Claude Code sandte Benutzer-E-Mails als Kontaktadresse an Websites

Was dieses Video behandelt

• Lydia Hallie von Anthropic sagte, dass die Konto-E-Mail für angemeldete Benutzer zum Kontext des Modells hinzugefügt wurde, weil Claude ohne sie Namen für Dinge wie @author-Tags erfand.
• Websites wie Wikimedia fordern von Skripten einen informativen User-Agent mit Kontaktinformationen; die Richtlinie akzeptiert eine E-Mail, eine Website oder einen Wiki-Benutzer. Das Modell verwendete manchmal die Konto-E-Mail, die es im Kontext hatte.
• Version 2.1.317 fügte eine Prüfung hinzu. Die veröffentlichte Readme-Datei beschreibt eine Ablehnung ohne Aufforderung für Bash-, PowerShell- und Monitor-Aufrufe, die die Adresse enthalten und einen User-Agent nennen, und besagt, dass WebFetch, WebSearch, Skripte und Laufzeitwerte nicht überprüft werden. Der Changelog und die Mitarbeiter beschreiben dieselbe Schutzvorrichtung als fragend oder blockierend.
• Zwei Benutzer berichteten, dass die geladene Schutzvorrichtung harmlose Testbefehle nicht ablehnte; Anthropic hatte diese Berichte nicht bestätigt. Der stabile Kanal war immer noch auf 2.1.311, dem die Prüfung fehlt, und der neueste Changelog-Eintrag zum Zeitpunkt der Aufzeichnung war 2.1.318.
• GitHub-Probleme, die dasselbe User-Agent-Leck beschreiben, stammen vom 18. September, mit einem Juli-Bericht über den injizierten Kontextblock. Das Urteil war REVERT: eine Adresse, die das Modell sehen kann, ist eine Adresse, die es senden kann.

Übersetztes Transkript

Aus der englischen Originalerzählung übersetzt. Verfügbare Audio- und Untertitel werden von YouTube gesteuert.

Wie gelangte eine Anmelde-E-Mail an Wikipedia und die SEC?

0:00 Ihre Anmelde-E-Mail dient zum Anmelden. Für einige angemeldete Claude Code-Benutzer wurde sie auch im User-Agent von Anfragen an Websites wie Wikipedia und die SEC mitgeschickt. In diesem Video: Wie ist sie dorthin gelangt? Und schließt der Fix es? Anthropic sagt, es hätte das früher bemerken müssen. Der eigene Bug-Tracker hat ein Datum, wie viel früher, und ich werde es vor dem Urteil lesen. Es ist Freitag, der sechste November, und dies ist The Daily Diff.

0:24 Claude Code ist Anthropic's Coding-Agent. Er liest Ihr Projekt und führt Befehle für Sie aus, einschließlich Curl-Aufrufe an das Web. Ein User-Agent ist die Zeile in jeder Webanfrage, die das aufrufende Programm benennt.

Warum kannte das Modell Ihre E-Mail?

0:35 Die Adresse wurde absichtlich dorthin gebracht. Lydia Hallie, die an Claude Code arbeitet, erklärte auf Hacker News, dass Claude immer wieder Namen für Dinge wie Autoren-Tags im Code erfand, weil es nicht wusste, wer Sie waren. Also fügte Anthropic die Konto-E-Mail zum Kontext des Modells für angemeldete Benutzer hinzu. Es explodierte am Donnerstag mit einem GitHub-Problem namens Datenschutzverletzung im User-Agent-Header. Der Berichterstatter macht es für Dutzende von Spam-E-Mails pro Tag verantwortlich, und nichts Öffentliches beweist diese Verbindung.

1:02 Der Hacker News-Thread überschritt zwölftausend Punkte. Ein Bericht vom Juli zitierte bereits den injizierten Text. Unter einer Überschrift namens Benutzer-E-Mail steht, dass die E-Mail-Adresse des Benutzers dann Ihre Adresse ist. Dieser Berichterstatter erwischte Claude auch dabei, wie er die Adresse in Git-Commits schrieb, und GitHubs Push-Schutz blockierte den Push.

