# كود كلود أرسل رسائل بريد إلكتروني للمستخدمين إلى مواقع الويب كعنوان اتصال

Published: 2026-11-06

أضاف كود كلود عنوان البريد الإلكتروني للحساب المسجل إلى سياق النموذج، وأحيانًا وضع الوكيل هذا العنوان في رأس User-Agent لطلبات curl التي كتبها للمواقع التي تطلب من البرامج النصية الحصول على جهة اتصال، مثل ويكيبيديا وهيئة الأوراق المالية والبورصات الأمريكية (SEC). قامت Anthropic بشحن فحص لأوامر Shell في الإصدار 2.1.317 وتقول إن الإصدار التالي يزيل البريد الإلكتروني من السياق. تعود تقارير المستخدمين عن نفس التسريب إلى 18 سبتمبر.

Canonical: https://thedailydiff.dev/ar/video/2026-11-06-claude-code-email/

## ما يغطيه هذا الفيديو

- قالت ليديا هاللي من Anthropic إن البريد الإلكتروني للحساب تمت إضافته إلى سياق النموذج للمستخدمين المسجلين لأن كلود كان يختلق أسماء لأشياء مثل علامات @author بدونه.
- تطلب مواقع مثل ويكيميديا من البرامج النصية User-Agent إعلامي يحتوي على معلومات الاتصال؛ وتقبل السياسة بريدًا إلكترونيًا أو موقعًا إلكترونيًا أو مستخدم ويكي. أحيانًا استخدم النموذج البريد الإلكتروني للحساب الذي كان لديه في السياق.
- أضاف الإصدار 2.1.317 فحصًا. يصف ملف readme المنشور رفضًا بدون مطالبة لمكالمات Bash و PowerShell و Monitor التي تحتوي على العنوان وتسمية User-Agent، ويقول إن WebFetch و WebSearch والبرامج النصية وقيم وقت التشغيل لا يتم فحصها. تصف سجل التغييرات والموظفين نفس الحماية بأنها تطلب أو تمنع.
- أبلغ مستخدمان أن الحماية المحملة لم ترفض أوامر اختبار غير ضارة؛ لم تؤكد Anthropic تلك التقارير. كانت القناة الثابتة لا تزال على الإصدار 2.1.311، الذي يفتقر إلى الفحص، وكان أحدث إدخال في سجل التغييرات وقت التسجيل هو 2.1.318.
- تعود مشكلات GitHub التي تصف نفس تسريب User-Agent إلى 18 سبتمبر، مع تقرير يوليو حول كتلة السياق المحقونة. كان الحكم هو REVERT: العنوان الذي يمكن للنموذج رؤيته هو عنوان يمكنه إرساله.

## أسئلة وأجوبة

### لماذا وضع كود كلود عنوان بريد إلكتروني للمستخدم في رأس User-Agent؟

وفقًا لـ Lydia Hallie من فريق كود كلود، أضافت Anthropic البريد الإلكتروني للحساب إلى سياق النموذج للمستخدمين المسجلين حتى يتوقف كلود عن اختلاق أسماء لأشياء مثل علامات المؤلف. عندما كتب كلود أوامر curl الخاصة به، استخدم أحيانًا هذا العنوان كجهة اتصال في User-Agent، لأن بعض المواقع تطلب من البرامج النصية جهة اتصال.

### لماذا تطلب ويكيبيديا وهيئة الأوراق المالية والبورصات الأمريكية (SEC) من البرامج النصية تعريف نفسها؟

تقول سياسة User-Agent الخاصة بويكيميديا أن البرامج النصية يجب أن تستخدم سلسلة User-Agent إعلامية تحتوي على معلومات الاتصال، وإلا فقد يتم حظرها بدون إشعار، وتقبل عنوان بريد إلكتروني أو موقعًا إلكترونيًا أو مستخدم ويكي. تطلب صفحة EDGAR الخاصة بهيئة الأوراق المالية والبورصات الأمريكية (SEC) من العملاء الآليين الإعلان عن وكيل مستخدم وتعرض رأسًا نموذجيًا باسم شركة وبريد إلكتروني للمسؤول.

### ماذا يفحص تعديل خصوصية كود كلود، وماذا يفوته؟

يقول ملف readme المنشور الخاص بالتعديل إنه يرفض، بدون مطالبة، مكالمة Bash أو PowerShell أو Monitor التي يحتوي إدخالها على عنوان الحساب ويسمي User-Agent، باستخدام مطابقتين للكلمات وبدون محلل لغوي. يقول ملف readme أن WebFetch و WebSearch وأدوات MCP والبرامج النصية التي تحتوي على العنوان والقيم المحسوبة في وقت التشغيل لا يتم فحصها، ويصف التعديل بأنه مجاملة تغطي شكلًا واحدًا.

