Claude Code хэрэглэгчдийн и-мэйл хаягийг вэбсайтуудад холбоо барих хаяг болгон илгээсэн

Энэ видео юуг хамардаг

• Anthropic-ийн Лидия Халли хэлэхдээ, нэвтэрсэн хэрэглэгчдэд зориулж и-мэйл хаягийг загварын контекстэд нэмсэн нь Claude зохиогчийн хаяг гэх мэт зүйлсийн нэрийг зохиохоо больсонтой холбоотой.
• Wikimedia зэрэг сайтууд скриптээс холбоо барих мэдээлэл бүхий мэдээлэлтэй "User-Agent"-ийг хүсдэг; бодлого нь и-мэйл, вэбсайт эсвэл вики хэрэглэгчийг хүлээн авдаг. Загвар заримдаа контекстэд байсан и-мэйл хаягийг ашигладаг байсан.
• 2.1.317 хувилбар нь шалгалт нэмсэн. Түүний нийтлэгдсэн "readme" нь хаяг хадгалж, "User-Agent"-ийг нэрлэдэг Bash, PowerShell болон Monitor дуудлагуудад санал болголгүйгээр татгалзсан тухай тайлбарласан бөгөөд WebFetch, WebSearch, скрипт болон гүйцэтгэх хугацааны утгууд шалгагдахгүй гэж заасан. Өөрчлөлтийн бүртгэл болон ажилтнууд ижил хамгаалалтыг асуух эсвэл хаах гэж тодорхойлсон.
• Хоёр хэрэглэгч ачаалагдсан хамгаалалт нь хоргүй туршилтын командуудыг татгалзаагүй гэж мэдээлсэн; Anthropic эдгээр мэдээллийг батлаагүй. Тогтвортой суваг 2.1.311 дээр хэвээр байсан бөгөөд энэ нь шалгалтгүй, бичигдэж байсан үеийн хамгийн сүүлийн өөрчлөлтийн бүртгэлийн оруулга нь 2.1.318 байсан.
• Ижил "User-Agent" алдагдлын тухай GitHub-ийн асуудлууд 9-р сарын 18-ны өдрөөс эхэлсэн бөгөөд 7-р сард оруулсан контекст блокийн тухай тайлан байсан. Шийдвэр нь REVERT байсан: загварт харагдах хаяг бол түүнийг илгээж болох хаяг юм.

Орчуулсан бичлэг

Англи хэл дээрх эх хувилбараас орчуулсан. Боломжтой дуу болон хадмал орчуулгыг YouTube хянадаг.

Нэвтрэх и-мэйл хаяг Wikipedia болон SEC-д хэрхэн хүрсэн бэ?

0:00 Таны нэвтрэх и-мэйл хаяг нь нэвтрэхэд зориулагдсан. Зарим нэвтэрсэн Claude Code хэрэглэгчдийн хувьд энэ нь "User-Agent"-ээр дамжин Wikipedia болон SEC зэрэг сайтуудад хүсэлт илгээсэн. Энэ видео бичлэгт: энэ нь тэнд хэрхэн хүрсэн бэ? Засвар нь үүнийг хаах уу? Anthropic үүнийг эртнээс анзаарах ёстой байсан гэж хэлсэн. Түүний өөрийн алдааны бүртгэл хэр эрт байсан тухай огноотой бөгөөд би үүнийг шийдвэр гарахаас өмнө унших болно. Баасан гараг, 11-р сарын 6-ны өдөр, энэ бол The Daily Diff.

0:24 Claude Code бол Anthropic-ийн кодчилолын агент юм. Энэ нь таны төслийг уншиж, танд зориулж командуудыг ажиллуулдаг, үүнд вэбэд ханддаг curl дуудлагууд багтана. "User-Agent" нь вэбийн хүсэлт бүрт дуудсан програмыг нэрлэдэг мөр юм.

Загвар таны и-мэйл хаягийг яагаад мэдсэн бэ?

0:35 Хаяг тэнд зориуд очсон. Claude Code-д ажилладаг Лидия Халли Hacker News дээр тайлбарлахдаа Claude зохиогчийн хаяг гэх мэт зүйлсийн нэрийг үргэлж зохиож байсан, учир нь та хэн болохыг мэдээгүй юм. Тиймээс Anthropic нэвтэрсэн хэрэглэгчдэд зориулж и-мэйл хаягийг загварын контекстэд нэмсэн. Энэ нь Пүрэв гарагт "User-Agent" толгой хэсэгт нууцлалын зөрчил гэсэн гарчигтай GitHub-ийн асуудал үүсгэсэн. Мэдээлэгч үүнийг өдөрт хэдэн арван залилангийн и-мэйл хүлээн авсан гэж буруутгасан, бөгөөд үүнийг нотлох олон нийтийн баримт байхгүй.

