Claude Code nosūtīja lietotāju e-pasta adreses uz vietnēm kā kontaktadresi

Ko aptver šis video

• Anthropic pārstāve Lydia Hallie teica, ka konta e-pasta adrese tika pievienota modeļa kontekstam pieteiktiem lietotājiem, jo Claude bez tās izdomāja nosaukumus tādām lietām kā @author tagi.
• Tādas vietnes kā Wikimedia lūdz skriptus norādīt informatīvu "User-Agent" ar kontaktinformāciju; politika pieņem e-pastu, vietni vai wiki lietotāju. Modelis dažreiz izmantoja konta e-pasta adresi, kas tam bija kontekstā.
• Versija 2.1.317 pievienoja pārbaudi. Tās publicētais readme apraksta atteikumu bez uzvednes Bash, PowerShell un Monitor izsaukumiem, kas satur adresi un nosaukumu "User-Agent", un norāda, ka WebFetch, WebSearch, skripti un izpildlaika vērtības netiek pārbaudītas. Izmaiņu žurnāls un darbinieki apraksta to pašu aizsargu kā jautājošu vai bloķējošu.
• Divi lietotāji ziņoja, ka ielādētais aizsargs neatteica nekaitīgas testa komandas; Anthropic nebija apstiprinājis šos ziņojumus. Stabilais kanāls joprojām bija uz 2.1.311, kuram trūkst pārbaudes, un jaunākais izmaiņu žurnāla ieraksts ierakstīšanas brīdī bija 2.1.318.
• GitHub problēmas, kas apraksta to pašu "User-Agent" noplūdi, datējamas ar 18. septembri, ar jūlija ziņojumu par injicētā konteksta bloku. Spriedums bija REVERT: adrese, ko modelis var redzēt, ir adrese, ko tas var nosūtīt.

Tulkotais transkripts

Tulkojums no oriģinālā angļu stāstījuma. Pieejamais audio un subtitri tiek kontrolēti no YouTube.

Kā pieteikšanās e-pasts nonāca Vikipēdijā un SEC?

0:00 Jūsu pieteikšanās e-pasts ir paredzēts pieteikšanās nolūkiem. Dažiem pieteiktiem Claude Code lietotājiem tas tika iekļauts arī pieprasījumu "User-Agent" uz tādām vietnēm kā Vikipēdija un SEC. Šajā video: kā tas tur nokļuva? Un vai labojums to aizver? Anthropic saka, ka tam vajadzēja to pamanīt agrāk. Tās pašu kļūdu izsekotājs satur datumu, cik agrāk, un es to nolasīšu pirms sprieduma. Ir piektdiena, sestais novembris, un šis ir The Daily Diff.

0:24 Claude Code ir Anthropic kodēšanas aģents. Tas nolasa jūsu projektu un izpilda komandas jūsu vietā, ieskaitot curl izsaukumus uz tīmekli. "User-Agent" ir rinda katrā tīmekļa pieprasījumā, kas nosauc zvanītāju programmu.

Kāpēc modelis zināja jūsu e-pastu?

0:35 Adrese tur nonāca ar nolūku. Lydia Hallie, kas strādā pie Claude Code, paskaidroja vietnē Hacker News, ka Claude pastāvīgi izdomāja nosaukumus tādām lietām kā autora tagi kodā, jo tas nezināja, kas jūs esat. Tāpēc Anthropic pievienoja konta e-pasta adresi modeļa kontekstam pieteiktiem lietotājiem. Ceturtdien izcēlās diskusija GitHub par "privātuma pārkāpumu "User-Agent" galvenē". Ziņotājs to vaino desmitos krāpniecisku e-pastu dienā, un nekas publiski nepierāda šo saikni. Tomēr nekas publisks nepierāda šo saikni.

1:02 Hacker News pavediens pārsniedza divpadsmit simtus punktu. Jūlija ziņojumā jau tika citēts injicētais teksts. Zem virsraksta "lietotāja e-pasts" ir norādīts lietotāja e-pasta adrese ir, pēc tam jūsu adrese. Šis ziņotājs arī pieķēra Claude, kas rakstīja adresi git pievienojumos, un GitHub push aizsardzība bloķēja push.

