic製品を排除、Qoderへ移行

※全日付は2026年。蒸留攻撃の期間はAnthropicの米上院宛書簡に基づく

Claude Codeに埋め込まれた検出コードのタイムラインと、蒸留攻撃の時期は重なっている。検出コードは4月2日から機能していた。蒸留攻撃は4月22日から確認された。Anthropicが蒸留の検知と防止を並行して進めていたことがわかる。

アリババにとっては、自社が蒸留攻撃の対象として名指しされた直後に、そのツールが自社の従業員の環境を監視していたことが判明した形になる。禁止措置の名目はセキュリティリスクだが、蒸留告発への事実上の対抗措置としての意味合いも読み取れる。

個の開発者と企業の温度差

この措置を知る関係者は、Anthropicの中国向けアクセス制限は個の開発者に対して執行が難しいと指摘している。米国にサーバーを立て、トラフィックを米国発に見せかけることが技術的に容易なためだ。実際にClaude Codeは、Anthropicがサービスを提供していない中国のプログラマーの間でも広く使われてきた。

企業は違う。法的リスクとコンプライアンス上の責任を負うため、自社従業員が外国製AIツールを使い、そのツールが自社の環境情報を収集している可能性があるとなれば、禁止に動く合理性がある。

米国のAI企業がアクセス制限と蒸留対策を強化するほど、中国のクラウド・AI企業はDeepSeek、Qwen、Moonshot、Zhipuといった国産モデルへの移行を早める。アリババのClaude Code禁止は、その加速を示す最新の事例だ。

蒸留した側がバックドアを見つけ、蒸留された側がバックドアを認めて削除した。どちらも相手を信用していないことだけが、はっきりしている。