క్లాడ్ కోడ్ వినియోగదారుల ఇమెయిల్‌లను వెబ్‌సైట్‌లకు సంప్రదింపు చిరునామాగా పంపింది

ఈ వీడియో ఏమి కవర్ చేస్తుంది

• ఆంత్రోపిక్ యొక్క లిడియా హాలీ మాట్లాడుతూ, సైన్-ఇన్ చేసిన వినియోగదారుల కోసం ఖాతా ఇమెయిల్ మోడల్ సందర్భానికి జోడించబడింది, ఎందుకంటే క్లాడ్ @author ట్యాగ్‌ల వంటి వాటికి పేర్లను దాని లేకుండానే తయారు చేసింది.
• వికీమీడియా వంటి సైట్‌లు సంప్రదింపు సమాచారంతో కూడిన సమాచార యూజర్-ఏజెంట్ కోసం స్క్రిప్ట్‌లను అడుగుతాయి; విధానం ఇమెయిల్, వెబ్‌సైట్ లేదా వికీ వినియోగదారుని అంగీకరిస్తుంది. మోడల్ కొన్నిసార్లు సందర్భంలో ఉన్న ఖాతా ఇమెయిల్‌ను ఉపయోగించింది.
• వెర్షన్ 2.1.317 ఒక తనిఖీని జోడించింది. దాని ప్రచురించబడిన రీడ్‌మీ బాష్, పవర్‌షెల్ మరియు మానిటర్ కాల్స్ కోసం చిరునామాను కలిగి ఉన్న మరియు యూజర్-ఏజెంట్ పేరును కలిగి ఉన్న వాటికి ఎలాంటి ప్రాంప్ట్ లేకుండా తిరస్కరణను వివరిస్తుంది, మరియు వెబ్‌ఫెచ్, వెబ్‌సెర్చ్, స్క్రిప్ట్‌లు మరియు రన్-టైమ్ విలువలు తనిఖీ చేయబడవని పేర్కొంది. చేంజ్‌లాగ్ మరియు సిబ్బంది అదే రక్షణను అడగడం లేదా నిరోధించడం అని వివరిస్తారు.
• లోడ్ చేయబడిన రక్షణ హానికరమైన పరీక్ష ఆదేశాలను తిరస్కరించలేదని ఇద్దరు వినియోగదారులు నివేదించారు; ఆంత్రోపిక్ ఆ నివేదికలను ధృవీకరించలేదు. స్థిరమైన ఛానెల్ ఇప్పటికీ 2.1.311లో ఉంది, దీనికి తనిఖీ లేదు, మరియు రికార్డింగ్ సమయంలో సరికొత్త చేంజ్‌లాగ్ ఎంట్రీ 2.1.318.
• అదే యూజర్-ఏజెంట్ లీక్‌ను వివరించే GitHub సమస్యలు సెప్టెంబర్ 18 నుండి ఉన్నాయి, జూలైలో ఇంజెక్ట్ చేయబడిన సందర్భ బ్లాక్‌పై నివేదిక ఉంది. తీర్పు REVERT: మోడల్ చూడగలిగే చిరునామా అది పంపగల చిరునామా.

అనువదించబడిన ట్రాన్స్క్రిప్ట్

అసలైన ఆంగ్ల కథనం నుండి అనువదించబడింది. అందుబాటులో ఉన్న ఆడియో మరియు క్యాప్షన్లు YouTube ద్వారా నియంత్రించబడతాయి.

లాగిన్ ఇమెయిల్ వికీపీడియా మరియు SECకి ఎలా చేరింది?