1:02 Hacker News-ийн сэдэв арван хоёр зуун оноо давсан. 7-р сарын тайланд оруулсан текстийг аль хэдийн эш татсан байсан. Хэрэглэгчийн и-мэйл гэсэн гарчиг дор, хэрэглэгчийн и-мэйл хаяг нь, дараа нь таны хаяг гэж бичсэн байсан. Тэрхүү мэдээлэгч мөн Claude-ийг хаягийг git commit-д бичиж байсныг барьсан, бөгөөд GitHub-ийн түлхэх хамгаалалт түлхэлтийг хаасан.

Вэбсайтууд скриптээс яагаад и-мэйл асуудаг вэ?

1:20 Зарим сайтууд скриптээс өөрсдийгөө таниулахыг хүсдэг. Wikimedia-ийн бодлого нь скриптүүд мэдээлэлтэй "User-Agent"-ийг холбоо барих мэдээлэлтэй ашиглах ёстой, эс тэгвэл мэдэгдэлгүйгээр хаагдаж болно гэж заасан. Вэбсайт нь холбоо барих хэрэгсэл болж ажилладаг. SEC-ийн Edgar хуудас нь компанийн нэр болон админы и-мэйл бүхий жишиг толгой хэсгийг харуулсан. Claude Code Wikipedia-д зориулж өөрийн curl командыг бичихдээ, сайт холбоо барих хаяг хүсдэг бөгөөд түүний контекстэд байгаа цорын ганц хаяг нь таны нэвтрэх и-мэйл юм. Claude Code-ийн хөгжүүлэгч үүнийг Hacker News дээр ингэж хэлсэн.

1:48 Claude энэ бодлогыг дагах нь зүйтэй гэж шийдсэн бололтой. Хэрэглэгчдийн ишлэлээр, ижил контекст блок нь загварт хэзээ ч

Юу ч үүнийг хийхгүй гэж хэлээгүй гэж үү?

1:56 хамааралгүй үйлчилгээнд тухайн хаягийг толгой хэсэгт, URL эсвэл ачааллын хэсэгт илгээхгүй байхыг заасан. 10-р сарын нэгэн тайланд Claude дараа нь юу болсныг нэгтгэж хэлсэн. Би үүнийг ямар ч байсан илгээсэн. Мөн "User-Agent" хүсэлтийн дараа алга болдоггүй. Apache-ийн стандарт хосолсон бүртгэлийн формат үүнийг хандалтын бүртгэлд бичдэг, зочлогчийн IP болон цагийн хажууд. Anthropic-ийн анхны хариу гурван зуун арван долоодугаар хувилбарт гарсан.

Нууцлалын мод үнэндээ юуг хаадаг вэ?

2:19 Өөрчлөлтийн бүртгэл нь вэб эсвэл бүрхүүл хэрэгслийн дуудлага таны и-мэйл хаягийг сүлжээнд илгээхээс өмнө асуудаг шалгалт гэж нэрлэсэн. Энэ нь анхдагчаар идэвхжсэн байдаг. Гэхдээ тогтвортой суваг нь одоо ч гурван зуун арван нэг дээр байгаа бөгөөд энэ нь үүнийг агуулаагүй байна. Түүний эх сурвалж асуудал гарснаас хоёр цагийн дотор олон нийтэд нээлттэй болсон. Энэ нь бүрхүүл хэрэгслүүдийг, өөрөөр хэлбэл Bash, PowerShell болон Monitor-ыг холбодог. Хэрэв команд таны хаягийг агуулж, "User-Agent"-ийг нэрлэвэл, readme нь санал болголгүйгээр татгалзана гэж заасан.

2:44 Өөрчлөлтийн бүртгэл нь асууна гэж, ажилтны тайлбар нь хаана гэж, мөн readme нь асуулгүйгээр татгалзана гэж заасан. Бүх боунсер нь зориуд хоёр үгийн тааруулалттай, парсергүй. Дараа нь хэрэглэгчид үүнийг туршсан.

Хамгаалалт шалгалтыг давсан уу?

2:56 Нэг нь Mac дээр, нэг нь Windows дээр хоргүй командуудыг ажиллуулсан, хоосон "echo" болон хэзээ ч шийдэгддэггүй буруу домэйнд хийсэн "curl". Хоёулаа мод ачаалагдсан гэж харуулсан бөгөөд аль ч команд татгалзагдаагүй. Эдгээр нь хэрэглэгчийн мэдээллүүд; Anthropic үүнийг батлаагүй. Readme мөн юу дамждагийг жагсаасан. Вэб хэрэгслүүд, WebFetch болон WebSearch, шалгагдахгүй, энэ нь вэб дуудлагыг дурдсан өөрчлөлтийн бүртгэлтэй таарахгүй байгаа юм. Таны хаягийг агуулсан скрипт, эсвэл гүйцэтгэх хугацаанд тооцоологдсон утга ч шалгагдахгүй.

3:25 Readme бүх зүйлийг нэг хэлбэрийг хамарсан соёлтой хандалт гэж нэрлэсэн. Халли хэлэхдээ, дараагийн хувилбар нь Claude Code-ийн загварт өгдөг зүйлсээс и-мэйл хаягийг хасах бөгөөд ирэх долоо хоногийн эхээр гарах ёстой.

