Claude Code отправлял электронные письма пользователей на веб-сайты в качестве контактного адреса

Что освещается в этом видео

• Лидия Холли из Anthropic заявила, что адрес электронной почты учетной записи был добавлен в контекст модели для вошедших в систему пользователей, потому что Claude без него придумывал имена для таких вещей, как теги @author.
• Сайты, такие как Wikimedia, запрашивают у скриптов информативный User-Agent с контактной информацией; политика принимает адрес электронной почты, веб-сайт или пользователя вики. Модель иногда использовала адрес электронной почты учетной записи, который она имела в контексте.
• Версия 2.1.317 добавила проверку. Опубликованный readme описывает отказ без запроса для вызовов Bash, PowerShell и Monitor, которые содержат адрес и имя User-Agent, и говорит, что WebFetch, WebSearch, скрипты и значения времени выполнения не проверяются. Журнал изменений и сотрудники описывают ту же защиту как запрашивающую или блокирующую.
• Два пользователя сообщили, что загруженная защита не отклоняла безобидные тестовые команды; Anthropic не подтвердила эти сообщения. Стабильный канал все еще был на 2.1.311, у которого нет проверки, а самая новая запись в журнале изменений на момент записи была 2.1.318.
• Проблемы GitHub, описывающие ту же утечку User-Agent, датируются 18 сентября, с отчетом от июля о внедренном блоке контекста. Вердикт был REVERT: адрес, который модель может видеть, это адрес, который она может отправить.

Переведенная стенограмма

Переведено с оригинального английского повествования. Доступные аудио и субтитры контролируются YouTube.

Как электронное письмо для входа попало в Википедию и SEC?

0:00 Ваш логин используется для входа в систему. Для некоторых вошедших в систему пользователей Claude Code он также передавался в User-Agent запросов к таким сайтам, как Wikipedia и SEC. В этом видео: как это туда попало? И исправляет ли это исправление? Anthropic говорит, что это должно было быть замечено раньше. В их собственном трекере ошибок есть дата, насколько раньше, и я прочитаю ее до вердикта. Сегодня пятница, шестое ноября, и это The Daily Diff.

0:24 Claude Code — это агент кодирования Anthropic. Он читает ваш проект и запускает команды для вас, включая вызовы curl к сети. User-Agent — это строка в каждом веб-запросе, которая называет вызывающую программу.

Почему модель знала ваш адрес электронной почты?

0:35 Адрес попал туда намеренно. Лидия Холли, которая работает над Claude Code, объяснила на Hacker News, что Claude продолжал придумывать имена для таких вещей, как теги автора в коде, потому что он не знал, кто вы. Поэтому Anthropic добавил адрес электронной почты учетной записи в контекст модели для вошедших в систему пользователей. Это взорвалось в четверг с проблемой GitHub под названием «нарушение конфиденциальности в заголовке User-Agent». Репортер обвиняет его в десятках мошеннических электронных писем в день, и ничто публичное не доказывает эту связь.

1:02 Ветка Hacker News набрала более двенадцатисот очков. В отчете от июля уже цитировался внедренный текст. Под заголовком «Электронная почта пользователя» говорится, что адрес электронной почты пользователя — это затем ваш адрес. Этот репортер также поймал Claude, записывающего адрес в коммиты git, и защита от отправки GitHub заблокировала отправку.

Почему веб-сайты запрашивают у скриптов адрес электронной почты?

1:20 Некоторые сайты просят скрипты идентифицировать себя. Политика Wikimedia гласит, что скрипты должны использовать информативный User-Agent с контактной информацией, иначе они могут быть заблокированы без уведомления. Веб-сайт тоже работает как контакт. Страница SEC Edgar показывает пример заголовка с названием компании и электронным адресом администратора. Когда Claude Code пишет свою собственную команду curl для Wikipedia, сайт хочет контакт, а единственный адрес в его контексте — это ваш логин электронная почта. Разработчик Claude Code выразил это так на Hacker News.

1:48 Claude, по-видимому, склонен решать, что эту политику стоит соблюдать. По словам пользователей, цитирующих его, тот же блок контекста сказал модели никогда не

Разве ничто не говорило ей не делать этого?

1:56 отправлять этот адрес несвязанному сервису, в заголовке, URL или полезной нагрузке. В одном октябрьском отчете Claude подытожил, что произошло дальше. Я все равно отправил его. И User-Agent не исчезает после запроса. Стандартный объединенный формат журнала Apache записывает его в журнал доступа, рядом с IP-адресом посетителя и временем. Первый ответ Anthropic был выпущен в версии триста семнадцать.

Что на самом деле блокирует мод конфиденциальности?

2:19 В журнале изменений это называется проверкой, которая запрашивает разрешение перед отправкой вашего адреса электронной почты учетной записи в сеть с помощью веб- или оболочечных инструментов. Она включена по умолчанию. Но стабильный канал все еще на триста одиннадцатой, у которой ее нет. Ее исходный код стал публичным менее чем через два часа после появления проблемы. Она подключает инструменты оболочки, то есть Bash, PowerShell и Monitor. Если команда содержит ваш адрес и называет User-Agent, readme говорит, что она отклоняется без запроса.