0:00 మీ లాగిన్ ఇమెయిల్ లాగిన్ అవ్వడానికి. కొంతమంది సైన్-ఇన్ చేసిన క్లాడ్ కోడ్ వినియోగదారుల కోసం, ఇది యూజర్-ఏజెంట్‌లో కూడా ఉంది వికీపీడియా మరియు SEC వంటి సైట్‌లకు అభ్యర్థనలు. ఈ వీడియోలో: అది అక్కడికి ఎలా చేరింది? మరియు పరిష్కారం దానిని మూసివేస్తుందా? తాము దీన్ని ఇంతకు ముందే పసిగట్టాల్సింది అని ఆంత్రోపిక్ అంటోంది. దాని స్వంత బగ్ ట్రాకర్‌లో ఎంత ముందుగా అనే తేదీ ఉంది, మరియు నేను దానిని చదువుతాను తీర్పు. ఇది నవంబర్ ఆరవ తేదీ శుక్రవారం, మరియు ఇది ది డైలీ డిఫ్.

0:24 క్లాడ్ కోడ్ ఆంత్రోపిక్ యొక్క కోడింగ్ ఏజెంట్. ఇది మీ ప్రాజెక్ట్‌ను చదువుతుంది మరియు మీ కోసం ఆదేశాలను అమలు చేస్తుంది, వెబ్‌కు కర్ల్ కాల్‌లతో సహా. యూజర్-ఏజెంట్ అనేది ప్రోగ్రామ్‌ను పిలిచే ప్రతి వెబ్ అభ్యర్థనలోని పంక్తి.

మోడల్‌కు మీ ఇమెయిల్ ఎందుకు తెలుసు?

0:35 చిరునామా ఉద్దేశపూర్వకంగా అక్కడికి చేరింది. క్లాడ్ కోడ్‌లో పనిచేసే లిడియా హాలీ, హ్యాకర్ న్యూస్‌లో క్లాడ్ అని వివరించింది కోడ్‌లో రచయిత ట్యాగ్‌ల వంటి వాటికి పేర్లను తయారు చేస్తూనే ఉంది, ఎందుకంటే దానికి మీరు ఎవరో తెలియదు. కాబట్టి ఆంత్రోపిక్ సైన్-ఇన్ చేసిన వినియోగదారుల కోసం ఖాతా ఇమెయిల్‌ను మోడల్ సందర్భానికి జోడించింది. ఇది గురువారం ఒక GitHub సమస్యతో పేలింది, దాని శీర్షిక గోప్యతా ఉల్లంఘన యూజర్-ఏజెంట్ హెడర్. రిపోర్టర్ రోజుకు డజన్ల కొద్దీ స్కామ్ ఇమెయిల్‌లకు దీనిని నిందించాడు, మరియు ఆ లింక్‌ను బహిరంగంగా ఏదీ రుజువు చేయలేదు.

1:02 హ్యాకర్ న్యూస్ థ్రెడ్ పన్నెండు వందల పాయింట్లను దాటింది. జూలై నుండి వచ్చిన నివేదిక ఇప్పటికే ఇంజెక్ట్ చేయబడిన వచనాన్ని ఉటంకించింది. యూజర్ ఇమెయిల్ అనే శీర్షిక కింద, అది వినియోగదారు ఇమెయిల్ చిరునామా అని పేర్కొంది, ఆపై మీ చిరునామా. ఆ రిపోర్టర్ క్లాడ్ చిరునామాను గిట్ కమిట్‌లలోకి వ్రాసినట్లు కూడా పట్టుకున్నాడు, మరియు GitHub యొక్క పుష్ రక్షణ పుష్‌ను నిరోధించింది.

వెబ్‌సైట్‌లు స్క్రిప్ట్‌లను ఇమెయిల్ కోసం ఎందుకు అడుగుతాయి?

