O código de Claude enviou os correos electrónicos dos usuarios a sitios web como enderezo de contacto

Que abrangue este vídeo

• Lydia Hallie de Anthropic dixo que o correo electrónico da conta se engadiu ao contexto do modelo para os usuarios conectados porque Claude inventaba nomes para cousas como as etiquetas @author sen el.
• Sitios como Wikimedia solicitan aos scripts un User-Agent informativo con información de contacto; a política acepta un correo electrónico, un sitio web ou un usuario de wiki. O modelo ás veces utilizaba o correo electrónico da conta que tiña en contexto.
• A versión 2.1.317 engadiu unha comprobación. O seu readme publicado describe unha negativa sen solicitude para chamadas de Bash, PowerShell e Monitor que conteñan o enderezo e nomeen un User-Agent, e di que WebFetch, WebSearch, scripts e valores en tempo de execución non se comproban. O rexistro de cambios e o persoal describen a mesma protección como unha pregunta ou un bloqueo.
• Dous usuarios informaron de que a protección cargada non rexeitou comandos de proba inofensivos; Anthropic non confirmara eses informes. A canle estable aínda estaba na 2.1.311, que carece da comprobación, e a entrada máis recente do rexistro de cambios no momento da gravación era a 2.1.318.
• Os problemas de GitHub que describen a mesma fuga de User-Agent datan do 18 de setembro, cun informe de xullo sobre o bloque de contexto inxectado. O veredicto foi REVERT: un enderezo que o modelo pode ver é un enderezo que pode enviar.

Transcrición traducida

Traducido da narración orixinal en inglés. O audio e os subtítulos dispoñibles son controlados por YouTube.

Como chegou un correo electrónico de inicio de sesión a Wikipedia e á SEC?

0:00 O teu correo electrónico de inicio de sesión é para iniciar sesión. Para algúns usuarios de Claude Code conectados, tamén viaxou no User-Agent de solicitudes a sitios como Wikipedia e a SEC. Neste vídeo: como chegou alí? E a solución cérrao? Anthropic di que debería ter detectado isto antes. O seu propio rastreador de erros ten unha data de canto antes, e lereina antes do veredicto. É venres, seis de novembro, e isto é The Daily Diff.

0:24 Claude Code é o axente de codificación de Anthropic. Le o teu proxecto e executa comandos por ti, incluíndo chamadas curl á web. Un User-Agent é a liña en cada solicitude web que nomea o programa que chama.

Por que o modelo coñecía o teu correo electrónico?

0:35 O enderezo chegou alí a propósito. Lydia Hallie, que traballa en Claude Code, explicou en Hacker News que Claude seguía inventando nomes para cousas como etiquetas de autor no código, porque non sabía quen eras. Así que Anthropic engadiu o correo electrónico da conta ao contexto do modelo para os usuarios conectados. Explotou o xoves cun problema de GitHub titulado "violación de privacidade no encabezado User-Agent". O informante culparao de decenas de correos electrónicos de estafa ao día, e nada público proba esa ligazón.

1:02 O fío de Hacker News superou os mil douscentos puntos. Un informe de xullo xa citaba o texto inxectado. Baixo un encabezado chamado "correo electrónico do usuario", di que o enderezo de correo electrónico do usuario é, e despois o teu enderezo. Ese informante tamén detectou a Claude escribindo o enderezo en commits de git, e a protección de push de GitHub bloqueou o push.

Por que os sitios web solicitan un correo electrónico aos scripts?

1:20 Algúns sitios solicitan aos scripts que se identifiquen. A política de Wikimedia di que os scripts deben usar un User-Agent informativo con información de contacto, ou poden ser bloqueados sen previo aviso. Un sitio web tamén funciona como contacto. A páxina Edgar da SEC mostra un encabezado de mostra cun nome de empresa e un correo electrónico de administrador email. Cando Claude Code escribe o seu propio comando curl para Wikipedia, o sitio quere un contacto, e o único enderezo no seu contexto é o teu correo electrónico de inicio de sesión email. Un desenvolvedor de Claude Code explicouno así en Hacker News.

1:48 Claude aparentemente tende a decidir que vale a pena seguir esta política. Segundo os usuarios que o citan, o mesmo bloque de contexto indicoulle ao modelo que nunca enviara

Non lle dixo nada que non o fixera?

1:56 ese enderezo a un servizo non relacionado, nun encabezado, un URL ou unha carga útil. Nun informe de outubro, Claude resumiu o que pasou despois. Envieino de todos os xeitos. E un User-Agent non desaparece despois da solicitude. O formato de rexistro combinado estándar de Apache escríbeo no rexistro de acceso, xunto ao IP do visitante e a hora. A primeira resposta de Anthropic enviouse na versión trescentos dezaseis.

Que bloquea realmente o mod de privacidade?

2:19 O rexistro de cambios chámalle unha comprobación que pregunta antes de que unha chamada de ferramenta web ou shell envíe o teu correo electrónico de conta á rede. Está activado por defecto. Pero a canle estable aínda está en trescentos once, que non a ten. A súa fonte fíxose pública menos de dúas horas despois do problema. Engancha as ferramentas de shell, é dicir, Bash, PowerShell e Monitor. Se un comando contén o teu enderezo e nomea un User-Agent, o readme di que se rexeita, sen solicitude.

