El codi de Claude va enviar els correus electrònics dels usuaris a llocs web com a adreça de contacte

Què cobreix aquest vídeo

• Lydia Hallie d'Anthropic va dir que el correu electrònic del compte es va afegir al context del model per als usuaris amb sessió iniciada perquè Claude inventava noms per a coses com les etiquetes @author sense ell.
• Llocs com Wikimedia demanen scripts per a un User-Agent informatiu amb informació de contacte; la política accepta un correu electrònic, un lloc web o un usuari de wiki. El model de vegades utilitzava el correu electrònic del compte que tenia en context.
• La versió 2.1.317 va afegir una comprovació. El seu arxiu readme publicat descriu un rebuig sense indicació per a les trucades de Bash, PowerShell i Monitor que contenen l'adreça i nomenen un User-Agent, i diu que WebFetch, WebSearch, scripts i valors de temps d'execució no es comproven. El registre de canvis i el personal descriuen la mateixa protecció com a sol·licitud o bloqueig.
• Dos usuaris van informar que la protecció carregada no va rebutjar ordres de prova inofensives; Anthropic no havia confirmat aquests informes. El canal estable encara estava a la 2.1.311, que no té la comprovació, i la darrera entrada del registre de canvis en el moment de la gravació era la 2.1.318.
• Els problemes de GitHub que descriuen la mateixa filtració de User-Agent daten del 18 de setembre, amb un informe de juliol sobre el bloc de context injectat. El veredicte va ser REVERT: una adreça que el model pot veure és una adreça que pot enviar.

Transcripció traduïda

Traduït de la narració original en anglès. L'àudio i els subtítols disponibles estan controlats per YouTube.

Com va arribar un correu electrònic d'inici de sessió a la Viquipèdia i la SEC?

0:00 El teu correu electrònic d'inici de sessió és per iniciar sessió. Per a alguns usuaris de Claude Code amb sessió iniciada, també va anar a la capçalera User-Agent de les sol·licituds a llocs com la Viquipèdia i la SEC. En aquest vídeo: com va arribar-hi? I la solució ho tanca? Anthropic diu que hauria d'haver detectat això abans. El seu propi rastrejador d'errors té una data de quan abans, i ho llegiré abans del veredicte. És divendres, sis de novembre, i això és The Daily Diff.

0:24 Claude Code és l'agent de codificació d'Anthropic. Llegeix el teu projecte i executa ordres per a tu, incloses les trucades curl al web. Un User-Agent és la línia de cada sol·licitud web que anomena el programa que la crida.

Per què el model coneixia el teu correu electrònic?

0:35 L'adreça va arribar-hi a propòsit. Lydia Hallie, que treballa a Claude Code, va explicar a Hacker News que Claude seguia inventant noms per a coses com les etiquetes d'autor al codi, perquè no sabia qui eres. Així que Anthropic va afegir el correu electrònic del compte al context del model per als usuaris amb sessió iniciada. Va esclatar dijous amb un problema de GitHub titulat "violació de privadesa a la capçalera User-Agent". L'informant el culpa de dotzenes de correus electrònics d'estafa al dia, i res públic demostra aquest enllaç.

1:02 El fil de Hacker News va superar els mil dos-cents punts. Un informe de juliol ja citava el text injectat. Sota un títol anomenat "correu electrònic d'usuari", diu que l'adreça de correu electrònic de l'usuari és, aleshores la teva adreça. Aquell informant també va sorprendre a Claude escrivint l'adreça en commits de git, i la protecció de push de GitHub va bloquejar el push.

Per què els llocs web demanen un correu electrònic als scripts?

1:20 Alguns llocs demanen als scripts que s'identifiquin. La política de Wikimedia diu que els scripts haurien d'utilitzar un User-Agent informatiu amb informació de contacte, o podrien ser bloquejats sense previ avís. Un lloc web també funciona com a contacte. La pàgina Edgar de la SEC mostra una capçalera de mostra amb un nom d'empresa i un correu electrònic d'administrador. Quan Claude Code escriu la seva pròpia ordre curl per a la Viquipèdia, el lloc vol un contacte, i l'única adreça en el seu context és el teu correu electrònic d'inici de sessió. Un desenvolupador de Claude Code ho va expressar així a Hacker News.

1:48 Claude aparentment tendeix a decidir que aquesta política val la pena seguir-la. Segons els usuaris que el citen, el mateix bloc de context va dir al model que mai

Res no li va dir que no ho fes?

1:56 enviés aquesta adreça a un servei no relacionat, en una capçalera, una URL o una càrrega útil. En un informe d'octubre, Claude va resumir el que va passar després. El vaig enviar igualment. I un User-Agent no desapareix després de la sol·licitud. El format de registre combinat estàndard d'Apache el grava al registre d'accés, al costat de la IP del visitant i l'hora. La primera resposta d'Anthropic va ser enviada a la versió 3.17.

Què bloqueja realment el mod de privadesa?