### هل إزالة البيانات من سياق الوكيل تختلف عن تصفية أوامره؟

نعم. يجب أن يتعرف الفلتر على الأوامر الصادرة على كل مسار يمكن للبيانات أن تسلكه، ويسرد ملف readme الخاص بكود كلود عدة مسارات لا يغطيها الفلتر. إزالة العنوان من السياق يعني أن النموذج لا يملك شيئًا لإرساله. قالت Lydia Hallie إن الإصدار التالي سيزيل البريد الإلكتروني للحساب من السياق، والمتوقع في أوائل الأسبوع المقبل؛ في وقت التسجيل كان أحدث إدخال في سجل التغييرات هو 2.1.318.

### ما هو حكم The Daily Diff على تغيير البريد الإلكتروني في كود كلود؟

كان حكم The Daily Diff هو REVERT، بهدف إعادة وضع البريد الإلكتروني للحساب في سياق النموذج، لأن العنوان الذي يمكن للنموذج رؤيته هو عنوان يمكنه إرساله. تشير الحلقة إلى أن ملف readme الخاص بالحارس يقول إنه يغطي شكلًا واحدًا، وأنه تم تقديم مشكلة على GitHub تصف نفس تسريب User-Agent في 18 سبتمبر، قبل سبعة أسابيع من الموضوع الفيروسي.

## الفصول

- 0:00 كيف وصل بريد إلكتروني لتسجيل الدخول إلى ويكيبيديا وهيئة الأوراق المالية والبورصات الأمريكية (SEC)؟
- 0:35 لماذا عرف النموذج بريدك الإلكتروني؟
- 1:20 لماذا تطلب مواقع الويب من البرامج النصية الحصول على بريد إلكتروني؟
- 1:53 ألم يقل أي شيء ألا يفعل ذلك؟
- 2:17 ماذا يحجب تعديل الخصوصية بالفعل؟
- 2:55 هل التقط الحارس الاختبار؟
- 3:29 متى سيتم شحن الإصلاح الحقيقي، وماذا تفعل الآن؟
- 4:00 كم كانت التقارير أقدم؟
- 4:47 هل يجب أن يبقى البريد الإلكتروني في السياق؟

## النص المترجم

مترجم من السرد الإنجليزي الأصلي. يتم التحكم في الصوت والتعليقات التوضيحية المتاحة بواسطة YouTube.

### كيف وصل بريد إلكتروني لتسجيل الدخول إلى ويكيبيديا وهيئة الأوراق المالية والبورصات الأمريكية (SEC)؟

0:00 بريدك الإلكتروني لتسجيل الدخول هو لتسجيل الدخول. بالنسبة لبعض مستخدمي كود كلود المسجلين، فقد أرسله أيضًا في User-Agent لـ طلبات إلى مواقع مثل ويكيبيديا وهيئة الأوراق المالية والبورصات الأمريكية (SEC). في هذا الفيديو: كيف وصل إلى هناك؟ وهل يغلق الإصلاح ذلك؟ تقول Anthropic إنه كان يجب أن تكتشف هذا مبكرًا. يحتوي متتبع الأخطاء الخاص بها على تاريخ لمدى مبكرًا، وسأقرأه قبل الحكم. إنه يوم الجمعة، السادس من نوفمبر، وهذا هو The Daily Diff.

0:24 كود كلود هو وكيل البرمجة الخاص بـ Anthropic. يقرأ مشروعك ويشغل الأوامر نيابة عنك، بما في ذلك مكالمات curl إلى الويب. User-Agent هو السطر في كل طلب ويب يسمي البرنامج الذي يستدعي.

### لماذا عرف النموذج بريدك الإلكتروني؟

0:35 وصل العنوان إلى هناك عن قصد. أوضحت ليديا هاللي، التي تعمل على كود كلود، في Hacker News أن كلود استمر في اختلاق أسماء لأشياء مثل علامات المؤلف في الكود، لأنه لم يكن يعرف من أنت. لذا أضافت Anthropic البريد الإلكتروني للحساب إلى سياق النموذج للمستخدمين المسجلين. لقد انتشرت يوم الخميس بمشكلة على GitHub بعنوان انتهاك الخصوصية في رأس User-Agent. يلوم المبلغ عن عشرات رسائل البريد الإلكتروني الاحتيالية يوميًا، ولا يوجد دليل علني يثبت هذا الارتباط.

1:02 تجاوز موضوع Hacker News ألف ومائتي نقطة. تقرير من يوليو كان قد اقتبس النص المحقون بالفعل. تحت عنوان يسمى بريد المستخدم الإلكتروني، يقول إن عنوان البريد الإلكتروني للمستخدم هو، ثم عنوانك. التقط هذا المراسل أيضًا كلود وهو يكتب العنوان في التزامات git، وحماية الدفع في GitHub منعت الدفع.