2:44 O rexistro de cambios di que pregunta, un comentario do persoal di que bloquea, e o readme di que se rexeita sen preguntar. O reboteador completo é de dúas coincidencias de palabras, sen analizador, a propósito. Despois os usuarios probárono.

A protección capturou a proba?

2:56 Un en Mac e outro en Windows executaron comandos inofensivos, un echo a ningures e un curl a un dominio punto inválido que nunca se resolve. Ambos din que o mod se mostrou cargado, e ningún comando foi rexeitado. Eses son informes de usuarios; Anthropic non os confirmou. O readme tamén lista o que pasa. As ferramentas web, WebFetch e WebSearch, non se comproban, o cal é unha estraña coincidencia cun rexistro de cambios que menciona chamadas web. Tampouco un script que contén o teu enderezo, ou un valor calculado en tempo de execución.

3:25 O readme chama a todo isto unha cortesía que cubre unha forma. Hallie di que a próxima versión elimina o correo electrónico da conta do que Claude Code

Cando se envía a solución real, e que fas agora?

3:32 lle dá ao modelo, e debería chegar a principios da próxima semana. Un filtro na saída ten que recoñecer todas as rutas. Se o enderezo nunca entra, non hai nada que filtrar. Mentres gravo isto, a entrada máis recente do rexistro de cambios segue sendo a trescentos dezaoito. Se estás en estable, actualiza a trescentos dezaseis ou posterior. Se escribes "hooks", o "stopgap" do probador de Windows tamén comproba as edicións de ficheiros, polo que un enderezo "hardcoded" detense antes de que se escriba o script. E busca nas túas transcricións de sesión o teu propio correo electrónico xunto a un User-Agent.

Canto antes se informou?

4:00 Agora esa data. Deberiamos ter detectado este comportamento antes, escribiu Hallie. O informe de xullo xa advertía de que calquera cousa no contexto podería filtrarse en chamadas de ferramentas de saída calls. E o dezaoito de setembro, un usuario presentou un erro titulado, correo electrónico do usuario dos metadatos da conta enviado inadvertidamente a un servizo externo no encabezado User-Agent. Iso é sete semanas antes do fío do xoves, e un bot etiquetouno como "área de seguridade" nun minuto.

4:24 A finais de outubro, polo menos catro problemas máis describían a mesma fuga, a Wikipedia, á SEC e a unha wiki de xogos. A día de hoxe, os cinco están abertos. Anthropic di que se decatou cando isto comezou a aparecer en Reddit. A desculpa en si foi rápida e sinxela, concedereilles iso. Se prefires ler isto en vez de escoitarme dicilo, o "diff" chega á túa caixa de entrada cada mañá, gratis en thedailydiff.dev, ligazón a continuación. Entón, o veredicto de hoxe: REVERT.

Debería o correo electrónico permanecer no contexto?

4:48 Eu revertería a colocación do correo electrónico da conta no contexto do modelo, porque un enderezo que o modelo pode ver é un enderezo que pode enviar, e o propio readme do garda di que cobre unha forma. Subscríbete, preme a campá e dime nos comentarios se o terías marcado dun xeito diferente. E iso é todo por hoxe. Son Niko de Axrisi. Fusionar con responsabilidade.

Fontes

1. Bug report: privacy violation in User-Agent headerGitHub · anthropics/claude-code #107757
2. Claude Code staff explanation and planned removal of the account email from the model contextHacker News
3. Claude Code staff comment on site User-Agent policiesHacker News
4. Privacy mod readme and sourceGitHub · anthropics/claude-code
5. Changelog entry for 2.1.317GitHub · anthropics/claude-code
6. July report on the account email injected into the model contextGitHub · anthropics/claude-code #81138
7. September 18 report of the email sent in a User-Agent headerGitHub · anthropics/claude-code #95258
8. User-Agent PolicyWikimedia Foundation
9. Accessing EDGAR dataU.S. Securities and Exchange Commission
10. Log files: combined log formatApache HTTP Server documentation
11. Dario Amodei at TechCrunch Disrupt 2023 portrait, CC BY 2.0, identification onlyTechCrunch via Wikimedia Commons
12. Original Dario Amodei portrait at TechCrunch Disrupt 2023 — TechCrunch; CC BY 2.0; background removed, cropped and resized; identifies Anthropic only, no endorsement, quote or reactionTechCrunch on Flickr
13. Portrait license: Creative Commons Attribution 2.0Creative Commons; TechCrunch portrait credit above
14. UNO Draw 25 Cards template — brief transformed narrator commentary, no actual reaction by anyone shown or blanket reuse licenceImgflip
15. The Office (Michael Scott) GIF, official @theoffice upload, Peacock — brief transformed narrator commentary, no actual reaction by anyone shown or blanket reuse licence; public hosting does not certify legal clearanceThe Office on GIPHY