Claude Code envió correos electrónicos de usuarios a sitios web como dirección de contacto

Lo que cubre este video

• Lydia Hallie de Anthropic dijo que el correo electrónico de la cuenta se agregó al contexto del modelo para los usuarios con sesión iniciada porque Claude inventaba nombres para cosas como las etiquetas @author sin él.
• Sitios como Wikimedia solicitan a los scripts un User-Agent informativo con información de contacto; la política acepta un correo electrónico, un sitio web o un usuario de wiki. El modelo a veces usaba el correo electrónico de la cuenta que tenía en contexto.
• La versión 2.1.317 agregó una verificación. Su archivo léame publicado describe una negativa sin solicitud para llamadas de Bash, PowerShell y Monitor que contengan la dirección y nombren un User-Agent, y dice que WebFetch, WebSearch, scripts y valores de tiempo de ejecución no se verifican. El registro de cambios y el personal describen el mismo protector como que pregunta o bloquea.
• Dos usuarios informaron que el protector cargado no rechazó comandos de prueba inofensivos; Anthropic no había confirmado esos informes. El canal estable aún estaba en 2.1.311, que carece de la verificación, y la entrada más reciente del registro de cambios al momento de la grabación era 2.1.318.
• Los problemas de GitHub que describen la misma fuga de User-Agent datan del 18 de septiembre, con un informe de julio sobre el bloque de contexto inyectado. El veredicto fue REVERT: una dirección que el modelo puede ver es una dirección que puede enviar.

Transcripción traducida

Traducido de la narración original en inglés. El audio y los subtítulos disponibles son controlados por YouTube.

¿Cómo llegó un correo electrónico de inicio de sesión a Wikipedia y la SEC?

0:00 Tu correo electrónico de inicio de sesión es para iniciar sesión. Para algunos usuarios de Claude Code con sesión iniciada, también se incluía en el User-Agent de solicitudes a sitios como Wikipedia y la SEC. En este video: ¿cómo llegó allí? ¿Y la solución lo cierra? Anthropic dice que debería haberlo detectado antes. Su propio rastreador de errores tiene una fecha de cuánto antes, y lo leeré antes del veredicto. Es viernes, seis de noviembre, y esto es The Daily Diff.

0:24 Claude Code es el agente de codificación de Anthropic. Lee tu proyecto y ejecuta comandos por ti, incluidas las llamadas curl a la web. Un User-Agent es la línea en cada solicitud web que nombra el programa que llama.

¿Por qué el modelo conocía tu correo electrónico?

0:35 La dirección llegó allí a propósito. Lydia Hallie, que trabaja en Claude Code, explicó en Hacker News que Claude seguía inventando nombres para cosas como las etiquetas de autor en el código, porque no sabía quién eras. Así que Anthropic agregó el correo electrónico de la cuenta al contexto del modelo para los usuarios con sesión iniciada. Estalló el jueves con un problema de GitHub titulado violación de privacidad en el encabezado User-Agent. El reportero lo culpa por docenas de correos electrónicos de estafa al día, y nada público prueba ese vínculo.

1:02 El hilo de Hacker News superó los mil doscientos puntos. Un informe de julio ya citaba el texto inyectado. Bajo un encabezado llamado correo electrónico de usuario, dice que la dirección de correo electrónico del usuario es, luego tu dirección. Ese reportero también descubrió que Claude escribía la dirección en los commits de git, y la protección de push de GitHub bloqueó el push.

¿Por qué los sitios web piden un correo electrónico a los scripts?

1:20 Algunos sitios piden a los scripts que se identifiquen. La política de Wikimedia dice que los scripts deben usar un User-Agent informativo con información de contacto, o pueden ser bloqueados sin previo aviso. Un sitio web también funciona como contacto. La página Edgar de la SEC muestra un encabezado de muestra con un nombre de empresa y un correo electrónico de administrador. Cuando Claude Code escribe su propio comando curl para Wikipedia, el sitio quiere un contacto, y la única dirección en su contexto es tu correo electrónico de inicio de sesión. Un desarrollador de Claude Code lo expresó así en Hacker News.

1:48 Claude aparentemente tiende a decidir que vale la pena seguir esta política. Según los usuarios que lo citan, el mismo bloque de contexto le dijo al modelo que nunca

¿Nada le dijo que no lo hiciera?

1:56 enviara esa dirección a un servicio no relacionado, en un encabezado, una URL o una carga útil. En un informe de octubre, Claude resumió lo que sucedió después. Lo envié de todos modos. Y un User-Agent no desaparece después de la solicitud. El formato de registro combinado estándar de Apache lo escribe en el registro de acceso, junto a la IP del visitante y la hora. La primera respuesta de Anthropic se lanzó en la versión tres-diecisiete.

¿Qué bloquea realmente la modificación de privacidad?

2:19 El registro de cambios lo llama una verificación que pregunta antes de que una llamada a una herramienta web o de shell envíe tu correo electrónico de cuenta a la red. Está activado por defecto. Pero el canal estable todavía está en tres-once, que no lo tiene. Su código fuente se hizo público menos de dos horas después del problema. Engancha las herramientas de shell, es decir, Bash, PowerShell y Monitor. Si un comando contiene tu dirección y nombra un User-Agent, el léame dice que es rechazado, sin solicitud.

