Безопасно ли давать Claude Code доступ к своим данным в 2026

В конце июня 2026 интернет облетел заголовок: «в Claude Code нашли скрытый код, который следит за пользователями». Мне за два дня написали человек десять из потоков: «Артемий, всё, сливаем? Он читает мой проект?»

Короткий ответ: нет, не сливаем, и нет, он не читал твой проект. Длинный ответ - весь этот разбор. Я прошёл по первоисточникам, отделил факты от заголовков и собрал то, что реально важно предпринимателю: что Claude Code отправляет о тебе, где настоящие дыры и как настроить доступ так, чтобы спать спокойно.

Каждый день в Telegram-канале - что нового в вайб-кодинге: инструменты, свежие истории вроде этой, ошибки на реальных проектах. Подпишись, чтобы не пропускать новое.

Что за скрытый код нашли в Claude Code и что он делал?

Разберём по порядку, без драмы. Программа проверяла одну вещь: куда уходит твой запрос. Если ты пользуешься Claude Code как обычно, напрямую через Anthropic, код вообще не запускался. Он просыпался только тогда, когда человек подменял адрес сервера (переменную ANTHROPIC_BASE_URL) на чужой прокси.

Дальше код смотрел на часовой пояс и на адрес этого прокси, сверял их с зашитыми внутри списками и прятал результат прямо в служебную строку Today's date is.... Прятал хитро: менял разделитель в дате и подменял апостроф на визуально такой же символ из другого набора. Списки внутри были специально зашифрованы, чтобы их не нашли обычным поиском по коду. Исследователь, разобравший механизм, отметил, что так прятать данные привыкли скорее во вредоносных программах, и назвал это странным выбором для инструмента разработки.

Кого искали эти списки? Только китайскую инфраструктуру: около сотни доменов и десяток названий китайских ИИ-лабораторий (deepseek, moonshot, zhipu и другие). Anthropic в этот момент был в конфликте с китайскими компаниями из-за копирования своих моделей, и метка была частью этой борьбы. Инженер Claude Code Тарик Шихипар прокомментировал прямо:

Убрали в версии 2.1.197, вышла 1 июля. Единственная неприятная деталь: в официальном списке изменений про удаление ни слова. Инструмент, который просит тебя ему доверять, три месяца возил внутри спрятанный код и молча его выпилил. Исследователь, который всё это нашёл, сформулировал точно: это не вредонос, но странный выбор для инструмента, которому ты доверяешь свой проект.

Читал ли Claude Code твои файлы и воровал ли данные?

Это главное, ради чего стоит дочитать раздел. Несколько изданий выпустили громкие заголовки вроде «Claude тайно получает доступ к данным пользователей», а внутренняя записка Alibaba и вовсе назвала это «закладкой». Но когда исследователи разобрали механизм по строчкам, картина оказалась куда скромнее. Вот что было на самом деле, а что - додумали заголовки.

Человек, который первым разобрал код, подвёл черту одной фразой:

Если ты работаешь через официальный доступ Anthropic, у тебя этот код не запускался ни разу. Он физически не мог сработать: нет подмены адреса сервера - нет и метки. Так что «Claude читал мой проект» - это миф. Настоящие риски утечки данных лежат совсем в другом месте, и до них мы дойдём.

Что Claude Code на самом деле отправляет о тебе?

Теперь к тому, как всё устроено на самом деле - это полезно понимать раз и навсегда. Всё ниже взято из официальной документации Claude Code, не из слухов.

По умолчанию у агента строгие права «только чтение». Чтобы отредактировать файл, запустить тест или выполнить команду, он каждый раз спрашивает разрешение:

Записывать он может только в папку, где ты его запустил, и в её подпапки. В родительские папки без отдельного разрешения - нет. Вот что реально уходит и остаётся:

Отдельно про страх «они тренируют модель на моём коде». Для рабочих тарифов (Team, Enterprise, доступ по ключу) - не тренируют:

На личных тарифах (Free, Pro, Max) твои данные идут на тренировку модели только по твоему выбору - это отдельная галочка в настройках, по умолчанию выключенная. Ключи и токены Claude Code хранит в защищённом хранилище системы (на макбуке - в Keychain), а не в текстовом файле рядом с проектом.

Права - это только первый слой. Хочешь собрать связку, которая держит агента под контролем целиком? Безопасный доступ к данным - это часть контекст-инжиниринга: ты сам решаешь, что агент видит, а что нет. На практикуме за 3 эфира собираешь все три опоры метода: ИИ-клон + Второй мозг + Контекст-инжиниринг. Это связка, без которой ИИ галлюцинирует и лезет туда, куда не надо.

