ક્લાઉડ કોડે વપરાશકર્તાઓના ઈમેલને વેબસાઈટ્સ પર સંપર્ક સરનામા તરીકે મોકલ્યા

આ વીડિયોમાં શું આવરી લેવામાં આવ્યું છે

• એન્થ્રોપિકના લિડિયા હોલીએ જણાવ્યું હતું કે સાઇન ઇન કરેલા વપરાશકર્તાઓ માટે એકાઉન્ટ ઇમેઇલ મોડેલના સંદર્ભમાં ઉમેરવામાં આવ્યો હતો કારણ કે ક્લાઉડ તેના વિના @author ટૅગ્સ જેવી વસ્તુઓ માટે નામો બનાવતું હતું.
• વિકિમીડિયા જેવી સાઇટ્સ સ્ક્રિપ્ટોને સંપર્ક માહિતી સાથે જાણકાર User-Agent માટે પૂછે છે; નીતિ ઇમેઇલ, વેબસાઇટ અથવા વિકિ વપરાશકર્તાને સ્વીકારે છે. મોડેલ ક્યારેક સંદર્ભમાં તેની પાસે રહેલા એકાઉન્ટ ઇમેઇલનો ઉપયોગ કરતું હતું.
• સંસ્કરણ 2.1.317 માં એક તપાસ ઉમેરવામાં આવી હતી. તેના પ્રકાશિત રીડમીમાં Bash, PowerShell અને મોનિટર કૉલ્સ માટે કોઈ પ્રોમ્પ્ટ વિના ઇનકારનું વર્ણન કરવામાં આવ્યું છે જે સરનામું ધરાવે છે અને User-Agent નામ આપે છે, અને કહે છે કે WebFetch, WebSearch, સ્ક્રિપ્ટો અને રન-ટાઇમ મૂલ્યો તપાસવામાં આવતા નથી. ચેન્જલોગ અને સ્ટાફ એ જ રક્ષકને પૂછવા અથવા અવરોધિત કરવા તરીકે વર્ણવે છે.
• બે વપરાશકર્તાઓએ અહેવાલ આપ્યો કે લોડ થયેલ રક્ષકે હાનિકારક પરીક્ષણ આદેશોને નકાર્યા નથી; એન્થ્રોપિકે તે અહેવાલોની પુષ્ટિ કરી ન હતી. સ્થિર ચેનલ હજુ પણ 2.1.311 પર હતી, જેમાં તપાસનો અભાવ છે, અને રેકોર્ડિંગ સમયે નવીનતમ ચેન્જલોગ એન્ટ્રી 2.1.318 હતી.
• સમાન User-Agent લીકનું વર્ણન કરતી GitHub સમસ્યાઓ 18 સપ્ટેમ્બરની છે, જેમાં ઇન્જેક્ટેડ સંદર્ભ બ્લોક પર જુલાઈનો અહેવાલ છે. ચુકાદો REVERT હતો: એક સરનામું જે મોડેલ જોઈ શકે છે તે એક સરનામું છે જે તે મોકલી શકે છે.

અનુવાદિત ટ્રાન્સક્રિપ્ટ

મૂળ અંગ્રેજી કથામાંથી અનુવાદિત. ઉપલબ્ધ ઑડિઓ અને કૅપ્શન્સ YouTube દ્વારા નિયંત્રિત થાય છે.

લૉગિન ઇમેઇલ વિકિપીડિયા અને SEC સુધી કેવી રીતે પહોંચ્યો?

0:00 તમારો લૉગિન ઇમેઇલ લૉગિન કરવા માટે છે. કેટલાક સાઇન-ઇન કરેલા ક્લાઉડ કોડ વપરાશકર્તાઓ માટે, તે User-Agent માં પણ સાથે આવ્યો હતો વિકિપીડિયા અને SEC જેવી સાઇટ્સની વિનંતીઓ. આ વિડિઓમાં: તે ત્યાં કેવી રીતે પહોંચ્યું? અને શું સુધારો તેને બંધ કરે છે? એન્થ્રોપિક કહે છે કે તેને આ પહેલા પકડવું જોઈતું હતું. તેના પોતાના બગ ટ્રેકરમાં કેટલા સમય પહેલાની તારીખ છે, અને હું તેને પહેલા વાંચીશ ચુકાદો. શુક્રવાર, છ નવેમ્બર છે, અને આ છે The Daily Diff.