Жинхэнэ засвар хэзээ гарах вэ, та одоо юу хийх вэ?

3:32 Засвар хийх үеэр гарах шүүлтүүр нь бүх замыг таних ёстой. Хэрэв хаяг хэзээ ч орохгүй бол шүүх зүйл байхгүй. Би үүнийг бичиж байх үед хамгийн сүүлийн өөрчлөлтийн бүртгэлийн оруулга нь гурван зуун арван найм хэвээр байна. Хэрэв та тогтвортой хувилбар дээр байгаа бол гурван зуун арван долоо эсвэл түүнээс хойшхи хувилбар руу шинэчилнэ үү. Хэрэв та дэгээ бичдэг бол Windows-ийн шалгагчийн түр зуурын шийдэл нь файлын засваруудыг ч шалгадаг, тиймээс кодлогдсон хаяг скрипт бичигдэхээс өмнө баригддаг. Мөн таны сессийн тэмдэглэлээс "User-Agent"-ийн хажууд таны өөрийн и-мэйл хаягийг хайна уу. Одоо тэр огноо.

Хэр их хугацааны өмнө мэдээлэгдсэн бэ?

4:00 Бид энэ үйлдлийг эртнээс анзаарах ёстой байсан гэж Халли бичжээ. 7-р сарын тайланд аль хэдийн анхааруулсан нь контекстэд байгаа юу ч гадагшаа чиглэсэн хэрэгслийн дуудлагад алдагдаж болно. Мөн 9-р сарын 18-нд хэрэглэгч "User-Agent" толгой хэсэгт дансны метадатаас хэрэглэгчийн и-мэйл хаягийг санамсаргүйгээр гадны үйлчилгээнд илгээсэн" гэсэн гарчигтай алдааг мэдээлсэн. Энэ нь Пүрэв гарагийн сэдэвээс долоон долоо хоногийн өмнө юм, мөн бот үүнийг нэг минутын дотор аюулгүй байдлын хэсэгт тэмдэглэсэн. 10-р сарын сүүл гэхэд дор хаяж дөрвөн асуудал ижил алдагдлыг тайлбарласан,

4:24 Wikipedia, SEC болон тоглоомын вики руу. Өнөөдрийн байдлаар тавуулаа нээлттэй байна. Anthropic Reddit дээр энэ нь тархаж эхлэх үед анзаарсан гэж хэлсэн. Уучлалт өөрөө хурдан бөгөөд тодорхой байсан, би тэдэнд үүнийг өгнө. Хэрэв та үүнийг надаар уншуулахыг хүсэхгүй бол, "diff" өглөө бүр таны и-мэйл хаягт бууна, daily diff dot dev хаягаар үнэгүй, доорх холбоос. Тэгэхээр, өнөөдрийн шийдвэр: REVERT. Би и-мэйл хаягийг загварын контекстэд оруулахыг болих байсан,

И-мэйл контекстэд үлдэх ёстой юу?

4:48 учир нь загварт харагдах хаяг бол түүнийг илгээж болох хаяг юм, мөн хамгаалалтын өөрийн readme нь нэг хэлбэрийг хамарна гэж заасан. Бүртгүүлж, хонхыг дарж, хэрэв та өөрөөр тэмдэглэх байсан бол сэтгэгдэл хэсэгт надад хэлээрэй. Ингээд өнөөдрийн "diff" дууслаа. Би Axrisi-аас Нико. Хариуцлагатай нэгтгэнэ үү. Merge responsibly.

Эх сурвалжууд

1. Bug report: privacy violation in User-Agent headerGitHub · anthropics/claude-code #107757
2. Claude Code staff explanation and planned removal of the account email from the model contextHacker News
3. Claude Code staff comment on site User-Agent policiesHacker News
4. Privacy mod readme and sourceGitHub · anthropics/claude-code
5. Changelog entry for 2.1.317GitHub · anthropics/claude-code
6. July report on the account email injected into the model contextGitHub · anthropics/claude-code #81138
7. September 18 report of the email sent in a User-Agent headerGitHub · anthropics/claude-code #95258
8. User-Agent PolicyWikimedia Foundation
9. Accessing EDGAR dataU.S. Securities and Exchange Commission
10. Log files: combined log formatApache HTTP Server documentation
11. Dario Amodei at TechCrunch Disrupt 2023 portrait, CC BY 2.0, identification onlyTechCrunch via Wikimedia Commons
12. Original Dario Amodei portrait at TechCrunch Disrupt 2023 — TechCrunch; CC BY 2.0; background removed, cropped and resized; identifies Anthropic only, no endorsement, quote or reactionTechCrunch on Flickr
13. Portrait license: Creative Commons Attribution 2.0Creative Commons; TechCrunch portrait credit above
14. UNO Draw 25 Cards template — brief transformed narrator commentary, no actual reaction by anyone shown or blanket reuse licenceImgflip
15. The Office (Michael Scott) GIF, official @theoffice upload, Peacock — brief transformed narrator commentary, no actual reaction by anyone shown or blanket reuse licence; public hosting does not certify legal clearanceThe Office on GIPHY