1:20 కొన్ని సైట్‌లు స్క్రిప్ట్‌లను తమను తాము గుర్తించుకోమని అడుగుతాయి. వికీమీడియా విధానం ప్రకారం స్క్రిప్ట్‌లు సమాచార యూజర్-ఏజెంట్‌ను ఉపయోగించాలి సంప్రదింపు సమాచారం, లేకపోతే వాటిని నోటీసు లేకుండా నిరోధించవచ్చు. ఒక వెబ్‌సైట్ కూడా ఒక సంప్రదింపుగా పనిచేస్తుంది. SEC యొక్క ఎడ్గర్ పేజీ ఒక కంపెనీ పేరు మరియు అడ్మిన్‌తో కూడిన నమూనా హెడర్‌ను చూపిస్తుంది ఇమెయిల్. క్లాడ్ కోడ్ వికీపీడియా కోసం దాని స్వంత కర్ల్ కమాండ్‌ను వ్రాసినప్పుడు, సైట్ ఒక సంప్రదింపును కోరుకుంటుంది, మరియు దాని సందర్భంలో ఉన్న ఏకైక చిరునామా మీ లాగిన్ ఇమెయిల్. ఒక క్లాడ్ కోడ్ డెవలపర్ హ్యాకర్ న్యూస్‌లో దీనిని ఇలా పేర్కొన్నాడు.

1:48 క్లాడ్ స్పష్టంగా ఈ విధానాన్ని అనుసరించడం విలువైనదని నిర్ణయించుకుంటుంది. వినియోగదారులు దానిని ఉటంకిస్తూ, అదే సందర్భ బ్లాక్ మోడల్‌కు ఎప్పుడూ

ఏదీ వద్దు అని చెప్పలేదా?

1:56 ఆ చిరునామాను సంబంధం లేని సేవకు, ఒక హెడర్‌లో పంపవద్దని చెప్పింది, ఒక URL లేదా ఒక పేలోడ్. అక్టోబర్‌లో ఒక నివేదికలో, క్లాడ్ ఆ తర్వాత ఏమి జరిగిందో సంగ్రహంగా చెప్పింది. నేను దానిని పంపాను. మరియు యూజర్-ఏజెంట్ అభ్యర్థన తర్వాత అదృశ్యం కాదు. అపాచే యొక్క ప్రామాణిక కలిపి లాగ్ ఫార్మాట్ దానిని యాక్సెస్ లాగ్‌లో వ్రాస్తుంది, విజిటర్ యొక్క IP మరియు సమయం పక్కన. ఆంత్రోపిక్ యొక్క మొదటి ప్రతిస్పందన వెర్షన్ మూడు వందల పదిహేడులో వచ్చింది.

గోప్యతా మోడ్ నిజంగా ఏమిటి బ్లాక్ చేస్తుంది?

2:19 చేంజ్‌లాగ్ దానిని వెబ్ లేదా షెల్ టూల్ కాల్ నెట్‌వర్క్‌కు మీ ఖాతా ఇమెయిల్‌ను పంపే ముందు అడిగే తనిఖీ అని పిలుస్తుంది. మీ ఖాతా ఇమెయిల్‌ను నెట్‌వర్క్‌కు పంపే ముందు వెబ్ లేదా షెల్ టూల్ కాల్ అడిగే ఒక తనిఖీ అని చేంజ్‌లాగ్ పిలుస్తుంది. ఇది అప్రమేయంగా ఆన్ చేయబడింది. కానీ స్థిరమైన ఛానెల్ ఇప్పటికీ మూడు వందల పదకొండులో ఉంది, దీనికి అది లేదు. దాని మూలం సమస్య తర్వాత రెండు గంటల కన్నా తక్కువ సమయంలో బహిరంగంగా మారింది. ఇది షెల్ టూల్స్‌ను హుక్ చేస్తుంది, అంటే బాష్, పవర్‌షెల్ మరియు మానిటర్. ఒక కమాండ్ మీ చిరునామాను కలిగి ఉండి, యూజర్-ఏజెంట్‌కు పేరు పెడితే, రీడ్‌మీ దానిని తిరస్కరించినట్లు పేర్కొంది, ఎలాంటి ప్రాంప్ట్ లేకుండా.

2:44 చేంజ్‌లాగ్ అది అడుగుతుంది అని పేర్కొంది, ఒక సిబ్బంది వ్యాఖ్య అది బ్లాక్ చేస్తుంది అని పేర్కొంది, మరియు రీడ్‌మీ అది అడగకుండానే తిరస్కరిస్తుంది అని పేర్కొంది. మొత్తం బౌన్సర్ రెండు పదాల సరిపోలికలు, పార్సర్ లేదు, ఉద్దేశపూర్వకంగా. అప్పుడు వినియోగదారులు దానిని పరీక్షించారు.

