Codul Claude a trimis e-mailurile utilizatorilor către site-uri web ca adresă de contact

Ce acoperă acest videoclip

• Lydia Hallie de la Anthropic a declarat că adresa de e-mail a contului a fost adăugată în contextul modelului pentru utilizatorii autentificați, deoarece Claude inventa nume pentru lucruri precum etichetele @author fără aceasta.
• Site-uri precum Wikimedia cer scripturilor un User-Agent informativ cu informații de contact; politica acceptă un e-mail, un site web sau un utilizator wiki. Modelul a folosit uneori adresa de e-mail a contului pe care o avea în context.
• Versiunea 2.1.317 a adăugat o verificare. Descrierea sa publicată a refuzului fără prompt pentru apelurile Bash, PowerShell și Monitor care conțin adresa și numesc un User-Agent, și spune că WebFetch, WebSearch, scripturile și valorile de rulare nu sunt verificate. Changelog-ul și personalul descriu aceeași protecție ca fiind o cerere sau o blocare.
• Doi utilizatori au raportat că protecția încărcată nu a refuzat comenzile de testare inofensive; Anthropic nu a confirmat aceste rapoarte. Canalul stabil era încă pe 2.1.311, care nu are verificarea, iar cea mai nouă intrare în changelog la momentul înregistrării era 2.1.318.
• Problemele GitHub care descriu aceeași scurgere de User-Agent datează din 18 septembrie, cu un raport din iulie despre blocul de context injectat. Verdictul a fost REVERT: o adresă pe care modelul o poate vedea este o adresă pe care o poate trimite.

Transcrierea tradusă

Tradus din narațiunea originală în engleză. Audio-ul și subtitrările disponibile sunt controlate de YouTube.

Cum a ajuns un e-mail de autentificare la Wikipedia și SEC?

0:00 E-mailul tău de autentificare este pentru conectare. Pentru unii utilizatori Claude Code autentificați, a fost inclus și în User-Agent al solicitărilor către site-uri precum Wikipedia și SEC. În acest videoclip: cum a ajuns acolo? Și oare rezolvarea o închide? Anthropic spune că ar fi trebuit să observe acest lucru mai devreme. Propriul său sistem de urmărire a erorilor are o dată pentru cât de devreme, și o voi citi înainte de verdict. Este vineri, 6 noiembrie, și acesta este The Daily Diff.

0:24 Claude Code este agentul de codare al Anthropic. Îți citește proiectul și rulează comenzi pentru tine, inclusiv apeluri curl către web. Un User-Agent este linia din fiecare cerere web care denumește programul apelant.

De ce știa modelul adresa ta de e-mail?

0:35 Adresa a ajuns acolo cu un scop. Lydia Hallie, care lucrează la Claude Code, a explicat pe Hacker News că Claude continua să inventeze nume pentru lucruri precum etichetele de autor în cod, pentru că nu știa cine erai. Așadar, Anthropic a adăugat adresa de e-mail a contului în contextul modelului pentru utilizatorii autentificați. A explodat joi cu o problemă pe GitHub intitulată încălcare a confidențialității în antetul User-Agent. Reporterul o acuză de zeci de e-mailuri spam pe zi, și nimic public nu demonstrează această legătură.

1:02 Discuția de pe Hacker News a depășit douăsprezece sute de puncte. Un raport din iulie cita deja textul injectat. Sub un titlu numit e-mailul utilizatorului, scrie că adresa de e-mail a utilizatorului este, apoi adresa ta. Acel reporter a prins-o și pe Claude scriind adresa în git commits, iar protecția de push a GitHub a blocat push-ul.

De ce cer site-urile web scripturilor un e-mail?

1:20 Unele site-uri cer scripturilor să se identifice. Politica Wikimedia spune că scripturile ar trebui să utilizeze un User-Agent informativ cu informații de contact, sau pot fi blocate fără notificare. Un site web funcționează și ca o metodă de contact. Pagina Edgar a SEC arată un exemplu de antet cu un nume de companie și un e-mail de administrator. Când Claude Code scrie propria comandă curl pentru Wikipedia, site-ul dorește un contact, iar singura adresă din contextul său este e-mailul tău de conectare. Un dezvoltator Claude Code a exprimat acest lucru pe Hacker News.

1:48 Claude aparent tinde să decidă că această politică merită urmată. Potrivit utilizatorilor care o citează, același bloc de context a spus modelului să nu trimită niciodată

Nu i-a spus nimic să nu facă asta?

1:56 acea adresă către un serviciu fără legătură, într-un antet, o adresă URL sau o sarcină utilă. Într-un raport din octombrie, Claude a rezumat ce s-a întâmplat apoi. Am trimis-o oricum. Iar un User-Agent nu dispare după solicitare. Formatul de jurnal combinat standard Apache îl scrie în jurnalul de acces, lângă IP-ul vizitatorului și oră. Primul răspuns al Anthropic a fost livrat în versiunea 3.17.

Ce blochează de fapt modul de confidențialitate?

2:19 Changelog-ul îl numește o verificare care întreabă înainte ca un apel web sau de instrument shell să trimită e-mailul contului tău către rețea. Este activat implicit. Dar canalul stabil este încă pe 3.11, care nu îl are. Sursa sa a devenit publică la mai puțin de două ore după problemă. A conectat instrumentele shell, adică Bash, PowerShell și Monitor. Dacă o comandă deține adresa ta și denumește un User-Agent, readme-ul spune că este refuzată, fără prompt.

