Claude Code sendte brukernes e-poster til nettsteder som kontaktadresse

Hva denne videoen dekker

• Anthropic's Lydia Hallie sa at kontoens e-post ble lagt til modellens kontekst for påloggede brukere fordi Claude diktet opp navn for ting som @author-koder uten den.
• Nettsteder som Wikimedia ber skript om en informativ User-Agent med kontaktinformasjon; retningslinjene godtar en e-post, et nettsted eller en wiki-bruker. Modellen brukte noen ganger kontoens e-post den hadde i kontekst.
• Versjon 2.1.317 la til en sjekk. Den publiserte readme beskriver en nektelse uten spørsmål for Bash-, PowerShell- og Monitor-kall som inneholder adressen og navngir en User-Agent, og sier at WebFetch, WebSearch, skript og kjøretidsverdier ikke blir sjekket. Endringsloggen og personalet beskriver den samme beskyttelsen som spørrende eller blokkerende.
• To brukere rapporterte at den innlastede beskyttelsen ikke nektet ufarlige testkommandoer; Anthropic hadde ikke bekreftet disse rapportene. Den stabile kanalen var fortsatt på 2.1.311, som mangler sjekken, og den nyeste endringsloggposten ved opptak var 2.1.318.
• GitHub-problemer som beskriver den samme User-Agent-lekkasjen dateres fra 18. september, med en rapport fra juli om den injiserte kontekstblokken. Dommen var REVERT: en adresse modellen kan se er en adresse den kan sende.

Oversatt transkripsjon

Oversatt fra den originale engelske fortellingen. Tilgjengelig lyd og undertekster kontrolleres av YouTube.

Hvordan kom en innloggings-e-post til Wikipedia og SEC?

0:00 Din innloggings-e-post er for innlogging. For noen påloggede Claude Code-brukere, fulgte den også med i User-Agent-headeren til forespørsler til nettsteder som Wikipedia og SEC. I denne videoen: hvordan kom den dit? Og lukker løsningen den? Anthropic sier de burde ha fanget dette tidligere. Deres egen feilsporing har en dato for hvor mye tidligere, og jeg vil lese den før dommen. Det er fredag 6. november, og dette er The Daily Diff.

0:24 Claude Code er Anthropic sin kodeagent. Den leser prosjektet ditt og kjører kommandoer for deg, inkludert curl-kall til nettet. En User-Agent er linjen i hver nettforespørsel som navngir programmet som kaller.

Hvorfor visste modellen e-posten din?

0:35 Adressen kom dit med vilje. Lydia Hallie, som jobber med Claude Code, forklarte på Hacker News at Claude fortsatte å dikte opp navn for ting som forfatterkoder i kode, fordi den ikke visste hvem du var. Så Anthropic la til kontoens e-postadresse i modellens kontekst for påloggede brukere. Det eksploderte på torsdag med et GitHub-problem med tittelen personvernbrudd i User-Agent-headeren. Reporteren beskylder det for dusinvis av svindel-e-poster om dagen, og ingenting offentlig beviser den koblingen.

1:02 Hacker News-tråden passerte tolv hundre poeng. En rapport fra juli siterte allerede den injiserte teksten. Under en overskrift kalt bruker-e-post, står det at brukerens e-postadresse er, deretter din adresse. Den reporteren fanget også Claude i å skrive adressen inn i git-commits, og GitHubs push-beskyttelse blokkerte pushen.

Hvorfor ber nettsteder skript om en e-post?

1:20 Noen nettsteder ber skript om å identifisere seg. Wikimedia's retningslinjer sier at skript bør bruke en informativ User-Agent med kontaktinformasjon, ellers kan de bli blokkert uten varsel. Et nettsted fungerer også som en kontakt. SECs Edgar-side viser en prøveheader med et firmanavn og en admin e-post. Når Claude Code skriver sin egen curl-kommando for Wikipedia, vil nettstedet ha en kontakt, og den eneste adressen i konteksten er din innloggings- e-post. En Claude Code-utvikler sa det slik på Hacker News.

1:48 Claude ser ut til å bestemme seg for at denne retningslinjen er verdt å følge. Ifølge brukere som siterer det, fortalte den samme kontekstblokken modellen aldri å

Sa ikke noe til den at den ikke skulle?

1:56 sende den adressen til en urelatert tjeneste, i en header, en URL eller en payload. I en rapport fra oktober oppsummerte Claude hva som skjedde deretter. Jeg sendte den uansett. Og en User-Agent forsvinner ikke etter forespørselen. Apache's standard kombinerte loggformat skriver det inn i tilgangsloggen, ved siden av besøkendes IP og tidspunktet. Anthropic's første svar ble sendt i versjon tre-sytten.

Hva blokkerer personvernmodulen egentlig?

2:19 Endringsloggen kaller det en sjekk som spør før et web- eller skallverktøykall sender din konto-e-post til nettverket. Den er på som standard. Men den stabile kanalen er fortsatt på tre-elleve, som ikke har den. Kilden ble offentlig mindre enn to timer etter problemet. Den kobler til skallverktøyene, som betyr Bash, PowerShell og Monitor. Hvis en kommando inneholder adressen din og navngir en User-Agent, sier readme at den blir nektet, uten spørsmål.

