Trung Quốc cảnh báo rủi ro bảo mật từ công cụ lập trình AI Claude Code

Claude Code được nhiều lập trình viên sử dụng nhờ năng lực đặc thù. Ảnh: Hoàng Linh

Theo thông báo, NVDB phát hiện một lỗ hổng được mô tả là “cửa hậu” (backdoor) trong Claude Code, có thể gây ra những rủi ro nghiêm trọng đối với an ninh thông tin của người dùng.

Claude Code là công cụ AI được thiết kế nhằm hỗ trợ các lập trình viên thực hiện nhiều tác vụ như viết mã nguồn, sửa lỗi và tối ưu hóa chương trình theo các yêu cầu bằng ngôn ngữ tự nhiên. Đây là một trong những công cụ hỗ trợ lập trình bằng AI được sử dụng phổ biến thời gian gần đây.

Tuy nhiên, theo NVDB, cơ chế giám sát được tích hợp bên trong Claude Code có khả năng truyền một số thông tin nhạy cảm, bao gồm khu vực địa lý của người dùng và các mã định danh nhận diện, tới máy chủ từ xa mà không có sự đồng ý của người sử dụng.

Cơ quan này cho rằng, tình trạng này tiềm ẩn nguy cơ rò rỉ dữ liệu và ảnh hưởng đến an toàn của hệ thống công nghệ thông tin.

NVDB cũng cho biết, các phiên bản Claude Code từ 2.1.91 đến 2.1.196 đều tồn tại lỗ hổng nói trên. NVDB khuyến cáo các tổ chức, doanh nghiệp sớm rà soát các hệ thống đang sử dụng công cụ này.

Theo khuyến nghị, các thiết bị phát triển phần mềm đang cài đặt các phiên bản bị ảnh hưởng cần được gỡ bỏ ngay hoặc nâng cấp lên phiên bản mới nhất đã loại bỏ đoạn mã được cho là “cửa hậu”. Đồng thời, các đơn vị cần tăng cường kiểm soát quyền truy cập cũng như giám sát lưu lượng kết nối ra bên ngoài từ các công cụ phát triển phần mềm trong các mạng nghiệp vụ quan trọng nhằm ngăn chặn nguy cơ dữ liệu nhạy cảm bị truyền trái phép ra ngoài.

Động thái mới diễn ra trong bối cảnh Trung Quốc ngày càng siết chặt quản lý đối với các công cụ AI có nguồn gốc nước ngoài, đặc biệt là những nền tảng có khả năng truy cập hoặc xử lý dữ liệu nội bộ của doanh nghiệp.

Trước đó, theo Reuters, Tập đoàn Alibaba đã yêu cầu nhân viên ngừng sử dụng Claude Code trong công việc sau khi xuất hiện những lo ngại rằng công cụ này có một số tính năng có thể giúp nhận diện người dùng có liên quan đến Trung Quốc.

Quyết định này được cho là nhằm hạn chế các nguy cơ về bảo mật dữ liệu và bảo đảm an toàn thông tin trong hoạt động phát triển phần mềm của doanh nghiệp.