SpyBara
Go Premium

security.md 2026-09-09 22:58 UTC to 2026-09-10 23:00 UTC

This page contains 33 additions and 27 deletions.

2026
Thu 10 23:00 Fri 18 23:58

安全性

了解 Claude Code 的安全防护措施和安全使用的最佳实践。

我们如何处理安全性

安全基础

您的代码安全至关重要。Claude Code 以安全为核心构建，按照 Anthropic 的全面安全计划开发。在 Anthropic Trust Center 了解更多信息并访问资源（SOC 2 Type 2 报告、ISO 27001 证书等）。

基于权限的架构

在 Manual mode 中，Claude Code 以只读权限开始。当 Claude Code 需要编辑文件、运行测试或执行命令时，它会先询问您，您可以选择批准该操作一次或从此允许该操作。

在 Manual mode 中，Claude Code 在运行可以修改您的系统的 Bash 命令之前也会询问。它运行一组内置的只读命令，如 ls、cat 和 git status，无需询问。您和您的组织可以直接配置这些权限。

在 auto mode 中，一个单独的分类器模型会审查操作而不是您，并阻止它认为不安全的操作。分类器如何评估操作 列出了 Claude Code 直接批准的操作、发送给分类器的操作以及 Claude Code 仍然询问您的操作。您显式设置的 ask 规则和拒绝规则仍然适用，您的组织可以 关闭 auto mode。

会话开始时使用哪种权限模式取决于您的计划、启动它的界面以及您的设置和您的组织的设置；请参阅 Permission modes。

有关详细的权限配置，请参阅 Permissions。

内置保护

为了降低代理系统中的风险：

  • 沙箱化 bash 工具：使用文件系统和网络隔离的 Sandbox bash 命令，减少权限提示同时保持安全性。使用 /sandbox 配置以定义 Claude Code 可以自主工作的边界
  • 工作目录边界：在 Manual mode 中，Claude Code 只能写入启动它的文件夹及其子文件夹，不能在没有明确权限的情况下修改父目录中的文件。在 Manual mode 中，Claude Code 在使用 Read、Grep 和 Glob 工具读取此边界外的路径之前也会询问您。使用额外目录扩展边界以跳过提示，或使用沙箱 denyRead 规则限制对只读 Bash 命令可用的更广泛读取访问，这些规则仅在启用沙箱时适用
  • 提示疲劳缓解：支持按用户、按代码库或按组织的白名单常用安全命令
  • Accept Edits 模式：自动批准文件编辑和一组固定的文件系统 Bash 命令，如 mkdir、touch、rm、mv、cp 和 sed，用于工作目录中的路径。其他 Bash 命令和超出范围的路径仍然会提示

用户责任

Claude Code 只拥有您授予它的权限。您负责在批准前审查建议的代码和命令的安全性。

防止提示注入

提示注入是一种攻击者试图通过插入恶意文本来覆盖或操纵 AI 助手指令的技术。Claude Code 包括针对这些攻击的多项防护措施：

核心保护

  • 权限系统：在手动模式下，敏感操作需要明确批准
  • 上下文感知分析：通过分析完整请求来检测潜在有害指令
  • 输入清理：通过处理用户输入来防止命令注入
  • 网络命令批准：从网络获取内容的命令，如 curl 和 wget，默认不会自动批准。在手动模式下，它们会像任何其他非只读 Bash 命令一样提示，因此您仍然可以批准一次或添加显式允许规则，如 Bash(curl *)。要阻止 Claude 运行它们，请将其添加到 permissions.deny。拒绝规则匹配按照编写的命令；对于不依赖命令文本的网络强制执行，请参阅沙箱网络隔离

隐私保护

我们实施了多项保护措施来保护您的数据，包括：

  • 敏感信息的有限保留期（请参阅 Privacy Center 了解更多）
  • 对用户会话数据的受限访问
  • 用户对数据训练偏好的控制。消费者用户可以随时更改其 隐私设置。

有关完整详情，请查看我们的 Commercial Terms of Service（适用于 Team、Enterprise 和 API 用户）或 Consumer Terms（适用于 Free、Pro 和 Max 用户）以及 Privacy Policy。