2:44 El registro de cambios dice que pregunta, un comentario del personal dice que bloquea, y el léame dice que se niega sin preguntar. Todo el portero es dos coincidencias de palabras, sin analizador, a propósito. Luego los usuarios lo probaron.

¿El guardia atrapó la prueba?

2:56 Uno en una Mac y otro en Windows ejecutaron comandos inofensivos, un echo a la nada y un curl a un dominio .invalid que nunca se resuelve. Ambos dicen que la modificación se mostró como cargada, y ninguno de los comandos fue rechazado. Esos son informes de usuarios; Anthropic no los ha confirmado. El léame también enumera lo que pasa. Las herramientas web, WebFetch y WebSearch, no se verifican, lo cual es un ajuste extraño con un registro de cambios que menciona llamadas web. Tampoco un script que contenga tu dirección, o un valor calculado en tiempo de ejecución.

3:25 El léame llama a todo el asunto una cortesía que cubre una forma. Hallie dice que la próxima versión elimina el correo electrónico de la cuenta de lo que Claude Code

¿Cuándo se lanza la solución real y qué haces ahora?

3:32 le da al modelo, y debería llegar a principios de la próxima semana. Un filtro de salida tiene que reconocer cada ruta. Si la dirección nunca entra, no hay nada que filtrar. Mientras grabo esto, la entrada más reciente del registro de cambios sigue siendo tres-dieciocho. Si estás en el canal estable, actualiza a tres-diecisiete o posterior. Si escribes hooks, el paliativo del probador de Windows también verifica las ediciones de archivos, así que una dirección codificada se detecta antes de que se escriba el script. Y busca en las transcripciones de tu sesión tu propio correo electrónico junto a un User-Agent.

¿Cuánto antes se informó?

4:00 Ahora esa fecha. Deberíamos haber detectado este comportamiento antes, escribió Hallie. El informe de julio ya advertía que cualquier cosa en contexto podría filtrarse en las llamadas a herramientas salientes. Y el dieciocho de septiembre, un usuario presentó un error titulado, correo electrónico de usuario de metadatos de cuenta enviado inadvertidamente a un servicio externo en el encabezado User-Agent. Eso es siete semanas antes del hilo del jueves, y un bot lo etiquetó como área de seguridad en aproximadamente un minuto.

4:24 A finales de octubre, al menos cuatro problemas más describían la misma fuga, a Wikipedia, la SEC y una wiki de juegos. A día de hoy, los cinco están abiertos. Anthropic dice que se dieron cuenta cuando esto empezó a aparecer en Reddit. La disculpa en sí fue rápida y sencilla, eso se los concedo. Si prefieres leer esto que oírme decirlo, el diff llega a tu bandeja de entrada todas las mañanas, gratis en the daily diff dot dev, enlace a continuación. Así que, el veredicto de hoy: REVERT.

¿Debería el correo electrónico permanecer en el contexto?

4:48 Revocaría poner el correo electrónico de la cuenta en el contexto del modelo, porque una dirección que el modelo puede ver es una dirección que puede enviar, y el propio léame del guardia dice que cubre una forma. Suscríbete, haz clic en la campana y dime en los comentarios si lo habrías estampado de manera diferente. Y esa es la diferencia de hoy. Soy Niko de Axrisi. Fusiona responsablemente.

Fuentes

1. Bug report: privacy violation in User-Agent headerGitHub · anthropics/claude-code #107757
2. Claude Code staff explanation and planned removal of the account email from the model contextHacker News
3. Claude Code staff comment on site User-Agent policiesHacker News
4. Privacy mod readme and sourceGitHub · anthropics/claude-code
5. Changelog entry for 2.1.317GitHub · anthropics/claude-code
6. July report on the account email injected into the model contextGitHub · anthropics/claude-code #81138
7. September 18 report of the email sent in a User-Agent headerGitHub · anthropics/claude-code #95258
8. User-Agent PolicyWikimedia Foundation
9. Accessing EDGAR dataU.S. Securities and Exchange Commission
10. Log files: combined log formatApache HTTP Server documentation
11. Dario Amodei at TechCrunch Disrupt 2023 portrait, CC BY 2.0, identification onlyTechCrunch via Wikimedia Commons
12. Original Dario Amodei portrait at TechCrunch Disrupt 2023 — TechCrunch; CC BY 2.0; background removed, cropped and resized; identifies Anthropic only, no endorsement, quote or reactionTechCrunch on Flickr
13. Portrait license: Creative Commons Attribution 2.0Creative Commons; TechCrunch portrait credit above
14. UNO Draw 25 Cards template — brief transformed narrator commentary, no actual reaction by anyone shown or blanket reuse licenceImgflip
15. The Office (Michael Scott) GIF, official @theoffice upload, Peacock — brief transformed narrator commentary, no actual reaction by anyone shown or blanket reuse licence; public hosting does not certify legal clearanceThe Office on GIPHY