Kāpēc vietnes lūdz skriptiem e-pastu?

1:20 Dažas vietnes lūdz skriptus identificēties. Wikimedia politika nosaka, ka skriptiem jāizmanto informatīvs "User-Agent" ar kontaktinformāciju, vai arī tie var tikt bloķēti bez brīdinājuma. Vietne darbojas arī kā kontakts. SEC Edgar lapā ir paraug-galvene ar uzņēmuma nosaukumu un administratora e-pastu. Kad Claude Code raksta savu curl komandu Vikipēdijai, vietne vēlas kontaktpersonu, un vienīgā adrese tā kontekstā ir jūsu pieteikšanās e-pasts. Claude Code izstrādātājs to izskaidroja šādi vietnē Hacker News.

1:48 Claude acīmredzot mēdz nolemt, ka šī politika ir vērta, lai to ievērotu. Pēc lietotāju citātiem, tas pats konteksta bloks lika modelim nekad

Vai kaut kas neliedza to darīt?

1:56 nesūtīt šo adresi nesaistītam pakalpojumam, ne galvenē, ne URL, ne nosūtāmajā datu paketē. Vienā oktobra ziņojumā Claude apkopāja notikušo tālāk. Es to tik un tā nosūtīju. Un "User-Agent" nepazūd pēc pieprasījuma. Apache standarta apvienotais žurnāla formāts to ieraksta piekļuves žurnālā, blakus apmeklētāja IP adresei un laikam. Anthropic pirmā atbilde tika iekļauta versijā 3.17.

Ko privātuma modifikācija patiesībā bloķē?

2:19 Izmaiņu žurnālā tas tiek dēvēts par pārbaudi, kas jautā pirms tīmekļa vai čaulas rīka izsaukums nosūta jūsu konta e-pastu uz tīklu. Tas ir ieslēgts pēc noklusējuma. Bet stabilais kanāls joprojām ir uz 3.11, kurā tā nav. Tā avots kļuva publisks mazāk nekā divas stundas pēc problēmas atklāšanas. Tas piesaista čaulas rīkus, proti, Bash, PowerShell un Monitor. Ja komandā ir jūsu adrese un nosaukums "User-Agent", readme teikts, ka tā tiek atteikta, bez uzvednes.

2:44 Izmaiņu žurnālā teikts, ka tas jautā, darbinieka komentārā teikts, ka tas bloķē, un readme teikts, ka tas atsakās bez jautāšanas. Visas durvju sargam ir divas vārdu atbilstības, bez parsētāja, ar nolūku. Tad lietotāji to pārbaudīja.

Vai aizsargs "noķēra" testu?

2:56 Viens uz Mac un viens uz Windows izpildīja nekaitīgas komandas, echo uz nekurieni un curl uz dot invalid domēnu, kas nekad netiek atrisināts. Abi apgalvo, ka modifikācija tika ielādēta, un neviena komanda netika atteikta. Tie ir lietotāju ziņojumi; Anthropic tos nav apstiprinājis. Readme ir arī saraksts ar to, kas tiek cauri. Tīmekļa rīki, WebFetch un WebSearch, netiek pārbaudīti, kas ir dīvaini, ņemot vērā izmaiņu žurnālu, kas piemin tīmekļa izsaukumus. Netiek pārbaudīts arī skripts, kas satur jūsu adresi, vai vērtība, kas aprēķināta izpildes laikā.

3:25 Readme dēvē visu par pieklājības aktu, kas aptver vienu veidolu. Hallie saka, ka nākamais laidiens noņems konta e-pastu no tā, ko Claude Code

Kad tiks izlaists īstais labojums un ko darīt tagad?