其他保护措施

  • 网络请求批准：在手动模式下，进行网络请求的大多数工具默认需要用户批准
  • 隔离的上下文窗口：Web fetch 使用单独的上下文窗口以避免注入潜在恶意提示
  • 信任验证：首次代码库运行和新 MCP servers 需要信任验证
    • 注意：使用 -p 标志以非交互方式运行时，信任验证被禁用
    • 注意：当您直接在主目录中启动 Claude Code 时，信任接受仅在当前会话期间保持，不会写入磁盘，因此提示在每次启动时都会重新出现。没有设置可以持久化它。请从项目子目录启动 Claude Code，其中信任接受按目录保存
  • 命令注入检测：在手动模式下，即使之前已白名单，可疑的 bash 命令也需要手动批准
  • 故障关闭匹配：在手动模式下，不匹配的命令默认需要批准
  • 自然语言描述：复杂的 bash 命令包括用户理解的说明
  • 安全凭证存储：API 密钥和令牌存储在可用时的 macOS Keychain 中，在 Windows 和 Linux 上受文件权限保护。请参阅 Credential Management

处理不受信任内容的最佳实践：

  1. 在批准前审查建议的命令
  2. 避免直接将不受信任的内容通过管道传递给 Claude
  3. 验证对关键文件的建议更改
  4. 使用虚拟机 (VM) 运行脚本并进行工具调用，特别是在与外部 Web 服务交互时
  5. 使用 /feedback 报告可疑行为

MCP 安全性

Claude Code 允许用户配置 Model Context Protocol (MCP) servers。允许的 MCP servers 列表在您的源代码中配置，作为 Claude Code 设置的一部分，工程师将其检入源代码控制。

我们鼓励编写您自己的 MCP servers 或使用来自您信任的提供商的 MCP servers。您能够为 MCP servers 配置 Claude Code 权限。Anthropic 在将连接器添加到 Anthropic Directory 之前，会根据其 列表标准 审查连接器，但不对任何 MCP server 进行安全审计或管理。

IDE 安全性

有关在 IDE 中运行 Claude Code 的更多信息，请参阅 VS Code security and privacy。

云执行安全性

使用 Claude Code on the web 时，会实施额外的安全控制。您的组织路由到 自托管环境 的会话在您自己的基础设施上运行，其中隔离、网络出口和 git 凭证是您部署的责任。在 Anthropic 托管的环境中：

  • 隔离的虚拟机：每个云会话在隔离的、由 Anthropic 管理的 VM 中运行
  • 网络访问控制：网络访问默认受限，可以配置为禁用或仅允许特定域
  • 凭证保护：身份验证通过安全代理处理，该代理在沙箱内使用作用域凭证，然后转换为您的实际 GitHub 身份验证令牌
  • 分支限制：Git push 操作限制在当前工作分支
  • 审计日志：云会话中的所有操作都被记录以用于合规和审计目的
  • 自动清理：会话 VM 在一段时间不活动后被回收

有关云执行的更多详情，请参阅 Claude Code on the web；要为云会话配置网络访问，请参阅 Configure cloud environments。

Remote Control 会话的工作方式不同：Web 界面连接到在您本地机器上运行的 Claude Code 进程。所有代码执行和文件访问都保持本地，会话流量通过 TLS 上的 Anthropic API 传输；连接时，会话记录存储在 Anthropic 服务器上以跨设备同步对话，如 Connection and security 中所述。不涉及云 VM 或沙箱。连接使用多个短期的、范围狭窄的凭证，每个凭证限制于特定目的并独立过期，以限制任何单个受损凭证的影响范围。

安全最佳实践

处理敏感代码

  • 在批准前审查所有建议的更改
  • 为敏感存储库使用项目特定的权限设置
  • 考虑使用 dev containers 以获得额外隔离
  • 使用 /permissions 定期审计您的权限设置

团队安全

报告安全问题

如果您在 Claude Code 中发现安全漏洞：

  1. 不要公开披露
  2. 通过我们的 HackerOne program 报告
  3. 包括详细的复现步骤
  4. 在公开披露前给我们时间来解决问题