Alibaba、従業員のClaude Code利用を禁止へ - 中国ユーザー検出の隠しコード発見が発端

中国のAlibabaが、AnthropicのAIコーディングツール「Claude Code」の従業員による利用を2026年7月10日から禁止すると報じられました。South China Morning Post（SCMP）が社内通知をもとに伝え、TechCrunchも追認しています¹³。社内通知では、Claude Codeが「セキュリティ脆弱性のある高リスクソフトウェア」のリストに追加されたと説明されており³、Alibabaは代替として自社のコーディングエージェント「Qoder」の利用を従業員に指示しているとされます¹。

この禁止措置の発端は、Claude Codeの内部に中国ユーザーを識別する難読化されたコードが見つかったことです。さらにその背後には、AnthropicがAlibaba系の運用者による大規模な「蒸留攻撃」を米議会への書簡で非難した経緯があり⁴、米中のAI競争が開発者が日常的に使うツールのレイヤーにまで波及した事例といえます。なお、Alibabaによる公式発表は現時点で確認されておらず、禁止措置は報道ベースの情報です¹。

発端: 中国ユーザーを検出する隠しコードの発見

2026年6月30日、RedditユーザーのLegitMichel777氏がClaude Codeをリバースエンジニアリングし、中国ユーザーを識別するコードが埋め込まれていると公表しました²。報告によると、このコードは2026年4月2日リリースのバージョン2.1.91から実装されていました²。

技術的な中身も詳細に報告されています。コードはXOR（キー91）で難読化されており、単純なテキスト抽出では見つからない状態でした²。検出ロジックは、システムのタイムゾーンが「Asia/Shanghai」または「Asia/Urumqi」に設定されているかを比較し、プロキシURLに中国のドメインが含まれるかをスキャンするものだったとされます²。さらに検出結果の送信方法として、日付フォーマットやアポストロフィ文字をわずかに置き換えるというステガノグラフィ（データ隠蔽）的な手法が使われていたと報告されています²。

前提として、Anthropicは中国など未サポート地域の企業によるClaude利用を認めておらず、2025年9月には「未サポート地域に本社を置く企業に50%以上を所有される企業・組織」まで制限対象を広げると公式に発表しています⁵。今回発見された仕組みは、この制限を迂回して利用するユーザーを識別するためのものだったとみられます¹。

Anthropicの説明: 「蒸留対策の実験」

発見の公表を受けて、AnthropicのThariq Shihipar氏はX上で、この仕組みが「不正な再販業者からのアカウント悪用を防ぎ、蒸留から保護するために3月に開始した実験」だったと説明しました¹²。同氏は「より強力な対策を講じており、以前からこれを削除する予定だった」とも述べています²。削除のプルリクエストはすでにマージされ、直後のリリースで完全にロールバックされるとされました²。

Anthropicが目的として挙げた「蒸留」（distillation）とは、より高度なAIモデルの出力を使って別のモデルを訓練する技術です⁴。仕組みの詳細は当サイトのモデルの軽量化（蒸留と量子化）の解説記事で扱っていますが、本来はモデルを小型化する正当な技術である一方、他社モデルの能力を無断で写し取る手段にもなり得るため、フロンティアAI企業の多くが利用規約で競合モデルの訓練への出力利用を禁じています。

背景: Anthropicによる「史上最大の蒸留攻撃」非難

今回の応酬の背景には、6月下旬にAnthropicが行った非難があります。Anthropicは米国上院銀行委員会の上級メンバーに宛てた書簡で、Alibaba（Qwen AIラボ）系の運用者が約25,000の不正アカウントを使い、2026年4月22日から6月5日にかけて2,880万件以上のやり取りを通じてClaudeから蒸留を行ったと主張しました⁴。AlibabaはInfoWorldのコメント要請に応じておらず⁴、この主張はAnthropic側の一方的なものである点には留意が必要です。

つまり今回の一連の流れは、(1) AnthropicがAlibabaによる蒸留攻撃を非難し、(2) その対策として仕込まれていた中国ユーザー検出コードが発見され、(3) AlibabaがClaude Codeを「高リスクソフトウェア」として社内禁止する、という応酬になっています。

開発ツールに波及する米中AI対立

この出来事は、Claude Codeを利用する開発者や導入を検討する企業にとって、2つの論点を示しています。

1つ目は、ベンダーの透明性です。今回の検出コードはリリースノートに記載がなく、難読化された状態で配布されていました²。目的がアカウント悪用対策だったとしても、ユーザーに開示されない検出・送信の仕組みが後から見つかったことは、開発ツールを業務に組み込む企業のリスク評価に影響します。実際、Alibabaの社内通知は「セキュリティ脆弱性のある高リスクソフトウェア」という分類を理由にしています³。

2つ目は、AIツールへのアクセス自体が競争と地政学の影響を受けるという点です。Anthropicが競合他社のツールへのアクセスを制限した事例としては、2025年6月にOpenAIによる買収交渉中のWindsurfへのClaude APIアクセスを遮断した件があります。今回はそれが企業間の競争にとどまらず、米中対立という国家間の文脈で、利用規約による排除・技術的な検出・社内禁止という形で現れました。特定のAIツールへの依存度が高い組織ほど、供給側の方針変更や規制の影響を受けやすくなることを示す事例です。

一連の経緯の詳細は、SCMPの初報とTechCrunchの記事、技術的な分析はThe Decoderの記事で確認できます。