రక్షణ పరీక్షను పట్టుకుందా?

2:56 ఒకరు Macలో మరియు ఒకరు Windowsలో హానికరమైన ఆదేశాలను అమలు చేశారు, ఎక్కడికీ వెళ్ళని ఎకో మరియు ఎప్పుడూ పరిష్కరించబడని డాట్ చెల్లని డొమైన్‌కు కర్ల్. ఇద్దరూ మోడ్ లోడ్ అయినట్లు చూపించిందని, మరియు ఏ ఆదేశం కూడా తిరస్కరించబడలేదని పేర్కొన్నారు. అవి వినియోగదారు నివేదికలు; ఆంత్రోపిక్ వాటిని ధృవీకరించలేదు. రీడ్‌మీ దేనిని అనుమతిస్తుందో కూడా జాబితా చేస్తుంది. వెబ్ టూల్స్, వెబ్‌ఫెచ్ మరియు వెబ్‌సెర్చ్, తనిఖీ చేయబడవు, ఇది వెబ్ కాల్‌లను ప్రస్తావించే చేంజ్‌లాగ్‌కు విచిత్రమైన సరిపోలిక. మీ చిరునామాను కలిగి ఉన్న స్క్రిప్ట్ లేదా రన్ టైమ్‌లో లెక్కించిన విలువ కూడా కాదు.

3:25 రీడ్‌మీ మొత్తం విషయం ఒక ఆకారాన్ని కవర్ చేసే మర్యాద అని పిలుస్తుంది. క్లాడ్ కోడ్ మోడల్‌కు ఇచ్చే వాటి నుండి ఖాతా ఇమెయిల్‌ను తదుపరి విడుదల తొలగిస్తుంది అని హాలీ అంటుంది,

నిజమైన పరిష్కారం ఎప్పుడు వస్తుంది, మరియు మీరు ఇప్పుడు ఏమి చేయాలి?

3:32 మరియు వచ్చే వారం ప్రారంభంలో రావాలి. బయటి వైపు ఉన్న ఫిల్టర్ ప్రతి మార్గాన్ని గుర్తించాలి. చిరునామా ఎప్పుడూ లోపల లేకపోతే, ఫిల్టర్ చేయడానికి ఏమీ లేదు. నేను దీనిని రికార్డ్ చేస్తున్నప్పుడు, సరికొత్త చేంజ్‌లాగ్ ఎంట్రీ ఇప్పటికీ మూడు వందల పద్దెనిమిది. మీరు స్థిరంగా ఉంటే, మూడు వందల పదిహేడు లేదా తర్వాతకు అప్‌డేట్ చేయండి. మీరు హుక్స్‌ను వ్రాస్తే, విండోస్ టెస్టర్ యొక్క స్టాప్‌గ్యాప్ ఫైల్ సవరణలను కూడా తనిఖీ చేస్తుంది, కాబట్టి హార్డ్‌కోడెడ్ చిరునామా స్క్రిప్ట్ వ్రాయబడకముందే పట్టుబడుతుంది. మరియు యూజర్-ఏజెంట్ పక్కన మీ స్వంత ఇమెయిల్ కోసం మీ సెషన్ ట్రాన్స్‌స్క్రిప్ట్‌లను శోధించండి.

ఎంత ముందుగా నివేదించబడింది?

4:00 ఇప్పుడు ఆ తేదీ. ఈ ప్రవర్తనను మనం ఇంతకు ముందు పసిగట్టాల్సింది, అని హాలీ వ్రాశారు. జూలై నివేదిక అప్పటికే హెచ్చరించింది సందర్భంలో ఉన్న ఏదైనా బయటి వైపుకు లీక్ కావచ్చు టూల్ కాల్స్. మరియు సెప్టెంబర్ పద్దెనిమిదవ తేదీన, ఒక వినియోగదారు ఒక బగ్‌ను దాఖలు చేశారు, దాని శీర్షిక, ఖాతా మెటాడేటా నుండి యూజర్ ఇమెయిల్ అనుకోకుండా బయటి సేవకు పంపబడింది యూజర్-ఏజెంట్ హెడర్. అది గురువారం థ్రెడ్‌కు ఏడు వారాల ముందు, మరియు ఒక నిమిషంలో ఒక బాట్ దానిని ఏరియా సెక్యూరిటీగా ట్యాగ్ చేసింది.