0:24 ક્લાઉડ કોડ એ એન્થ્રોપિકનો કોડિંગ એજન્ટ છે. તે તમારા પ્રોજેક્ટને વાંચે છે અને તમારા માટે આદેશો ચલાવે છે, વેબ પર curl કૉલ્સ સહિત. User-Agent એ દરેક વેબ વિનંતીની લાઇન છે જે કૉલ કરતા પ્રોગ્રામનું નામ આપે છે.

મોડેલ તમારો ઇમેઇલ શા માટે જાણતું હતું?

0:35 સરનામું ત્યાં ઇરાદાપૂર્વક પહોંચ્યું. લિડિયા હોલી, જે ક્લાઉડ કોડ પર કામ કરે છે, તેણે હેકર ન્યૂઝ પર સમજાવ્યું કે ક્લાઉડ કોડમાં લેખક ટૅગ્સ જેવી વસ્તુઓ માટે નામો બનાવવાનું ચાલુ રાખ્યું હતું, કારણ કે તે તમને જાણતું ન હતું. તેથી એન્થ્રોપિકે સાઇન-ઇન કરેલા વપરાશકર્તાઓ માટે મોડેલના સંદર્ભમાં એકાઉન્ટ ઇમેઇલ ઉમેર્યો. ગુરુવારે "User-Agent હેડરમાં ગોપનીયતા ભંગ" શીર્ષકવાળી GitHub સમસ્યા સાથે તે વિસ્ફોટ થયો. રિપોર્ટર તેને દિવસના ડઝનબંધ કૌભાંડ ઇમેઇલ્સ માટે દોષી ઠેરવે છે, અને કોઈ જાહેર પુરાવો તે લિંકને સાબિત કરતું નથી.

1:02 હેકર ન્યૂઝ થ્રેડે બારસો પોઈન્ટ પસાર કર્યા. જુલાઈના એક અહેવાલમાં ઇન્જેક્ટેડ ટેક્સ્ટનો પહેલેથી જ ઉલ્લેખ કરવામાં આવ્યો હતો. વપરાશકર્તા ઇમેઇલ નામના હેડિંગ હેઠળ, તે કહે છે કે વપરાશકર્તાનો ઇમેઇલ સરનામું છે, પછી તમારું સરનામું. તે રિપોર્ટર ક્લાઉડને git કમિટમાં સરનામું લખતા પણ પકડાયો હતો, અને GitHub ના પુશ પ્રોટેક્શને પુશને અવરોધિત કર્યું.

વેબસાઇટ્સ સ્ક્રિપ્ટોને ઇમેઇલ માટે શા માટે પૂછે છે?

1:20 કેટલીક સાઇટ્સ સ્ક્રિપ્ટોને પોતાને ઓળખવા માટે પૂછે છે. વિકિમીડિયાની નીતિ કહે છે કે સ્ક્રિપ્ટોએ સંપર્ક માહિતી સાથે જાણકાર User-Agent નો ઉપયોગ કરવો જોઈએ, નહીંતર તેમને નોટિસ વિના અવરોધિત કરી શકાય છે. એક વેબસાઇટ પણ સંપર્ક તરીકે કામ કરે છે. SEC નું Edgar પૃષ્ઠ કંપનીનું નામ અને એડમિન ઇમેઇલ સાથે નમૂના હેડર દર્શાવે છે. જ્યારે ક્લાઉડ કોડ વિકિપીડિયા માટે તેનો પોતાનો curl આદેશ લખે છે, સાઇટને સંપર્ક જોઈએ છે, અને તેના સંદર્ભમાં એકમાત્ર સરનામું તમારો લૉગિન ઇમેઇલ છે. એક ક્લાઉડ કોડ ડેવલપરે તેને હેકર ન્યૂઝ પર આ રીતે રજૂ કર્યું.

1:48 ક્લાઉડ દેખીતી રીતે નિર્ણય લેવાનું વલણ ધરાવે છે કે આ નીતિનું પાલન કરવું યોગ્ય છે. વપરાશકર્તાઓના અવતરણ મુજબ, તે જ સંદર્ભ બ્લોકે મોડેલને ક્યારેય તે સરનામું સંબંધિત સેવાને મોકલવા માટે કહ્યું ન હતું,

કોઈએ તેને ના પાડી ન હતી?

1:56 હેડરમાં, URL અથવા પેલોડ. ઓક્ટોબરના એક અહેવાલમાં, ક્લાઉડે આગળ શું થયું તેનો સારાંશ આપ્યો. મેં તે ગમે તેમ કરીને મોકલ્યું. અને User-Agent વિનંતી પછી અદૃશ્ય થતો નથી. અપાચેનું પ્રમાણભૂત સંયુક્ત લોગ ફોર્મેટ તેને એક્સેસ લોગમાં લખે છે, મુલાકાતીના IP અને સમયની બાજુમાં. એન્થ્રોપિકનો પ્રથમ પ્રતિભાવ સંસ્કરણ ત્રણ-સત્તર માં આવ્યો.