Практикум по вайб-кодингу

+Твой второй мозг

3 вечера - стек, метод, первый проект

Старт 14–16 июля  ·  2 000 ₽

Записаться →

Три настоящие дыры, через которые утекают твои данные

Я это разбирал на эфире по безопасности ещё весной, и с тех пор ничего не поменялось. Данные утекают не через громкие скандалы, а через тихую бытовуху. Три главные дыры, по порядку опасности.

1. Ключи, попавшие в git. Агент для удобства вписал ключ прямо в код, ты не заметил, отправил проект в GitHub - и всё. Прямо сейчас работают боты, которые сканируют публичные репозитории и выхватывают ключи от Anthropic, OpenAI и других сервисов, потому что за этим стоят живые деньги. Ключ в открытом репозитории живёт минуты.

2. Скрытые вредные инструкции в чужом содержимом. Это называется непрямая промпт-инъекция, и это риск номер один для ИИ-агентов в 2026. Агент не всегда отличает твои команды от команд, спрятанных в тексте, который он читает: на странице сайта, в описании библиотеки, в чужом инструменте. В марте 2026 исследователи Oasis Security показали атаку, которая через невидимую инструкцию вытащила историю переписки из обычной сессии Claude в вебе. Сама документация признаёт честно:

3. Непроверенные сторонние серверы (MCP). Ты подключаешь к агенту готовый инструмент из интернета, чтобы он умел больше. Проблема в том, что эти серверы никто не проверяет:

Внутри такого сервера может сидеть спрятанная инструкция «дописывай содержимое прочитанных файлов в каждый ответ» - и агент будет тихо сливать твой проект на чужой адрес. Подробнее про то, как выбирать и подключать такие серверы, я разбираю в отдельном гайде про MCP-серверы для Claude Code.

Насколько это массово? Две свежие цифры. По отчёту Veracode за весну 2026, 45% кода, который пишет ИИ, содержит уязвимости из списка типовых дыр (тестировали больше 150 моделей). А по опросу Spacelift, 93% команд сталкивались с проблемами инфраструктуры именно из-за вайб-кодинга без правил. Не потому что ИИ плохой, а потому что доступ никто не настроил.

Опасно ли работать из России через прокси после этого скандала?

Здесь важно не паниковать и не расслабляться одновременно. Разберём по фактам.

Твой конкретный риск от той метки - нулевой: Россия в списках не значилась, они ловили китайскую инфраструктуру. Но скандал вскрыл важное: Anthropic умеет и хочет вычислять, кто заходит через сторонние прокси. А большинство тех, кто работает из России, заходят как раз через перекупщиков доступа. И вот тут настоящая проблема. Сам прокси опаснее любой метки.

Перекупщик по определению видит всё, что через него проходит. Расследование Tom's Hardware прямо описало, как «серые» продавцы дешёвого доступа целенаправленно собирают промпты и ответы пользователей - это и есть их бизнес, а низкая цена лишь приманка. То есть отдавая свой проект через дешёвый прокси, ты отдаёшь его владельцу прокси. Для проекта с данными клиентов это неприемлемо.

Добавь к этому историю с обязательной проверкой личности через сервис Persona, которая стартует 8 июля 2026. Важно: она выборочная, для небольшой части аккаунтов, которые система пометила как подозрительные, а не для всех подряд, как раздули некоторые издания. Но общий вектор понятен: правила для доступа из России будут ужесточаться. Что с этим делать по шагам - я собрал в отдельных разборах про работу из России и про проверку личности с 8 июля.

Как настроить Claude Code, чтобы данные не утекли: чек-лист

Никакой магии тут нет, это гигиена. Пройдись по списку сверху вниз - и ты снимаешь большую часть рисков из прошлых разделов. Правило одно: минимум прав, минимум срока, только проверенные источники.