### لماذا تطلب مواقع الويب من البرامج النصية الحصول على بريد إلكتروني؟

1:20 تطلب بعض المواقع من البرامج النصية تعريف نفسها. تقول سياسة ويكيميديا أن البرامج النصية يجب أن تستخدم User-Agent إعلاميًا مع معلومات الاتصال، وإلا فقد يتم حظرها بدون إشعار. يعمل موقع الويب كجهة اتصال أيضًا. تعرض صفحة Edgar الخاصة بهيئة الأوراق المالية والبورصات الأمريكية (SEC) رأسًا نموذجيًا باسم شركة وبريد إلكتروني للمسؤول عندما يكتب كود كلود أمر curl الخاص به لويكيبيديا، يريد الموقع جهة اتصال، والبريد الإلكتروني الوحيد في سياقه هو بريد تسجيل الدخول الخاص بك. قال مطور كود كلود هذا على Hacker News.

1:48 يبدو أن كلود يميل إلى اتخاذ قرار بأن هذه السياسة تستحق المتابعة. وفقًا للمستخدمين الذين يقتبسونه، أخبر نفس كتلة السياق النموذج ألا

### ألم يقل أي شيء ألا يفعل ذلك؟

1:56 يرسل هذا العنوان إلى خدمة غير ذات صلة، في رأس، عنوان URL أو حمولة. في تقرير أكتوبر، لخص كلود ما حدث بعد ذلك. لقد أرسلته على أي حال. ولا يختفي User-Agent بعد الطلب. تكتب صيغة سجل Apache المدمجة القياسية ذلك في سجل الوصول، بجانب عنوان IP للزائر والوقت. وصلت أول استجابة من Anthropic في الإصدار ثلاثة مائة وسبعة عشر.

### ماذا يحجب تعديل الخصوصية بالفعل؟

2:19 يصف سجل التغييرات ذلك بأنه فحص يطلب قبل أن يرسل مكالمة أداة الويب أو Shell بريدك الإلكتروني للحساب إلى الشبكة. يتم تشغيله افتراضيًا. لكن القناة الثابتة لا تزال على ثلاثة مائة وأحد عشر، والتي لا تحتوي عليه. أصبح مصدرها عامًا بعد أقل من ساعتين من المشكلة. يربط أدوات shell، مما يعني Bash و PowerShell و Monitor. إذا كان الأمر يحتوي على عنوانك ويسمي User-Agent، يقول ملف readme إنه مرفوض، بدون مطالبة.

2:44 يقول سجل التغييرات إنه يطلب، وتعليق من الموظفين يقول إنه يمنع، ويقول ملف readme إنه يرفض دون أن يسأل. المرتد بأكمله هو كلمتان متطابقتان، بدون محلل لغوي، عن قصد. ثم اختبره المستخدمون.

### هل التقط الحارس الاختبار؟

2:56 أحدهم على نظام Mac وآخر على نظام Windows قاموا بتشغيل أوامر غير ضارة، أمر echo إلى العدم وأمر curl إلى نطاق غير صالح لا يتم حله أبدًا. كلاهما يقول إن التعديل ظهر على أنه محمل، ولم يتم رفض أي من الأمرين. هذه تقارير مستخدمين؛ لم تؤكد Anthropic ذلك. يسرد ملف readme أيضًا ما يمر. أدوات الويب، WebFetch و WebSearch، لا يتم فحصها، وهو أمر غريب يتناسب مع سجل التغييرات الذي يذكر مكالمات الويب. لا يتم فحص أي برنامج نصي يحتوي على عنوانك، أو قيمة محسوبة في وقت التشغيل.

3:25 يسمي ملف readme الأمر كله مجاملة تغطي شكلًا واحدًا. تقول هاللي إن الإصدار التالي يزيل البريد الإلكتروني للحساب مما يعطيه كود كلود

### متى سيتم شحن الإصلاح الحقيقي، وماذا تفعل الآن؟

3:32 للنموذج، ومن المفترض أن يصل في أوائل الأسبوع المقبل. يجب أن يتعرف الفلتر على الطريق الخارج على كل مسار. إذا لم يدخل العنوان أبدًا، فلا يوجد شيء لفلترته. بينما أسجل هذا، لا يزال أحدث إدخال في سجل التغييرات هو ثلاثة مائة وثمانية عشر. إذا كنت على إصدار ثابت، فقم بالتحديث إلى ثلاثة مائة وسبعة عشر أو أحدث. إذا كتبت هوكس، فإن الحل المؤقت لمختبر Windows يتحقق أيضًا من تعديلات الملفات، لذلك يتم اكتشاف العنوان المبرمج قبل كتابة البرنامج النصي. وابحث في سجلات جلستك عن بريدك الإلكتروني بجانب User-Agent.