ગોપનીયતા મોડ ખરેખર શું અવરોધિત કરે છે?

2:19 ચેન્જલોગ તેને એક તપાસ કહે છે જે વેબ અથવા શેલ ટૂલ કૉલ નેટવર્ક પર તમારું એકાઉન્ટ ઇમેઇલ મોકલે તે પહેલાં પૂછે છે. તે મૂળભૂત રીતે ચાલુ છે. પરંતુ સ્થિર ચેનલ હજી પણ ત્રણ-અગિયાર પર છે, જેમાં તે નથી. તેનો સ્રોત સમસ્યાના બે કલાકથી ઓછા સમય પછી જાહેર થયો. તે શેલ ટૂલ્સને હૂક કરે છે, એટલે કે Bash, PowerShell અને મોનિટર. જો કોઈ આદેશ તમારું સરનામું ધરાવે છે અને User-Agent નામ આપે છે, રીડમી કહે છે કે તે નકારવામાં આવે છે, કોઈ પ્રોમ્પ્ટ વિના. ચેન્જલોગ કહે છે કે તે પૂછે છે, સ્ટાફની ટિપ્પણી કહે છે કે તે અવરોધિત કરે છે,

2:44 અને રીડમી કહે છે કે તે પૂછ્યા વિના ઇનકાર કરે છે. સમગ્ર બાઉન્સર બે શબ્દોની મેચ છે, કોઈ પાર્સર વિના, ઇરાદાપૂર્વક. પછી વપરાશકર્તાઓએ તેનું પરીક્ષણ કર્યું. એક Mac પર અને એક Windows પર હાનિકારક આદેશો ચલાવ્યા,

રક્ષકે પરીક્ષણ પકડ્યું?

2:56 ક્યાંય નહીં અને ક્યારેય રિઝોલ્વ ન થતા ડોટ ઇનવેલિડ ડોમેન પર curl. બંને કહે છે કે મોડ લોડ થયેલું બતાવવામાં આવ્યું હતું, અને કોઈ આદેશ નકારવામાં આવ્યો ન હતો. તે વપરાશકર્તા અહેવાલો છે; એન્થ્રોપિકે તેની પુષ્ટિ કરી નથી. રીડમી એ પણ સૂચિબદ્ધ કરે છે કે શું પસાર થાય છે. વેબ ટૂલ્સ, WebFetch અને WebSearch, તપાસવામાં આવતા નથી, જે વેબ કૉલ્સનો ઉલ્લેખ કરતા ચેન્જલોગ સાથે વિષમ ફીટ છે. તમારું સરનામું ધરાવતી સ્ક્રિપ્ટ, અથવા રન ટાઇમ પર ગણતરી કરાયેલ મૂલ્ય પણ નથી. રીડમી આખી વસ્તુને એક સૌજન્ય કહે છે જે એક આકારને આવરી લે છે.

3:25 હોલી કહે છે કે આગામી પ્રકાશન ક્લાઉડ કોડ મોડેલને જે આપે છે તેમાંથી એકાઉન્ટ ઇમેઇલ દૂર કરે છે, અને આવતા અઠવાડિયાની શરૂઆતમાં આવવું જોઈએ.

વાસ્તવિક સુધારો ક્યારે આવે છે, અને તમે હવે શું કરશો?

3:32 બહાર નીકળતા ફિલ્ટરને દરેક માર્ગને ઓળખવો પડે છે. જો સરનામું ક્યારેય દાખલ ન થાય, તો ફિલ્ટર કરવા માટે કંઈ નથી. હું આ રેકોર્ડ કરું છું, નવીનતમ ચેન્જલોગ એન્ટ્રી હજી પણ ત્રણ-અઢાર છે. જો તમે સ્થિર પર છો, તો ત્રણ-સત્તર અથવા પછીના પર અપડેટ કરો. જો તમે હૂક લખો છો, તો Windows ટેસ્ટરનો સ્ટોપગેપ ફાઇલ સંપાદનો પણ તપાસે છે, જેથી સ્ક્રિપ્ટ લખાય તે પહેલાં હાર્ડકોડેડ સરનામું પકડાઈ જાય. અને User-Agent ની બાજુમાં તમારા પોતાના ઇમેઇલ માટે તમારા સત્ર ટ્રાન્સક્રિપ્ટ્સ શોધો. હવે તે તારીખ.

