Claude CodeがユーザーのメールアドレスをWebサイトに連絡先として送信

この動画の要点

• AnthropicのLydia Hallie氏によると、Claudeが@authorタグのようなものの名前を勝手に作成してしまうため、ログインユーザー向けにアカウントのメールアドレスをモデルのコンテキストに追加したとのことです。
• Wikimediaのようなサイトは、スクリプトに対して連絡先情報を含む情報提供的なUser-Agentを要求します。ポリシーではメールアドレス、ウェブサイト、またはwikiユーザーを受け入れます。モデルはコンテキストにあるアカウントのメールアドレスを使用することがありました。
• バージョン2.1.317でチェックが追加されました。公開されているreadmeでは、アドレスを保持しUser-Agentを指定するBash、PowerShell、Monitorの呼び出しに対してはプロンプトなしで拒否すると記載されており、WebFetch、WebSearch、スクリプト、実行時値はチェックされないとされています。変更履歴とスタッフは、同じガードが尋ねるかブロックすると説明しています。
• 2人のユーザーが、ロードされたガードが無害なテストコマンドを拒否しなかったと報告しました。Anthropicはこれらの報告を確認していませんでした。安定版チャネルはまだ2.1.311であり、チェックがなく、記録時点での最新の変更履歴エントリは2.1.318でした。
• 同じUser-Agent漏洩を記述したGitHubの問題は9月18日付けで、コンテキストブロックの注入に関する7月の報告もありました。判決はREVERTでした。モデルが見ることができるアドレスは、モデルが送信できるアドレスであるというものです。

翻訳されたトランスクリプト

オリジナルの英語ナレーションから翻訳されています。利用可能なオーディオとキャプションはYouTubeによって管理されています。

ログインメールはどのようにしてWikipediaやSECに到達したのか？

0:00 あなたのログインメールはログイン用です。 一部のログイン中のClaude Codeユーザーにとっては、User-Agentにも含まれていました。 WikipediaやSECのようなサイトへのリクエストです。 このビデオでは、それがどのようにしてそこに行き着いたのか？ そして修正はそれを閉じるのか？ Anthropicはもっと早くこれを捉えるべきだったと言っています。 彼らのバグトラッカーには、どれくらい早くという日付があり、私はそれを読む前に 判決を下します。今日は11月6日金曜日、そしてこれはThe Daily Diffです。

0:24 Claude CodeはAnthropicのコーディングエージェントです。 プロジェクトを読み込み、コマンドを実行します。 Webへのcurl呼び出しも含まれます。 User-Agentは、すべてのWebリクエストに含まれる、呼び出し元のプログラムの名前を示す行です。

モデルはなぜあなたのメールを知っていたのか？

0:35 アドレスは意図的にそこに入力されました。 Claude Codeを担当するLydia Hallie氏はHacker Newsで、Claudeが コードの作成者タグのようなものの名前を勝手に作ってしまうため、 あなたが誰であるかを知らなかったからだと説明しました。 そこでAnthropicは、ログインユーザー向けにアカウントのメールアドレスをモデルのコンテキストに追加しました。 木曜日に「User-Agentヘッダーのプライバシー侵害」というGitHub issueで炎上しました。 報告者は、これで1日に数十通の詐欺メールが届くようになったと非難していますが、 その関連性を公に証明するものは何もありません。

1:02 Hacker Newsのスレッドは1200ポイントを超えました。 7月の報告ではすでに注入されたテキストが引用されていました。 「ユーザーのメールアドレス」という見出しの下には、「ユーザーのメールアドレスは」とあり、 その後にあなたのアドレスが続きます。 その報告者は、Claudeがアドレスをgitコミットに書き込んでいることも捕捉し、 GitHubのプッシュ保護がプッシュをブロックしました。

なぜWebサイトはスクリプトにメールを求めるのか？

1:20 一部のサイトはスクリプトに自己識別を求めます。 Wikimediaのポリシーでは、スクリプトは連絡先情報を含む情報提供的なUser-Agentを使用すべきであり、 そうでない場合、通知なしにブロックされる可能性があると述べています。 ウェブサイトも連絡先として機能します。 SECのEdgarページには、会社名と管理者メールを含むサンプルヘッダーが表示されています。 Claude CodeがWikipediaのために独自のcurlコマンドを作成すると、 サイトは連絡先を求め、そのコンテキストにある唯一のアドレスはあなたのログイン メールです。Claude Codeの開発者はHacker Newsで次のように述べました。

1:48 「Claudeは明らかにこのポリシーに従う価値があると判断する傾向があります。」 ユーザーの引用によると、同じコンテキストブロックはモデルに、そのアドレスを無関係なサービスに

何も止めなかったのか？

1:56 ヘッダー、URL、またはペイロードで 送信しないように指示していました。 ある10月の報告では、Claudeは次に何が起こったかをまとめました。 「とにかく送ってしまいました。」 そしてUser-Agentはリクエスト後も消えません。 Apacheの標準的な結合ログ形式は、それをアクセスログに書き込みます。 訪問者のIPと時間の隣に。 Anthropicの最初の対応はバージョン317で出荷されました。

プライバシーモッドは何を実際にブロックするのか？

2:19 変更履歴では、Webまたはシェルツールの呼び出しが アカウントのメールアドレスをネットワークに送信する前に確認するチェックとされています。 これはデフォルトでオンになっています。 しかし、安定版チャネルはまだ311であり、それには含まれていません。 そのソースは、問題発生から2時間以内に公開されました。 これはシェルツール、つまりBash、PowerShell、Monitorをフックします。 コマンドがあなたのアドレスを保持し、User-Agentを指定する場合、 readmeにはプロンプトなしで拒否されると記載されています。