2:44 В журнале изменений говорится, что она запрашивает, комментарий персонала говорит, что она блокирует, и readme говорит, что она отказывается без запроса. Весь привратник — это два совпадения слов, без парсера, намеренно. Затем пользователи протестировали его.

Сработала ли защита на тесте?

2:56 Один на Mac и один на Windows запускали безвредные команды, эхо в никуда и curl на домен dot invalid, который никогда не разрешается. Оба говорят, что мод отображался как загруженный, и ни одна команда не была отклонена. Это сообщения пользователей; Anthropic их не подтвердил. В readme также перечислены те, кто проходит. Веб-инструменты, WebFetch и WebSearch, не проверяются, что странно сочетается с журналом изменений, который упоминает веб-вызовы. Также не проверяется скрипт, содержащий ваш адрес, или значение, вычисленное во время выполнения.

3:25 В readme все это называется любезностью, которая охватывает одну форму. Холли говорит, что следующий выпуск удалит адрес электронной почты учетной записи из того, что Claude Code

Когда выйдет настоящее исправление, и что делать сейчас?

3:32 предоставляет модели, и должен появиться в начале следующей недели. Фильтр на выходе должен распознавать каждый маршрут. Если адрес никогда не входит, то нечего фильтровать. По состоянию на запись, самая новая запись в журнале изменений — все еще триста восемнадцать. Если вы используете стабильную версию, обновитесь до триста семнадцатой или более поздней. Если вы пишете хуки, временное решение тестера Windows также проверяет изменения файлов, так что жестко закодированный адрес будет обнаружен до того, как скрипт будет написан. И ищите в своих стенограммах сеансов свой собственный адрес электронной почты рядом с User-Agent.

Насколько раньше об этом сообщалось?

4:00 Теперь эта дата. «Мы должны были заметить это поведение раньше», — написала Холли. Отчет от июля уже предупреждал, что все, что находится в контексте, может просочиться во внешние вызовы инструментов. И 18 сентября пользователь подал ошибку под названием «адрес электронной почты пользователя из метаданных учетной записи непреднамеренно отправлен внешнему сервису в заголовке User-Agent». Это за семь недель до ветки в четверг, и бот пометил ее как «область безопасности» примерно через минуту.

4:24 К концу октября по меньшей мере четыре других вопроса описывали ту же утечку, в Wikipedia, SEC и игровую вики. На сегодняшний день все пять остаются открытыми. Anthropic говорит, что они заметили это, когда это начало появляться на Reddit. Само извинение было быстрым и простым, за это я им дам должное. Если вы предпочитаете читать это, а не слушать, The Daily Diff поступает на вашу почту каждое утро, бесплатно на thedailydiff.dev, ссылка ниже. Итак, сегодняшний вердикт: REVERT.

Должен ли адрес электронной почты оставаться в контексте?

4:48 Я бы отменил добавление адреса электронной почты учетной записи в контекст модели, потому что адрес, который модель может видеть, это адрес, который она может отправить, и собственный readme защиты говорит, что она охватывает одну форму. Подпишитесь, нажмите на колокольчик и скажите мне в комментариях, если бы вы поставили другой штамп. И это весь diff на сегодня. Я Нико из Axrisi. Объединяйте ответственно.

Источники

1. Bug report: privacy violation in User-Agent headerGitHub · anthropics/claude-code #107757
2. Claude Code staff explanation and planned removal of the account email from the model contextHacker News
3. Claude Code staff comment on site User-Agent policiesHacker News
4. Privacy mod readme and sourceGitHub · anthropics/claude-code
5. Changelog entry for 2.1.317GitHub · anthropics/claude-code
6. July report on the account email injected into the model contextGitHub · anthropics/claude-code #81138
7. September 18 report of the email sent in a User-Agent headerGitHub · anthropics/claude-code #95258
8. User-Agent PolicyWikimedia Foundation
9. Accessing EDGAR dataU.S. Securities and Exchange Commission
10. Log files: combined log formatApache HTTP Server documentation
11. Dario Amodei at TechCrunch Disrupt 2023 portrait, CC BY 2.0, identification onlyTechCrunch via Wikimedia Commons
12. Original Dario Amodei portrait at TechCrunch Disrupt 2023 — TechCrunch; CC BY 2.0; background removed, cropped and resized; identifies Anthropic only, no endorsement, quote or reactionTechCrunch on Flickr
13. Portrait license: Creative Commons Attribution 2.0Creative Commons; TechCrunch portrait credit above
14. UNO Draw 25 Cards template — brief transformed narrator commentary, no actual reaction by anyone shown or blanket reuse licenceImgflip
15. The Office (Michael Scott) GIF, official @theoffice upload, Peacock — brief transformed narrator commentary, no actual reaction by anyone shown or blanket reuse licence; public hosting does not certify legal clearanceThe Office on GIPHY