무슨 일이 있었나
2026년 7월 8일, 중국 공업정보화부(MIIT)는 국가취약점데이터베이스(NVDB) 사이버보안 위협 플랫폼을 통해 Anthropic의 Claude Code(2026년 4월 2일~6월 29일 출시된 버전 2.1.91–2.1.196)를 '심각한 위협을 야기하는 보안 백도어 취약점'으로 분류하는 공식 위험 권고를 발표했습니다. 해당 권고는 이 도구가 중국 지역 시간대나 프록시가 감지되었을 때 사용자의 위치 및 신원 데이터를 Anthropic의 서버로 동의 없이 은폐하여 전송하기 위해 스테가노그래피 기법(프롬프트의 구두점/날짜 형식 변경)을 사용했다고 주장합니다. MIIT는 영향을 받는 버전이 설치된 모든 기관과 사용자에게 포괄적인 조사를 즉시 수행하고, 소프트웨어를 제거하거나 업그레이드하며, 핵심 업무 네트워크 세그먼트에 대한 외부 연결에 대한 네트워크 수준의 제어를 강화할 것을 요구하는 구속력 있는 지시문을 발행했습니다. 이 권고는 Alibaba의 Anthropic 도구 내부 금지(7월 10일 발효) 2일 전에 나왔으며, Anthropic이 Alibaba가 자신의 AI 능력을 추출/증류하려고 시도했다는 공개 주장에 따릅니다. Anthropic은 해당 코드가 2026년 3월에 시작된 반학대/반증류 실험이었음을 인정했으며, 향후 출시에서 이를 제거할 것이라고 밝혔습니다.
왜 중요한가
이것은 중국 산업 규제기관에서 발급한 구속력 있는 국가 사이버보안 지시문으로, 중국 기업과 개발 환경 전역에서 특정 미국 최첨단 AI 연구소의 주력 코딩 에이전트 제품의 제거/개선를 의무화합니다. 이는 국가 안보 색채의 조치로, 명명된 AI 연구소의 도구가 주요 관할권 내에서 실행되는 방식을 실질적으로 제한합니다. 이는 미-중 AI 분리 역학을 확대하며(Anthropic의 Fable/Mythos 모델에 대한 초기 상무부/BIS 수출 제한에 이어), 국가 사이버보안 플랫폼이 외국 AI 도구 채택을 제어하는 데 사용되는 선례를 설정합니다. 중국 사업을 운영하는 기업은 이를 단순한 지침이 아니라 의무적 준수 조치로 취급해야 합니다.
필요한 조치
Claude Code 버전 2.1.91–2.1.196을 사용하고 있는 중국에서 운영 중인 기업(또는 중국 기반 개발 팀이 있는 기업)은 즉시 설치를 감사하고, 패치된 버전으로 제거하거나 업그레이드하며, MIIT의 지시문에 따라 개발자 도구에서 아웃바운드 네트워크 연결을 제한/모니터링해야 합니다.