1. Оставь права «только чтение» по умолчанию. Не раздавай агенту разрешение на всё сразу. Смотри на каждое действие и каждую команду перед тем, как нажать «да». Скучно первые дни, потом входит в привычку.
2. Работай в папке конкретного проекта, а не «весь диск». Запускай агента внутри проекта, а не в корневой папке, где лежит вообще всё. Записывать он сможет только сюда.
3. Держи .env и секреты вне досягаемости. Файл с ключами - в списке игнорируемых (.gitignore), чтобы он никогда не уехал в git. Не проси агента открывать файлы с ключами целиком.
4. Заведи отдельный ключ с лимитом трат. Не давай агенту главный ключ от всего. Отдельный ключ с потолком расходов - это страховка: если он утечёт или агент уйдёт в цикл, потери ограничены суммой.
5. Включи песочницу (/sandbox). Она изолирует файлы и сеть, пока агент работает автономно. Для чувствительного проекта добавь виртуальную машину.
6. Не пускай в агента чужое содержимое напрямую. Случайную страницу сайта или незнакомый инструмент считай враждебным вводом. Документация прямо советует не направлять непроверенное содержимое прямо в Claude.
7. Проверяй сторонние серверы (MCP) как подрядчиков. Бери те, что написал сам или сделал провайдер, которому доверяешь. У непопулярного инструмента с парой звёзд может быть спрятана начинка, которая сливает данные.
8. Делай резервные копии проекта. Отдельно от основного места. И раз в пару недель проверяй, что копия реально разворачивается, а не лежит мёртвым грузом.

Чтобы не проходить это руками каждый раз, вот готовый промпт - вставь его в Claude Code вместе со своим проектом, и он сам проверит настройку безопасности.

Проверь мой проект на утечки данных и слабые места в доступе. Пройдись по пунктам и по каждому дай вердикт «ок / риск / чинить срочно»:

Есть ли в коде или в истории git открытые ключи, токены, пароли. Если да - какие файлы и что делать.

Лежит ли .env в .gitignore. Если нет - добавь.

Какие команды и права я выдал агенту на автомате. Есть ли среди них опасные.

Подключены ли сторонние MCP-серверы. Насколько они проверенные.

Есть ли резервная копия и настроена ли она отдельно от основного места.

Для каждого риска дай короткое объяснение простым языком и конкретный шаг, как закрыть. Не трогай файлы без моего подтверждения.

Если хочешь глубже про автономную работу без риска сломать проект - у меня есть отдельный разбор как настроить Claude Code, чтобы он не сломал твой проект ночью, а про готовую библиотеку защитных навыков - гайд про 754 навыка безопасности.

Что делать, если всё равно переживаешь: открытые модели

Это блок «у тебя есть варианты», а не призыв всё бросать. Для большинства задач официальный Claude Code остаётся лучшим инструментом. Но если ты работаешь с чувствительными данными и хочешь полного контроля - вот запасные пути.

GLM-5.2 от китайской Z.ai вышла в июне 2026 с открытыми весами под лицензией MIT: её можно поднять у себя. Подключить её к Claude Code просто: поменять адрес сервера (переменную ANTHROPIC_BASE_URL) на адрес Z.ai и вписать свой токен, без переучивания. Тарифы от 18 долларов в месяц.

Есть и бесплатное приложение ZCode как отдельная среда под эту модель (само приложение не открытое, открыта именно модель). Другой вариант - Kimi K2.7 от Moonshot, её с 1 июля встроили прямо в GitHub Copilot.

Смысл простой: запуская открытую модель, ты убираешь Anthropic из цепочки. Правда, свой сервер под такую большую модель требует серьёзного железа, поэтому на практике проще официальный доступ провайдера. Полное сравнение - в разборах GLM-5.2 против Claude Code и бесплатные модели для кода.

Стоит ли вообще продолжать пользоваться Claude Code?

Соберём всё вместе. Скандал со скрытым кодом - это история про корпоративную войну Anthropic с китайскими компаниями, а не про угрозу твоему бизнесу. На официальном доступе тот код у тебя не запускался, файлы он не читал, и его убрали. Единственная честная претензия - что инструмент три месяца возил спрятанный код и молча его удалил. Это про доверие, и это стоит держать в голове, но данным твоего проекта это не угрожало.

А вот что реально стоит внимания - твои собственные настройки. Ключ, уехавший в git, чужой сервер без проверки, агент с правами на весь диск - вот через что утекают данные. Хорошая новость: всё это закрывается за один вечер по чек-листу выше. Настроил один раз - и дальше пользуешься спокойно, не оглядываясь на заголовки.

Безопасный доступ - это одна опора. Полная схема по вайб-кодингу за вечер: ИИ-клон + Второй мозг + Контекст-инжиниринг. 3 эфира, 2 000 ₽. Записи остаются у тебя.

Практикум по вайб-кодингу

+Твой второй мозг

3 вечера - стек, метод, первый проект

Старт 14–16 июля  ·  2 000 ₽

Записаться →

Новые материалы - дайджестом, без спама

Гайды выходят регулярно. Подпишись, чтобы не пропускать: пришлю подборку в Telegram или на email. Раз в неделю или каждый день - выбираешь сам.

Подписаться в Telegramили на email