Cảnh báo rủi ro bảo mật từ công cụ hỗ trợ lập trình Claude Code

Theo thông báo, NVDB phát hiện một lỗ hổng được mô tả là backdoor trong Claude Code, có thể gây ra những rủi ro nghiêm trọng đối với an toàn thông tin của người dùng.

Claude Code là công cụ AI được thiết kế nhằm hỗ trợ các lập trình viên thực hiện nhiều tác vụ như viết mã nguồn, sửa lỗi và tối ưu hóa chương trình theo các yêu cầu bằng ngôn ngữ tự nhiên. Đây là một trong những công cụ hỗ trợ lập trình bằng AI được sử dụng phổ biến thời gian gần đây.

Tuy nhiên, theo NVDB, cơ chế giám sát được tích hợp bên trong Claude Code có khả năng truyền một số thông tin nhạy cảm, bao gồm khu vực địa lý của người dùng và các mã định danh nhận diện, tới máy chủ từ xa mà không có sự đồng ý của người sử dụng. Cơ quan này cho rằng, tình trạng này tiềm ẩn nguy cơ rò rỉ dữ liệu và ảnh hưởng đến an toàn của hệ thống công nghệ thông tin.

NVDB cũng cho biết, các phiên bản Claude Code từ 2.1.91 đến 2.1.196 đều tồn tại lỗ hổng nói trên. NVDB khuyến cáo các tổ chức, doanh nghiệp sớm rà soát các hệ thống đang sử dụng công cụ này.    

Theo khuyến nghị, các thiết bị phát triển phần mềm đang cài đặt các phiên bản bị ảnh hưởng cần được gỡ bỏ ngay hoặc nâng cấp lên phiên bản mới nhất đã loại bỏ đoạn mã độc hại. Đồng thời, các tổ chức, doanh nghiệp cần tăng cường kiểm soát quyền truy cập, cũng như giám sát lưu lượng kết nối ra bên ngoài từ các công cụ phát triển phần mềm trong các mạng nghiệp vụ quan trọng, nhằm ngăn chặn nguy cơ dữ liệu nhạy cảm bị truyền trái phép ra ngoài.

Trước đó, theo Reuters, Tập đoàn Alibaba đã yêu cầu nhân viên ngừng sử dụng Claude Code trong công việc, sau khi xuất hiện những lo ngại rằng công cụ này có một số tính năng có thể giúp nhận diện người dùng có liên quan đến Trung Quốc. Quyết định này được cho là để hạn chế các nguy cơ rủi ro về bảo mật dữ liệu và bảo đảm an toàn thông tin trong hoạt động phát triển phần mềm của doanh nghiệp.

M.H