Claude Code posielal e-maily používateľov na webové stránky ako kontaktnú adresu

Čo toto video pokrýva

• Lydia Hallie z Anthropicu uviedla, že e-mail účtu bol pridaný do kontextu modelu pre prihlásených používateľov, pretože Claude si bez neho vymýšľal názvy pre veci ako značky @author.
• Stránky ako Wikimedia žiadajú skripty o informačný User-Agent s kontaktnými informáciami; politika akceptuje e-mail, webovú stránku alebo používateľa wiki. Model niekedy použil e-mail účtu, ktorý mal v kontexte.
• Verzia 2.1.317 pridala kontrolu. Jej zverejnený readme popisuje odmietnutie bez výzvy pre volania Bash, PowerShell a Monitor, ktoré obsahujú adresu a názov User-Agenta, a uvádza, že WebFetch, WebSearch, skripty a hodnoty za behu nie sú kontrolované. Zoznam zmien a zamestnanci popisujú rovnakú ochranu ako pýtanie alebo blokovanie.
• Dvaja používatelia oznámili, že načítaná ochrana neodmietla neškodné testovacie príkazy; Anthropic tieto správy nepotvrdil. Stabilný kanál bol stále na verzii 2.1.311, ktorá kontrolu nemá, a najnovší záznam v zozname zmien v čase nahrávania bol 2.1.318.
• Problémy na GitHub, ktoré popisujú rovnaký únik User-Agenta, sa datujú od 18. septembra, s júlovou správou o vstreknutom kontextovom bloku. Verdikt bol REVERT: adresa, ktorú model vidí, je adresa, ktorú môže odoslať.

Preložený prepis

Preložené z pôvodného anglického rozprávania. Dostupný zvuk a titulky sú kontrolované službou YouTube.

Ako sa prihlasovací e-mail dostal na Wikipediu a SEC?

0:00 Váš prihlasovací e-mail slúži na prihlásenie. Pre niektorých prihlásených používateľov Claude Code sa tiež nachádzal v hlavičke User-Agent požiadaviek na stránky ako Wikipedia a SEC. V tomto videu: ako sa tam dostal? A zatvorí to oprava? Anthropic tvrdí, že to mal zachytiť skôr. Jeho vlastný sledovač chýb má dátum, o koľko skôr, a ja si ho prečítam pred verdiktom. Je piatok, šiesty november, a toto je The Daily Diff.

0:24 Claude Code je kódovací agent spoločnosti Anthropic. Číta váš projekt a spúšťa príkazy za vás, vrátane volaní curl na web. User-Agent je riadok v každej webovej požiadavke, ktorý označuje volajúci program.

Prečo model poznal váš e-mail?

0:35 Adresa sa tam dostala zámerne. Lydia Hallie, ktorá pracuje na Claude Code, vysvetlila na Hacker News, že Claude si stále vymýšľal mená pre veci ako značky autora v kóde, pretože nevedel, kto ste. Takže Anthropic pridal e-mail účtu do kontextu modelu pre prihlásených používateľov. Vo štvrtok to vybuchlo s problémom na GitHub s názvom porušenie súkromia v hlavičke User-Agent. Reportér to obviňuje z desiatok podvodných e-mailov denne, a nič verejné túto súvislosť nedokazuje.

1:02 Vlákno na Hacker News prešlo dvanásťsto bodov. Správa z júla už citovala vložený text. Pod nadpisom nazvaným e-mail používateľa sa hovorí, že e-mailová adresa používateľa je, potom vaša adresa. Ten reportér tiež zachytil Claudeho, ako zapisuje adresu do git commitov, a ochrana push na GitHub zablokovala push.

Prečo webové stránky žiadajú skripty o e-mail?

1:20 Niektoré stránky žiadajú skripty, aby sa identifikovali. Politika Wikimedia hovorí, že skripty by mali používať informatívny User-Agent s kontaktnými informáciami, inak môžu byť bez upozornenia zablokované. Webová stránka funguje aj ako kontakt. Stránka Edgar SEC zobrazuje vzorovú hlavičku s názvom spoločnosti a e-mailom správcu. Keď Claude Code píše vlastný príkaz curl pre Wikipediu, stránka chce kontakt a jediná adresa v jej kontexte je váš prihlasovací e-mail. Vývojár Claude Code to na Hacker News vyjadril takto.

1:48 Claude sa zjavne rozhodol, že túto politiku stojí za to dodržiavať. Podľa používateľov, ktorí to citujú, rovnaký kontextový blok modelu povedal, aby nikdy

Nič mu to nepovedalo, aby to nerobil?

1:56 neposielal túto adresu nesúvisiacej službe, v hlavičke, URL alebo náklade. V jednej októbrovej správe Claude zhrnul, čo sa stalo ďalej. Poslal som to aj tak. A User-Agent nezmizne po požiadavke. Štandardný kombinovaný formát logu Apache ho zapisuje do prístupového logu, vedľa IP adresy návštevníka a času. Prvá odpoveď Anthropicu bola dodaná vo verzii tri-sedemnásť.

Čo vlastne blokuje modifikácia ochrany súkromia?

2:19 Zoznam zmien ju nazýva kontrolou, ktorá sa pýta predtým, ako webový alebo shell nástroj odošle váš e-mail účtu do siete. Je predvolene zapnutá. Ale stabilný kanál je stále na verzii tri-jedenásť, ktorá ju nemá. Jej zdroj bol zverejnený menej ako dve hodiny po probléme. Zapája shell nástroje, čo znamená Bash, PowerShell a Monitor. Ak príkaz obsahuje vašu adresu a názov User-Agenta, readme hovorí, že je odmietnutý, bez výzvy.