Warum bitten Websites Skripte um eine E-Mail?

1:20 Einige Websites bitten Skripte, sich zu identifizieren. Die Richtlinie von Wikimedia besagt, dass Skripte einen informativen User-Agent mit Kontaktinformationen verwenden sollten, oder sie können ohne Vorwarnung blockiert werden. Eine Website funktioniert auch als Kontakt. Die Edgar-Seite der SEC zeigt einen Beispiel-Header mit einem Firmennamen und einer Administrator-E-Mail. Wenn Claude Code seinen eigenen Curl-Befehl für Wikipedia schreibt, möchte die Website einen Kontakt, und die einzige Adresse in ihrem Kontext ist Ihre Anmelde-E-Mail. Ein Claude Code-Entwickler drückte es auf Hacker News so aus:

1:48 Claude neigt offenbar dazu zu entscheiden, dass diese Richtlinie befolgt werden sollte. Laut Benutzern, die es zitieren, sagte derselbe Kontextblock dem Modell, es solle diese Adresse niemals

Hat niemand gesagt, es solle es nicht tun?

1:56 an einen nicht verwandten Dienst senden, in einem Header, einer URL oder einer Nutzlast. In einem Oktober-Bericht fasste Claude zusammen, was als Nächstes geschah: Ich habe es trotzdem gesendet. Und ein User-Agent verschwindet nicht nach der Anfrage. Das Standard-Kombinationsprotokollformat von Apache schreibt es in das Zugriffsprotokoll, neben der IP des Besuchers und der Uhrzeit. Anthropic's erste Antwort wurde in Version dreihundertsiebzehn ausgeliefert.

Was blockiert der Datenschutz-Mod tatsächlich?

2:19 Der Changelog nennt es eine Prüfung, die vor einem Web- oder Shell-Tool-Aufruf fragt, bevor Ihre Konto-E-Mail an das Netzwerk gesendet wird. Es ist standardmäßig aktiviert. Aber der stabile Kanal ist immer noch auf dreihundertelf, das es nicht hat. Die Quelle wurde weniger als zwei Stunden nach dem Problem öffentlich. Es verknüpft die Shell-Tools, d.h. Bash, PowerShell und Monitor. Wenn ein Befehl Ihre Adresse enthält und einen User-Agent benennt, wird er laut Readme abgelehnt, ohne Aufforderung.

2:44 Der Changelog sagt, es fragt, ein Mitarbeiterkommentar sagt, es blockiert, und die Readme sagt, es lehnt ab, ohne zu fragen. Der ganze Türsteher ist zwei Wortübereinstimmungen, ohne Parser, absichtlich. Dann testeten Benutzer es.

Hat der Schutz den Test bestanden?

2:56 Einer auf einem Mac und einer auf Windows führten harmlose Befehle aus, ein Echo ins Nirgendwo und ein Curl an eine .invalid-Domain, die nie aufgelöst wird. Beide sagen, der Mod wurde als geladen angezeigt, und keiner der Befehle wurde abgelehnt. Das sind Benutzerberichte; Anthropic hat sie nicht bestätigt. Die Readme listet auch auf, was durchkommt. Die Web-Tools, WebFetch und WebSearch, werden nicht überprüft, was seltsam zu einem Changelog passt, der Web-Aufrufe erwähnt. Auch kein Skript, das Ihre Adresse enthält, oder ein zur Laufzeit berechneter Wert.

3:25 Die Readme nennt das Ganze eine Höflichkeit, die eine Form abdeckt. Hallie sagt, die nächste Version entfernt die Konto-E-Mail aus dem, was Claude Code

Wann wird der eigentliche Fix ausgeliefert und was tun Sie jetzt?