2:44 Endringsloggen sier den spør, en ansattkommentar sier den blokkerer, og readme sier den nekter uten å spørre. Hele dørvakten er to ords-samsvar, uten parser, med vilje. Deretter testet brukerne den.

Fanget beskyttelsen testen?

2:56 En på en Mac og en på Windows kjørte ufarlige kommandoer, en echo ut i intet og en curl til et ugyldig domene som aldri løser seg. Begge sier at moden ble vist som lastet, og ingen av kommandoene ble nektet. Dette er brukerrapporter; Anthropic har ikke bekreftet dem. Readme lister også opp hva som slipper gjennom. Nettverktøyene, WebFetch og WebSearch, blir ikke sjekket, som er en merkelig match med en endringslogg som nevner webkall. Heller ikke et skript som inneholder adressen din, eller en verdi beregnet ved kjøretid.

3:25 Readme kaller det hele en høflighet som dekker én form. Hallie sier at neste utgivelse fjerner kontoens e-post fra det Claude Code

Når kommer den virkelige løsningen, og hva gjør du nå?

3:32 gir modellen, og skal komme tidlig neste uke. Et filter på vei ut må gjenkjenne hver rute. Hvis adressen aldri går inn, er det ingenting å filtrere. Mens jeg spiller inn dette, er den nyeste endringsloggposten fortsatt tre-atten. Hvis du er på stabil, oppdater til tre-sytten eller nyere. Hvis du skriver hooks, sjekker Windows-testeren sin midlertidige løsning også filredigeringer, slik at en hardkodet adresse blir fanget før skriptet skrives. Og søk i øktoppskriftene dine etter din egen e-post ved siden av en User-Agent.

Hvor mye tidligere ble det rapportert?

4:00 Nå den datoen. Vi burde ha fanget denne oppførselen tidligere, skrev Hallie. Juli-rapporten advarte allerede om at alt i kontekst kunne lekke inn i utgående verktøy-kall. Og den attende september sendte en bruker inn en feil med tittelen, bruker-e-post fra kontometa-data utilsiktet sendt til ekstern tjeneste i User-Agent-header. Det er syv uker før torsdagens tråd, og en bot tagget det som områdesikkerhet innen omtrent et minutt.

4:24 Innen slutten av oktober beskrev minst fire flere problemer den samme lekkasjen, til Wikipedia, SEC og en spill-wiki. Per i dag er alle fem åpne. Anthropic sier de la merke til når dette begynte å poppe opp på Reddit. Apologien i seg selv var rask og enkel, det skal de ha. Hvis du heller vil lese dette enn å høre meg si det, lander diffen i innboksen din hver morgen, gratis på the daily diff dot dev, lenke nedenfor. Så, dagens dom: REVERT.

Bør e-posten forbli i konteksten?

4:48 Jeg ville tilbakestille å legge kontoens e-post i modellens kontekst, fordi en adresse modellen kan se er en adresse den kan sende, og beskyttelsens egen readme sier den dekker én form. Abonner, trykk på bjellen, og fortell meg i kommentarene om du ville ha stemplet det annerledes. Og det er diffen for i dag. Jeg er Niko fra Axrisi. Flett ansvarlig.

Kilder

1. Bug report: privacy violation in User-Agent headerGitHub · anthropics/claude-code #107757
2. Claude Code staff explanation and planned removal of the account email from the model contextHacker News
3. Claude Code staff comment on site User-Agent policiesHacker News
4. Privacy mod readme and sourceGitHub · anthropics/claude-code
5. Changelog entry for 2.1.317GitHub · anthropics/claude-code
6. July report on the account email injected into the model contextGitHub · anthropics/claude-code #81138
7. September 18 report of the email sent in a User-Agent headerGitHub · anthropics/claude-code #95258
8. User-Agent PolicyWikimedia Foundation
9. Accessing EDGAR dataU.S. Securities and Exchange Commission
10. Log files: combined log formatApache HTTP Server documentation
11. Dario Amodei at TechCrunch Disrupt 2023 portrait, CC BY 2.0, identification onlyTechCrunch via Wikimedia Commons
12. Original Dario Amodei portrait at TechCrunch Disrupt 2023 — TechCrunch; CC BY 2.0; background removed, cropped and resized; identifies Anthropic only, no endorsement, quote or reactionTechCrunch on Flickr
13. Portrait license: Creative Commons Attribution 2.0Creative Commons; TechCrunch portrait credit above
14. UNO Draw 25 Cards template — brief transformed narrator commentary, no actual reaction by anyone shown or blanket reuse licenceImgflip
15. The Office (Michael Scott) GIF, official @theoffice upload, Peacock — brief transformed narrator commentary, no actual reaction by anyone shown or blanket reuse licence; public hosting does not certify legal clearanceThe Office on GIPHY