3:32 dod modelim, un tam vajadzētu ierasties nākamās nedēļas sākumā. Izejošajam filtram ir jāatpazīst katrs maršruts. Ja adrese nekad netiek ievadīta, nav ko filtrēt. Šobrīd jaunākais izmaiņu žurnāla ieraksts joprojām ir 3.18. Ja izmantojat stabilo versiju, atjauniniet uz 3.17 vai jaunāku. Ja rakstāt "hook'us", Windows testētāja pagaidu risinājums pārbauda arī failu labojumus, tāpēc cieti kodēta adrese tiek "noķerta", pirms skripts tiek uzrakstīts. Un meklējiet savos sesiju stenogrammās savu e-pastu blakus "User-Agent".

Cik agrāk tas tika ziņots?

4:00 Tagad tas datums. Mums vajadzēja šo uzvedību pamanīt agrāk, rakstīja Hallie. Jūlija ziņojums jau brīdināja, ka jebkas kontekstā var noplūst izejošajos rīku izsaukumos. Un astoņpadsmitajā septembrī lietotājs iesniedza kļūdu ziņojumu ar nosaukumu: lietotāja e-pasts no konta metadatiem netīšām nosūtīts uz ārēju pakalpojumu "User-Agent" galvenē. Tas ir septiņas nedēļas pirms ceturtdienas pavediena, un bots to aptuveni minūtes laikā atzīmēja kā drošības jomu.

4:24 Līdz oktobra beigām vismaz četri citi jautājumi aprakstīja to pašu noplūdi, uz Vikipēdiju, SEC un spēļu wiki. Šodien visi pieci ir atvērti. Anthropic saka, ka viņi pamanīja, kad tas sāka izcelties Reddit. Pašatvainošanās bija ātra un vienkārša, to es viņiem piešķiršu. Ja vēlaties to lasīt, nevis dzirdēt manu teikto, "diff" nonāk jūsu iesūtnē katru rītu, bez maksas vietnē daily diff dot dev, saite zemāk. Tātad, šodienas spriedums: REVERT.

Vai e-pastam jāpaliek kontekstā?

4:48 Es atgrieztos pie konta e-pasta ievietošanas modeļa kontekstā, jo adrese, ko modelis var redzēt, ir adrese, ko tas var nosūtīt, un paša aizsarga readme teikts, ka tas aptver vienu formu. Abonējiet, nospiediet zvanu un komentāros pastāstiet, vai jūs būtu to apzīmogojis citādi. Un tas ir šodienas "diff". Esmu Niko no Axrisi. Apvienojiet atbildīgi.

Avoti

1. Bug report: privacy violation in User-Agent headerGitHub · anthropics/claude-code #107757
2. Claude Code staff explanation and planned removal of the account email from the model contextHacker News
3. Claude Code staff comment on site User-Agent policiesHacker News
4. Privacy mod readme and sourceGitHub · anthropics/claude-code
5. Changelog entry for 2.1.317GitHub · anthropics/claude-code
6. July report on the account email injected into the model contextGitHub · anthropics/claude-code #81138
7. September 18 report of the email sent in a User-Agent headerGitHub · anthropics/claude-code #95258
8. User-Agent PolicyWikimedia Foundation
9. Accessing EDGAR dataU.S. Securities and Exchange Commission
10. Log files: combined log formatApache HTTP Server documentation
11. Dario Amodei at TechCrunch Disrupt 2023 portrait, CC BY 2.0, identification onlyTechCrunch via Wikimedia Commons
12. Original Dario Amodei portrait at TechCrunch Disrupt 2023 — TechCrunch; CC BY 2.0; background removed, cropped and resized; identifies Anthropic only, no endorsement, quote or reactionTechCrunch on Flickr
13. Portrait license: Creative Commons Attribution 2.0Creative Commons; TechCrunch portrait credit above
14. UNO Draw 25 Cards template — brief transformed narrator commentary, no actual reaction by anyone shown or blanket reuse licenceImgflip
15. The Office (Michael Scott) GIF, official @theoffice upload, Peacock — brief transformed narrator commentary, no actual reaction by anyone shown or blanket reuse licence; public hosting does not certify legal clearanceThe Office on GIPHY