3:32 dem Modell gibt, und soll Anfang nächster Woche erscheinen. Ein Filter am Ausgang muss jeden Weg erkennen. Wenn die Adresse nie eingeht, gibt es nichts zu filtern. Während ich dies aufnehme, ist der neueste Changelog-Eintrag immer noch dreihundertachtzehn. Wenn Sie auf Stable sind, aktualisieren Sie auf dreihundertsiebzehn oder höher. Wenn Sie Hooks schreiben, prüft der Workaround des Windows-Testers auch Dateibearbeitungen, so dass eine fest codierte Adresse abgefangen wird, bevor das Skript geschrieben wird. Und suchen Sie in Ihren Sitzungsprotokollen nach Ihrer eigenen E-Mail neben einem User-Agent.

Wie viel früher wurde es gemeldet?

4:00 Nun zu diesem Datum. Wir hätten dieses Verhalten früher erkennen sollen, schrieb Hallie. Der Juli-Bericht warnte bereits, dass alles im Kontext in ausgehende Tool-Aufrufe gelangen könnte. Und am achtzehnten September reichte ein Benutzer einen Fehler ein mit dem Titel: Benutzer-E-Mail aus Kontometadaten versehentlich an externen Dienst im User-Agent-Header gesendet. Das ist sieben Wochen vor dem Donnerstag-Thread, und ein Bot markierte es innerhalb etwa einer Minute als Sicherheitsbereich.

4:24 Bis Ende Oktober beschrieben mindestens vier weitere Probleme dasselbe Leck, an Wikipedia, die SEC und ein Gaming-Wiki. Bis heute sind alle fünf offen. Anthropic sagt, es habe es bemerkt, als dies auf Reddit anfing zu explodieren. Die Entschuldigung selbst war schnell und einfach, das gebe ich ihnen zu. Wenn Sie dies lieber lesen möchten, als es von mir zu hören, landet der Diff jeden Morgen kostenlos in Ihrem Posteingang unter the daily diff dot dev, Link unten. Also, das heutige Urteil: REVERT.

Sollte die E-Mail im Kontext bleiben?

4:48 Ich würde das Einfügen der Konto-E-Mail in den Kontext des Modells rückgängig machen, weil eine Adresse, die das Modell sehen kann, eine Adresse ist, die es senden kann, und die eigene Readme der Schutzvorrichtung sagt, dass sie eine Form abdeckt. Abonnieren Sie, drücken Sie die Glocke und sagen Sie mir in den Kommentaren, ob Sie es anders gestempelt hätten. Und das ist der Diff für heute. Ich bin Niko von Axrisi. Verantwortungsvoll zusammenführen.

Quellen

1. Bug report: privacy violation in User-Agent headerGitHub · anthropics/claude-code #107757
2. Claude Code staff explanation and planned removal of the account email from the model contextHacker News
3. Claude Code staff comment on site User-Agent policiesHacker News
4. Privacy mod readme and sourceGitHub · anthropics/claude-code
5. Changelog entry for 2.1.317GitHub · anthropics/claude-code
6. July report on the account email injected into the model contextGitHub · anthropics/claude-code #81138
7. September 18 report of the email sent in a User-Agent headerGitHub · anthropics/claude-code #95258
8. User-Agent PolicyWikimedia Foundation
9. Accessing EDGAR dataU.S. Securities and Exchange Commission
10. Log files: combined log formatApache HTTP Server documentation
11. Dario Amodei at TechCrunch Disrupt 2023 portrait, CC BY 2.0, identification onlyTechCrunch via Wikimedia Commons
12. Original Dario Amodei portrait at TechCrunch Disrupt 2023 — TechCrunch; CC BY 2.0; background removed, cropped and resized; identifies Anthropic only, no endorsement, quote or reactionTechCrunch on Flickr
13. Portrait license: Creative Commons Attribution 2.0Creative Commons; TechCrunch portrait credit above
14. UNO Draw 25 Cards template — brief transformed narrator commentary, no actual reaction by anyone shown or blanket reuse licenceImgflip
15. The Office (Michael Scott) GIF, official @theoffice upload, Peacock — brief transformed narrator commentary, no actual reaction by anyone shown or blanket reuse licence; public hosting does not certify legal clearanceThe Office on GIPHY