2:44 Changelog-ul spune că întreabă, un comentariu al personalului spune că blochează, și readme-ul spune că refuză fără să întrebe. Întregul sistem de verificare este format din două potriviri de cuvinte, fără parser, în mod intenționat. Apoi utilizatorii l-au testat.

A prins garda testul?

2:56 Unul pe Mac și unul pe Windows au rulat comenzi inofensive, un echo în neant și un curl către un domeniu .invalid care nu se rezolvă niciodată. Ambele spun că modul a apărut ca fiind încărcat, și niciuna dintre comenzi nu a fost refuzată. Acestea sunt rapoarte de utilizatori; Anthropic nu le-a confirmat. Readme-ul listează și ce trece. Instrumentele web, WebFetch și WebSearch, nu sunt verificate, ceea ce nu se potrivește cu un changelog care menționează apeluri web. Nici un script care deține adresa ta, sau o valoare calculată la rulare.

3:25 Readme-ul numește întregul lucru o curtoazie care acoperă o singură formă. Hallie spune că următoarea versiune va elimina adresa de e-mail a contului din ceea ce Claude Code

Când se lansează soluția reală și ce faci acum?

3:32 oferă modelului și ar trebui să sosească la începutul săptămânii viitoare. Un filtru la ieșire trebuie să recunoască fiecare rută. Dacă adresa nu intră niciodată, nu este nimic de filtrat. În timp ce înregistrez, cea mai nouă intrare în changelog este încă 3.18. Dacă ești pe canalul stabil, actualizează la 3.17 sau o versiune ulterioară. Dacă scrii hook-uri, soluția provizorie a testerului Windows verifică și modificările de fișiere, astfel încât o adresă hardcodată este detectată înainte ca scriptul să fie scris. Și caută în transcrierile sesiunii tale propriul e-mail lângă un User-Agent.

Cât de devreme a fost raportat?

4:00 Acum acea dată. Ar fi trebuit să observăm acest comportament mai devreme, a scris Hallie. Raportul din iulie avertiza deja că orice în context ar putea ajunge în apelurile de instrumente externe. Și pe 18 septembrie, un utilizator a depus o eroare intitulată, e-mailul utilizatorului din metadatele contului trimis din greșeală către un serviciu extern în antetul User-Agent. Asta e cu șapte săptămâni înainte de discuția de joi, și un bot a etichetat-o ca zonă de securitate în aproximativ un minut.

4:24 Până la sfârșitul lunii octombrie, cel puțin patru alte probleme descriau aceeași scurgere, către Wikipedia, SEC și un wiki de jocuri. Începând de astăzi, toate cinci sunt deschise. Anthropic spune că a observat când acest lucru a început să apară pe Reddit. Scuzele în sine au fost rapide și simple, le recunosc asta. Dacă preferi să citești asta decât să mă auzi spunând-o, diff-ul ajunge în căsuța ta poștală în fiecare dimineață, gratuit la thedailydiff.dev, link mai jos. Așadar, verdictul de astăzi: REVERT.

Ar trebui ca e-mailul să rămână în context?

4:48 Aș anula plasarea adresei de e-mail a contului în contextul modelului, pentru că o adresă pe care modelul o poate vedea este o adresă pe care o poate trimite, și propriul readme al gardei spune că acoperă o singură formă. Abonați-vă, apăsați clopoțelul și spuneți-mi în comentarii dacă ați fi marcat-o diferit. Și acesta este diff-ul pentru astăzi. Sunt Niko de la Axrisi. Fuzionați responsabil.

Surse

1. Bug report: privacy violation in User-Agent headerGitHub · anthropics/claude-code #107757
2. Claude Code staff explanation and planned removal of the account email from the model contextHacker News
3. Claude Code staff comment on site User-Agent policiesHacker News
4. Privacy mod readme and sourceGitHub · anthropics/claude-code
5. Changelog entry for 2.1.317GitHub · anthropics/claude-code
6. July report on the account email injected into the model contextGitHub · anthropics/claude-code #81138
7. September 18 report of the email sent in a User-Agent headerGitHub · anthropics/claude-code #95258
8. User-Agent PolicyWikimedia Foundation
9. Accessing EDGAR dataU.S. Securities and Exchange Commission
10. Log files: combined log formatApache HTTP Server documentation
11. Dario Amodei at TechCrunch Disrupt 2023 portrait, CC BY 2.0, identification onlyTechCrunch via Wikimedia Commons
12. Original Dario Amodei portrait at TechCrunch Disrupt 2023 — TechCrunch; CC BY 2.0; background removed, cropped and resized; identifies Anthropic only, no endorsement, quote or reactionTechCrunch on Flickr
13. Portrait license: Creative Commons Attribution 2.0Creative Commons; TechCrunch portrait credit above
14. UNO Draw 25 Cards template — brief transformed narrator commentary, no actual reaction by anyone shown or blanket reuse licenceImgflip
15. The Office (Michael Scott) GIF, official @theoffice upload, Peacock — brief transformed narrator commentary, no actual reaction by anyone shown or blanket reuse licence; public hosting does not certify legal clearanceThe Office on GIPHY