2:44 変更履歴では尋ねるとあり、スタッフのコメントではブロックするとあり、 readmeでは尋ねずに拒否するとあります。 この全体的なバウンサーは意図的にパーサーなしの2単語マッチです。 それからユーザーがそれをテストしました。

ガードはテストを捕捉したか？

2:56 MacとWindowsでそれぞれ1人のユーザーが無害なコマンドを実行しました。 どこにもエコーしないコマンドと、決して解決しないドット無効ドメインへのcurlです。 両者とも、モッドがロードされたと表示されたが、どちらのコマンドも拒否されなかったと述べています。 これらはユーザー報告であり、Anthropicはそれらを確認していません。 readmeには通過するものもリストされています。 Webツール、WebFetchとWebSearchはチェックされません。 これはWeb呼び出しに言及している変更履歴とは奇妙な食い違いです。 あなたのアドレスを保持するスクリプトや、実行時に計算される値もチェックされません。

3:25 readmeは全体を1つの形をカバーする「お礼」と呼んでいます。 Hallie氏は、次のリリースでClaude Codeがモデルに提供する情報からアカウントのメールアドレスを削除し、

本当の修正はいつ出荷され、今どうすればよいのか？

3:32 来週初めにリリースされる予定であると述べています。 出口にあるフィルターは、すべての経路を認識する必要があります。 アドレスが最初から入らなければ、フィルターするものは何もありません。 これを記録している時点では、最新の変更履歴エントリはまだ318です。 安定版を使用している場合は、317以降に更新してください。 フックを作成している場合、Windowsテスターの応急処置はファイル編集もチェックするため、 スクリプトが作成される前にハードコードされたアドレスが検出されます。 そして、セッションのトランスクリプトを検索して、User-Agentの隣に自分のメールアドレスがないか確認してください。

どれくらい前に報告されていたのか？

4:00 さて、その日付です。 「この振る舞いをもっと早く捕捉すべきでした」とHallie氏は書きました。 7月の報告書はすでに、 コンテキスト内の何かが外部の ツール呼び出しに漏れる可能性があると警告していました。そして9月18日、あるユーザーが「アカウントメタデータからのユーザーメールがUser-Agentヘッダーで外部サービスに意図せず送信された」というタイトルのバグを提出しました。 アカウントメタデータからのユーザーメールが意図せず外部サービスにUser-Agentヘッダーで送信された」というタイトルのバグを提出しました。 これは木曜日のスレッドの7週間前であり、 約1分以内にボットがそれをセキュリティ分野としてタグ付けしました。

4:24 10月下旬までに、少なくとも4つ以上の問題がWikipedia、SEC、およびゲームウィキへの 同じ漏洩を記述していました。 今日現在、5つすべてが未解決です。 Anthropicは、これがRedditで話題になり始めたときに気づいたと述べています。 謝罪自体は迅速で明確でした、それは認めます。 私がこれを言うのを聞くよりも読みたい場合は、diffが毎朝あなたの受信トレイに届きます。 daily diff dot devで無料で、リンクは下にあります。 さて、今日の判決：REVERT。

メールはコンテキストに残すべきか？

4:48 私はモデルのコンテキストにアカウントのメールアドレスを入れることを元に戻すでしょう。 なぜなら、モデルが見ることができるアドレスは、それが送信できるアドレスだからです。 そして、ガード自身のreadmeには、それが1つの形をカバーすると書かれています。 購読し、ベルを鳴らし、もしあなたが異なる判決を下したならコメントで教えてください。 これで今日のdiffは終わりです。 AxrisiのNikoでした。 責任を持ってマージしてください。

情報源

1. Bug report: privacy violation in User-Agent headerGitHub · anthropics/claude-code #107757
2. Claude Code staff explanation and planned removal of the account email from the model contextHacker News
3. Claude Code staff comment on site User-Agent policiesHacker News
4. Privacy mod readme and sourceGitHub · anthropics/claude-code
5. Changelog entry for 2.1.317GitHub · anthropics/claude-code
6. July report on the account email injected into the model contextGitHub · anthropics/claude-code #81138
7. September 18 report of the email sent in a User-Agent headerGitHub · anthropics/claude-code #95258
8. User-Agent PolicyWikimedia Foundation
9. Accessing EDGAR dataU.S. Securities and Exchange Commission
10. Log files: combined log formatApache HTTP Server documentation
11. Dario Amodei at TechCrunch Disrupt 2023 portrait, CC BY 2.0, identification onlyTechCrunch via Wikimedia Commons
12. Original Dario Amodei portrait at TechCrunch Disrupt 2023 — TechCrunch; CC BY 2.0; background removed, cropped and resized; identifies Anthropic only, no endorsement, quote or reactionTechCrunch on Flickr
13. Portrait license: Creative Commons Attribution 2.0Creative Commons; TechCrunch portrait credit above
14. UNO Draw 25 Cards template — brief transformed narrator commentary, no actual reaction by anyone shown or blanket reuse licenceImgflip
15. The Office (Michael Scott) GIF, official @theoffice upload, Peacock — brief transformed narrator commentary, no actual reaction by anyone shown or blanket reuse licence; public hosting does not certify legal clearanceThe Office on GIPHY