安全性

​

我們的安全方法

​

安全基礎

您程式碼的安全性至關重要。Claude Code 以安全為核心構建，根據 Anthropic 的全面安全計劃開發。在 Anthropic 信任中心 了解更多並獲取資源（SOC 2 Type 2 報告、ISO 27001 證書等）。

​

基於權限的架構

Claude Code 預設使用嚴格的唯讀權限。當需要額外操作時（編輯檔案、執行測試、執行命令），Claude Code 會請求明確的權限。使用者控制是否一次性批准操作或允許自動執行。

我們設計 Claude Code 以透明和安全為原則。例如，我們在執行 bash 命令之前需要批准，讓您直接控制。這種方法使使用者和組織能夠直接配置權限。

有關詳細的權限配置，請參閱身份與存取管理。

​

內建保護

為了減輕代理系統中的風險：

• 寫入存取限制：Claude Code 只能寫入啟動的資料夾及其子資料夾——它無法修改父目錄中的檔案。雖然 Claude Code 可以讀取工作目錄外的檔案（對於存取系統函式庫和相依性很有用），但寫入操作嚴格限制在專案範圍內，創建了明確的安全邊界
• 提示疲勞緩解：支援為每個使用者、每個程式碼庫或每個組織允許清單常用的安全命令
• 接受編輯模式：批次接受多個編輯，同時保持對具有副作用的命令的權限提示

​

使用者責任

Claude Code 只擁有您授予它的權限。您有責任在批准之前檢查建議的程式碼和命令的安全性。

​

防範提示注入

提示注入是攻擊者試圖透過插入惡意文字來覆蓋或操縱 AI 助手指令的技術。Claude Code 包含針對這些攻擊的多項防護措施：

​

核心保護

• 權限系統：敏感操作需要明確批准
• 上下文感知分析：透過分析完整請求來檢測潛在有害指令
• 輸入清理：透過處理使用者輸入來防止命令注入
• 命令阻止清單：阻止從網路獲取任意內容的風險命令，如 curl 和 wget

​

Privacy safeguards

We have implemented several safeguards to protect your data, including:

• Limited retention periods for sensitive information
• Restricted access to user session data
• Clear policies against using feedback for model training

For full details, please review our Commercial Terms of Service and Privacy Policy.

​

額外防護措施

• 網路請求批准：進行網路請求的工具預設需要使用者批准
• 隔離上下文視窗：網路獲取使用單獨的上下文視窗以避免注入潛在惡意提示
• 信任驗證：首次程式碼庫執行和新的 MCP 伺服器需要信任驗證
• 命令注入檢測：可疑的 bash 命令即使之前已列入允許清單也需要手動批准
• 失敗關閉匹配：不匹配的命令預設需要手動批准
• 自然語言描述：複雜的 bash 命令包含解釋以供使用者理解
• 安全憑證儲存：API 金鑰和權杖已加密。請參閱憑證管理

處理不受信任內容的最佳實踐：

1. 在批准之前檢查建議的命令
2. 避免將不受信任的內容直接傳送給 Claude
3. 驗證對關鍵檔案的建議更改
4. 使用虛擬機器（VM）執行腳本和進行工具呼叫，特別是在與外部網路服務互動時
5. 使用 /bug 報告可疑行為

​

MCP 安全性

Claude Code 允許使用者配置模型上下文協定（MCP）伺服器。允許的 MCP 伺服器清單在您的原始碼中配置，作為工程師檢入原始碼控制的 Claude Code 設定的一部分。

我們鼓勵編寫您自己的 MCP 伺服器或使用來自您信任的提供者的 MCP 伺服器。您能夠為 MCP 伺服器配置 Claude Code 權限。Anthropic 不管理或審核任何 MCP 伺服器。

​

安全最佳實踐

​

處理敏感程式碼

• 在批准之前檢查所有建議的更改
• 對敏感儲存庫使用專案特定的權限設定
• 考慮使用開發容器進行額外隔離
• 使用 /permissions 定期審核您的權限設定

​

團隊安全

• 使用企業管理政策來執行組織標準
• 透過版本控制共享已批准的權限配置
• 培訓團隊成員安全最佳實踐
• 透過 OpenTelemetry 指標監控 Claude Code 使用情況

​

報告安全問題

如果您發現 Claude Code 中的安全漏洞：

1. 不要公開披露
2. 透過我們的 HackerOne 計劃報告
3. 包含詳細的重現步驟
4. 在公開披露之前給我們時間解決問題

​

相關資源

• 身份與存取管理 - 配置權限和存取控制
• 監控使用情況 - 追蹤和審核 Claude Code 活動
• 開發容器 - 安全、隔離的環境
• Anthropic 信任中心 - 安全認證和合規性