2:44 Zoznam zmien hovorí, že sa pýta, komentár zamestnancov hovorí, že blokuje, a readme hovorí, že odmieta bez pýtania. Celý vrátnik sú dve zhody slov, bez parsera, zámerne. Potom to používatelia testovali.

Zachytila ochrana test?

2:56 Jeden na Macu a jeden na Windows spustili neškodné príkazy, echo do nikam a curl na neplatnú doménu, ktorá sa nikdy nevyrieši. Obaja hovoria, že modifikácia sa zobrazila ako načítaná a ani jeden príkaz nebol odmietnutý. To sú správy používateľov; Anthropic ich nepotvrdil. Readme tiež uvádza, čo prejde. Webové nástroje, WebFetch a WebSearch, nie sú kontrolované, čo je zvláštne v spojení so zoznamom zmien, ktorý spomína webové volania. Ani skript, ktorý obsahuje vašu adresu, alebo hodnota vypočítaná za behu.

3:25 Readme nazýva celú vec zdvorilosťou, ktorá pokrýva jeden tvar. Hallie hovorí, že ďalšie vydanie odstráni e-mail účtu z toho, čo Claude Code

Kedy vyjde skutočná oprava a čo teraz robiť?

3:32 poskytuje modelu, a malo by prísť začiatkom budúceho týždňa. Filter na výstupe musí rozpoznať každú cestu. Ak adresa nikdy nepríde, nie je čo filtrovať. V čase nahrávania je najnovší záznam v zozname zmien stále tri-osemnásť. Ak používate stabilnú verziu, aktualizujte na tri-sedemnásť alebo novšiu. Ak píšete hooky, dočasné riešenie testera Windows tiež kontroluje úpravy súborov, takže pevne zakódovaná adresa sa zachytí skôr, ako sa skript napíše. A prehľadajte svoje prepisy relácií pre váš vlastný e-mail vedľa User-Agenta.

O koľko skôr to bolo nahlásené?

4:00 Teraz ten dátum. Toto správanie sme mali zachytiť skôr, napísala Hallie. Júlová správa už varovala, že čokoľvek v kontexte by mohlo uniknúť do odchádzajúcich volaní nástrojov. A 18. septembra používateľ podal chybu s názvom, e-mail používateľa z metaúdajov účtu neúmyselne odoslaný externým službám v hlavičke User-Agent. To je sedem týždňov pred štvrtkovým vláknom, a bot ho označil ako oblasť zabezpečenia asi do minúty.

4:24 Do konca októbra aspoň štyri ďalšie problémy popisovali rovnaký únik, na Wikipediu, SEC a hernú wiki. K dnešnému dňu sú všetky päť otvorené. Anthropic tvrdí, že si to všimol, keď sa to začalo objavovať na Reddite. Samotné ospravedlnenie bolo rýchle a jasné, to im uznávam. Ak by ste si to radšej prečítali, než aby ste ma počuli, rozdiel vám príde do schránky každé ráno, zadarmo na the daily diff dot dev, odkaz nižšie. Takže, dnešný verdikt: REVERT.

Mal by e-mail zostať v kontexte?

4:48 Vrátil by som vloženie e-mailu účtu do kontextu modelu, pretože adresa, ktorú model vidí, je adresa, ktorú môže odoslať, a samotné readme ochrany hovorí, že pokrýva jeden tvar. Prihláste sa na odber, stlačte zvonček a povedzte mi v komentároch, či by ste to označili inak. A to je rozdiel na dnes. Som Niko z Axrisi. Zlučujte zodpovedne.

Zdroje

1. Bug report: privacy violation in User-Agent headerGitHub · anthropics/claude-code #107757
2. Claude Code staff explanation and planned removal of the account email from the model contextHacker News
3. Claude Code staff comment on site User-Agent policiesHacker News
4. Privacy mod readme and sourceGitHub · anthropics/claude-code
5. Changelog entry for 2.1.317GitHub · anthropics/claude-code
6. July report on the account email injected into the model contextGitHub · anthropics/claude-code #81138
7. September 18 report of the email sent in a User-Agent headerGitHub · anthropics/claude-code #95258
8. User-Agent PolicyWikimedia Foundation
9. Accessing EDGAR dataU.S. Securities and Exchange Commission
10. Log files: combined log formatApache HTTP Server documentation
11. Dario Amodei at TechCrunch Disrupt 2023 portrait, CC BY 2.0, identification onlyTechCrunch via Wikimedia Commons
12. Original Dario Amodei portrait at TechCrunch Disrupt 2023 — TechCrunch; CC BY 2.0; background removed, cropped and resized; identifies Anthropic only, no endorsement, quote or reactionTechCrunch on Flickr
13. Portrait license: Creative Commons Attribution 2.0Creative Commons; TechCrunch portrait credit above
14. UNO Draw 25 Cards template — brief transformed narrator commentary, no actual reaction by anyone shown or blanket reuse licenceImgflip
15. The Office (Michael Scott) GIF, official @theoffice upload, Peacock — brief transformed narrator commentary, no actual reaction by anyone shown or blanket reuse licence; public hosting does not certify legal clearanceThe Office on GIPHY