### كم كانت التقارير أقدم؟

4:00 الآن ذلك التاريخ. كان يجب أن نكتشف هذا السلوك مبكرًا، كتبت هاللي. كان تقرير يوليو قد حذر بالفعل من أن أي شيء في السياق يمكن أن يتسرب إلى مكالمات الأداة الخارجية. وفي الثامن عشر من سبتمبر، قدم مستخدم خطأ بعنوان، بريد المستخدم الإلكتروني من بيانات تعريف الحساب تم إرساله عن غير قصد إلى خدمة خارجية في رأس User-Agent. هذا قبل سبعة أسابيع من موضوع يوم الخميس، وقام بوت بتصنيفه كمنطقة أمان في حوالي دقيقة واحدة.

4:24 بحلول أواخر أكتوبر، وصفت أربع مشكلات أخرى على الأقل نفس التسريب، إلى ويكيبيديا، وهيئة الأوراق المالية والبورصات الأمريكية (SEC)، وويكي ألعاب. حتى اليوم، جميع الخمسة مفتوحة. تقول Anthropic إنها لاحظت متى بدأ هذا الانتشار على Reddit. كان الاعتذار نفسه سريعًا وواضحًا، سأعترف بذلك لهم. إذا كنت تفضل قراءة هذا بدلًا من سماعي أقوله، فإن الفرق يصل إلى بريدك الوارد كل صباح، مجانًا على the daily diff dot dev، الرابط أدناه. إذن، حكم اليوم: REVERT.

### هل يجب أن يبقى البريد الإلكتروني في السياق؟

4:48 سأعود عن وضع البريد الإلكتروني للحساب في سياق النموذج، لأن العنوان الذي يمكن للنموذج رؤيته هو عنوان يمكنه إرساله، ويقول ملف readme الخاص بالحارس إنه يغطي شكلًا واحدًا. اشترك، اضغط على الجرس، وأخبرني في التعليقات إذا كنت قد ختمته بشكل مختلف. وهذا هو الفرق لهذا اليوم. أنا نيكو من Axrisi. ادمج بمسؤولية.

## المصادر

- [Bug report: privacy violation in User-Agent header](https://github.com/anthropics/claude-code/issues/107757) — GitHub · anthropics/claude-code #107757
- [Claude Code staff explanation and planned removal of the account email from the model context](https://news.ycombinator.com/item?id=50388176) — Hacker News
- [Claude Code staff comment on site User-Agent policies](https://news.ycombinator.com/item?id=50386185) — Hacker News
- [Privacy mod readme and source](https://github.com/anthropics/claude-code/tree/main/mods/privacy) — GitHub · anthropics/claude-code
- [Changelog entry for 2.1.317](https://github.com/anthropics/claude-code/blob/main/CHANGELOG.md) — GitHub · anthropics/claude-code
- [July report on the account email injected into the model context](https://github.com/anthropics/claude-code/issues/81138) — GitHub · anthropics/claude-code #81138
- [September 18 report of the email sent in a User-Agent header](https://github.com/anthropics/claude-code/issues/95258) — GitHub · anthropics/claude-code #95258
- [User-Agent Policy](https://foundation.wikimedia.org/wiki/Policy:Wikimedia_Foundation_User-Agent_Policy) — Wikimedia Foundation
- [Accessing EDGAR data](https://www.sec.gov/search-filings/edgar-search-assistance/accessing-edgar-data) — U.S. Securities and Exchange Commission
- [Log files: combined log format](https://httpd.apache.org/docs/2.4/logs.html) — Apache HTTP Server documentation
- [Dario Amodei at TechCrunch Disrupt 2023 portrait, CC BY 2.0, identification only](https://commons.wikimedia.org/wiki/File:Dario_Amodei_at_TechCrunch_Disrupt_2023_02_%28cropped%29.jpg) — TechCrunch via Wikimedia Commons
- [Original Dario Amodei portrait at TechCrunch Disrupt 2023 — TechCrunch; CC BY 2.0; background removed, cropped and resized; identifies Anthropic only, no endorsement, quote or reaction](https://www.flickr.com/photos/techcrunch/53201734641/) — TechCrunch on Flickr
- [Portrait license: Creative Commons Attribution 2.0](https://creativecommons.org/licenses/by/2.0/) — Creative Commons; TechCrunch portrait credit above
- [UNO Draw 25 Cards template — brief transformed narrator commentary, no actual reaction by anyone shown or blanket reuse licence](https://imgflip.com/memetemplate/217743513/UNO-Draw-25-Cards) — Imgflip
- [The Office (Michael Scott) GIF, official @theoffice upload, Peacock — brief transformed narrator commentary, no actual reaction by anyone shown or blanket reuse licence; public hosting does not certify legal clearance](https://giphy.com/gifs/theoffice-the-office-tv-frame-toby-vyTnNTrs3wqQ0UIvwE) — The Office on GIPHY