4:24 అక్టోబర్ చివరి నాటికి, కనీసం మరో నాలుగు సమస్యలు అదే లీక్‌ను వివరించాయి, వికీపీడియా, SEC మరియు ఒక గేమింగ్ వికీకి. నేటి నాటికి, ఐదుగురూ తెరిచే ఉన్నాయి. ఇది రెడిట్‌లో మొదలైనప్పుడు తాము గమనించామని ఆంత్రోపిక్ అంటుంది. క్షమాపణ స్వయంగా త్వరగా మరియు సరళంగా ఉంది, నేను వారికి అది ఇస్తాను. నేను చెప్పడం వినడం కంటే మీరు దీన్ని చదవాలనుకుంటే, డిఫ్ మీ ఇన్‌బాక్స్‌కు వస్తుంది ప్రతి ఉదయం, ది డైలీ డిఫ్ డాట్ దేవ్ వద్ద ఉచితంగా, లింక్ క్రింద ఉంది. కాబట్టి, నేటి తీర్పు: REVERT.

ఇమెయిల్ సందర్భంలో ఉండాలా?

4:48 నేను మోడల్ సందర్భంలో ఖాతా ఇమెయిల్‌ను ఉంచడాన్ని వెనక్కి తీసుకుంటాను, ఎందుకంటే మోడల్ చూడగలిగే చిరునామా అది పంపగల చిరునామా, మరియు గార్డ్ యొక్క స్వంత రీడ్‌మీ అది ఒక ఆకారాన్ని కవర్ చేస్తుందని పేర్కొంది. సబ్‌స్క్రైబ్ చేయండి, బెల్ నొక్కండి, మరియు మీరు దానిని వేరే విధంగా ముద్రించి ఉంటే వ్యాఖ్యలలో నాకు చెప్పండి. మరియు అది నేటి డిఫ్. నేను యాక్సిసి నుండి నికో. బాధ్యతాయుతంగా విలీనం చేయండి.

మూలాలు

1. Bug report: privacy violation in User-Agent headerGitHub · anthropics/claude-code #107757
2. Claude Code staff explanation and planned removal of the account email from the model contextHacker News
3. Claude Code staff comment on site User-Agent policiesHacker News
4. Privacy mod readme and sourceGitHub · anthropics/claude-code
5. Changelog entry for 2.1.317GitHub · anthropics/claude-code
6. July report on the account email injected into the model contextGitHub · anthropics/claude-code #81138
7. September 18 report of the email sent in a User-Agent headerGitHub · anthropics/claude-code #95258
8. User-Agent PolicyWikimedia Foundation
9. Accessing EDGAR dataU.S. Securities and Exchange Commission
10. Log files: combined log formatApache HTTP Server documentation
11. Dario Amodei at TechCrunch Disrupt 2023 portrait, CC BY 2.0, identification onlyTechCrunch via Wikimedia Commons
12. Original Dario Amodei portrait at TechCrunch Disrupt 2023 — TechCrunch; CC BY 2.0; background removed, cropped and resized; identifies Anthropic only, no endorsement, quote or reactionTechCrunch on Flickr
13. Portrait license: Creative Commons Attribution 2.0Creative Commons; TechCrunch portrait credit above
14. UNO Draw 25 Cards template — brief transformed narrator commentary, no actual reaction by anyone shown or blanket reuse licenceImgflip
15. The Office (Michael Scott) GIF, official @theoffice upload, Peacock — brief transformed narrator commentary, no actual reaction by anyone shown or blanket reuse licence; public hosting does not certify legal clearanceThe Office on GIPHY