2:19 El registre de canvis l'anomena una comprovació que pregunta abans que una trucada d'eina web o de shell enviï el teu correu electrònic del compte a la xarxa. Està activat per defecte. Però el canal estable encara està a la 3.11, que no el té. La seva font es va fer pública menys de dues hores després del problema. Enganxa les eines de shell, és a dir, Bash, PowerShell i Monitor. Si una ordre conté la teva adreça i anomena un User-Agent, el readme diu que es rebutja, sense cap indicació.

2:44 El registre de canvis diu que pregunta, un comentari del personal diu que bloqueja, i el readme diu que es rebutja sense preguntar. Tot el rebotador són dues coincidències de paraules, sense analitzador sintàctic, a propòsit. Aleshores els usuaris el van provar.

La protecció va detectar la prova?

2:56 Un en un Mac i un en Windows van executar ordres inofensives, un eco enlloc i un curl a un domini invàlid que mai es resol. Tots dos diuen que el mod es va mostrar carregat, i cap ordre va ser rebutjada. Aquests són informes d'usuaris; Anthropic no els ha confirmat. El readme també enumera el que passa. Les eines web, WebFetch i WebSearch, no es comproven, la qual cosa és una combinació estranya amb un registre de canvis que menciona trucades web. Tampoc un script que conté la vostra adreça, o un valor calculat en temps d'execució.

3:25 El readme anomena tot plegat una cortesia que cobreix una forma. Hallie diu que la propera versió elimina el correu electrònic del compte del que Claude Code

Quan es llança la solució real i què fas ara?

3:32 dona al model, i hauria d'arribar a principis de la setmana que ve. Un filtre a la sortida ha de reconèixer cada ruta. Si l'adreça mai entra, no hi ha res a filtrar. Mentre gravo això, la darrera entrada del registre de canvis encara és la 3.18. Si estàs en la versió estable, actualitza a la 3.17 o posterior. Si escrius ganxos, el pedaç de l'examinador de Windows també comprova les edicions de fitxers, de manera que una adreça codificada es detecta abans que s'escrigui l'script. I cerca en les teves transcripcions de sessió el teu propi correu electrònic al costat d'un User-Agent.

Amb quina antelació es va informar?

4:00 Ara aquesta data. Hauríem d'haver detectat aquest comportament abans, va escriure Hallie. L'informe de juliol ja advertia que qualsevol cosa en context podria filtrar-se a les trucades d'eines de sortida. I el divuit de setembre, un usuari va presentar un error titulat: correu electrònic d'usuari de metadades del compte enviat inadvertidament a un servei extern en la capçalera User-Agent. Això és set setmanes abans del fil de dijous, i un bot el va etiquetar com a "àrea de seguretat" en aproximadament un minut.

4:24 A finals d'octubre, almenys quatre problemes més descrivien la mateixa filtració, a la Viquipèdia, la SEC i una wiki de jocs. A partir d'avui, tots cinc estan oberts. Anthropic diu que ho va notar quan va començar a aparèixer a Reddit. La disculpa en si va ser ràpida i senzilla, els ho concediré. Si prefereixes llegir això que sentir-ho, el "diff" arriba a la teva safata d'entrada cada matí, gratuït a the daily diff dot dev, enllaç a continuació. Així doncs, el veredicte d'avui: REVERT.

El correu electrònic hauria de romandre en el context?

4:48 Tornaria a posar el correu electrònic del compte en el context del model, perquè una adreça que el model pot veure és una adreça que pot enviar, i el readme de la pròpia protecció diu que cobreix una forma. Subscriu-te, prem la campana i digues-me als comentaris si l'hauries votat diferent. I això és el "diff" per avui. Sóc en Niko d'Axrisi. Fusiona amb responsabilitat.

Fonts

1. Bug report: privacy violation in User-Agent headerGitHub · anthropics/claude-code #107757
2. Claude Code staff explanation and planned removal of the account email from the model contextHacker News
3. Claude Code staff comment on site User-Agent policiesHacker News
4. Privacy mod readme and sourceGitHub · anthropics/claude-code
5. Changelog entry for 2.1.317GitHub · anthropics/claude-code
6. July report on the account email injected into the model contextGitHub · anthropics/claude-code #81138
7. September 18 report of the email sent in a User-Agent headerGitHub · anthropics/claude-code #95258
8. User-Agent PolicyWikimedia Foundation
9. Accessing EDGAR dataU.S. Securities and Exchange Commission
10. Log files: combined log formatApache HTTP Server documentation
11. Dario Amodei at TechCrunch Disrupt 2023 portrait, CC BY 2.0, identification onlyTechCrunch via Wikimedia Commons
12. Original Dario Amodei portrait at TechCrunch Disrupt 2023 — TechCrunch; CC BY 2.0; background removed, cropped and resized; identifies Anthropic only, no endorsement, quote or reactionTechCrunch on Flickr
13. Portrait license: Creative Commons Attribution 2.0Creative Commons; TechCrunch portrait credit above
14. UNO Draw 25 Cards template — brief transformed narrator commentary, no actual reaction by anyone shown or blanket reuse licenceImgflip
15. The Office (Michael Scott) GIF, official @theoffice upload, Peacock — brief transformed narrator commentary, no actual reaction by anyone shown or blanket reuse licence; public hosting does not certify legal clearanceThe Office on GIPHY