કેટલા સમય પહેલા તેની જાણ કરવામાં આવી હતી?

4:00 આ વર્તનને આપણે વહેલા પકડવું જોઈતું હતું, હોલીએ લખ્યું. જુલાઈના અહેવાલમાં પહેલેથી જ ચેતવણી આપવામાં આવી હતી કે સંદર્ભમાં કંઈપણ આઉટબાઉન્ડમાં લીક થઈ શકે છે ટૂલ કૉલ્સ. અને 18 સપ્ટેમ્બરના રોજ, એક વપરાશકર્તાએ "વપરાશકર્તા ઇમેઇલ એકાઉન્ટ મેટાડેટામાંથી User-Agent હેડરમાં બાહ્ય સેવા પર અજાણતા મોકલવામાં આવ્યો" શીર્ષકવાળો બગ દાખલ કર્યો. તે ગુરુવારના થ્રેડના સાત અઠવાડિયા પહેલા છે, અને એક બોટે તેને લગભગ એક મિનિટમાં સુરક્ષા ક્ષેત્ર તરીકે ટૅગ કર્યું. ઓક્ટોબરના અંત સુધીમાં, ઓછામાં ઓછી ચાર વધુ સમસ્યાઓએ વિકિપીડિયા, SEC અને ગેમિંગ વિકિને સમાન લીકનું વર્ણન કર્યું. આજની તારીખે, તમામ પાંચ ખુલ્લા છે.

4:24 એન્થ્રોપિક કહે છે કે રેડિટ પર આ શરૂ થયું ત્યારે તેણે ધ્યાન આપ્યું. માફી પોતે ઝડપી અને સ્પષ્ટ હતી, હું તેમને તે આપીશ. જો તમે મને તે કહેવાને બદલે આ વાંચવાનું પસંદ કરો છો, તો diff તમારા ઇનબોક્સમાં દરરોજ સવારે આવે છે, daily diff dot dev પર મફત, નીચે લિંક. તો, આજનો ચુકાદો: REVERT. હું મોડેલના સંદર્ભમાં એકાઉન્ટ ઇમેઇલ મૂકવાનું REVERT કરીશ, કારણ કે એક સરનામું જે મોડેલ જોઈ શકે છે તે એક સરનામું છે જે તે મોકલી શકે છે, અને રક્ષકની પોતાની રીડમી કહે છે કે તે એક આકારને આવરી લે છે. સબ્સ્ક્રાઇબ કરો, બેલ દબાવો, અને ટિપ્પણીઓમાં મને કહો કે શું તમે તેને અલગ રીતે સ્ટેમ્પ કર્યું હોત. અને તે આજનો diff છે.

શું ઇમેઇલ સંદર્ભમાં રહેવો જોઈએ?

4:48 હું Axrisi માંથી નિકો છું. જવાબદારીપૂર્વક મર્જ કરો. હા. હા. હા. હા. હા.

સ્ત્રોતો

1. Bug report: privacy violation in User-Agent headerGitHub · anthropics/claude-code #107757
2. Claude Code staff explanation and planned removal of the account email from the model contextHacker News
3. Claude Code staff comment on site User-Agent policiesHacker News
4. Privacy mod readme and sourceGitHub · anthropics/claude-code
5. Changelog entry for 2.1.317GitHub · anthropics/claude-code
6. July report on the account email injected into the model contextGitHub · anthropics/claude-code #81138
7. September 18 report of the email sent in a User-Agent headerGitHub · anthropics/claude-code #95258
8. User-Agent PolicyWikimedia Foundation
9. Accessing EDGAR dataU.S. Securities and Exchange Commission
10. Log files: combined log formatApache HTTP Server documentation
11. Dario Amodei at TechCrunch Disrupt 2023 portrait, CC BY 2.0, identification onlyTechCrunch via Wikimedia Commons
12. Original Dario Amodei portrait at TechCrunch Disrupt 2023 — TechCrunch; CC BY 2.0; background removed, cropped and resized; identifies Anthropic only, no endorsement, quote or reactionTechCrunch on Flickr
13. Portrait license: Creative Commons Attribution 2.0Creative Commons; TechCrunch portrait credit above
14. UNO Draw 25 Cards template — brief transformed narrator commentary, no actual reaction by anyone shown or blanket reuse licenceImgflip
15. The Office (Michael Scott) GIF, official @theoffice upload, Peacock — brief transformed narrator commentary, no actual reaction by anyone shown or blanket reuse licence; public hosting does not certify legal clearanceThe Office on GIPHY