Claude Code надсилав електронні листи користувачів на веб-сайти як контактну адресу

Що охоплює це відео

• Лідія Халлі з Anthropic заявила, що електронна пошта облікового запису була додана до контексту моделі для авторизованих користувачів, оскільки Claude вигадував назви для таких речей, як теги @author, без неї.
• Такі сайти, як Wikimedia, просять скрипти для інформативного User-Agent з контактною інформацією; політика дозволяє електронну пошту, веб-сайт або користувача вікі. Модель іноді використовувала електронну пошту облікового запису, яку вона мала в контексті.
• Версія 2.1.317 додала перевірку. Її опублікований readme описує відмову без запиту для викликів Bash, PowerShell та Monitor, які містять адресу та називають User-Agent, і зазначає, що WebFetch, WebSearch, скрипти та значення часу виконання не перевіряються. Журнал змін та співробітники описують ту ж саму захист як запит або блокування.
• Два користувачі повідомили, що завантажений захист не відмовив у нешкідливих тестових командах; Anthropic не підтвердив ці повідомлення. Стабільний канал все ще був на 2.1.311, яка не має перевірки, а найновіший запис у журналі змін на момент запису був 2.1.318.
• Проблеми на GitHub, що описують той самий витік User-Agent, датуються 18 вересня, а звіт про блок введеного контексту був у липні. Вердикт був REVERT: адреса, яку модель може бачити, - це адреса, яку вона може відправити.

Перекладена стенограма

Перекладено з оригінальної англійської розповіді. Доступне аудіо та субтитри контролюються YouTube.

Як логін-електронна пошта потрапила до Вікіпедії та SEC?

0:00 Ваша електронна пошта для входу призначена для входу. Для деяких авторизованих користувачів Claude Code, вона також подорожувала в User-Agent запитів до таких сайтів, як Wikipedia та SEC. У цьому відео: як вона туди потрапила? І чи виправлення це закриває? Anthropic каже, що мав помітити це раніше. Власний трекер помилок має дату, наскільки раніше, і я прочитаю її перед вироком. Це п'ятниця, шосте листопада, і це The Daily Diff.

0:24 Claude Code - це кодуючий агент Anthropic. Він читає ваш проект і виконує команди для вас, включаючи виклики curl до Інтернету. User-Agent - це рядок у кожному веб-запиті, який називає програму, що викликає.

Чому модель знала вашу електронну пошту?

0:35 Адреса потрапила туди навмисно. Лідія Халлі, яка працює над Claude Code, пояснила на Hacker News, що Claude продовжував вигадувати назви для таких речей, як теги автора в коді, тому що він не знав, хто ви. Тому Anthropic додав електронну пошту облікового запису до контексту моделі для авторизованих користувачів. Це вибухнуло в четвер з проблемою на GitHub під назвою порушення конфіденційності в заголовку User-Agent. Репортер звинувачує це в десятках шахрайських електронних листів на день, і ніщо публічно не доводить цього зв'язку.

1:02 Тема на Hacker News набрала понад тисячу двісті балів. Звіт від липня вже цитував введений текст. Під заголовком «Електронна пошта користувача» зазначено, що адреса електронної пошти користувача є, потім ваша адреса. Цей репортер також виявив, що Claude писав адресу в комітах git, і захист push на GitHub заблокував push.

Чому веб-сайти просять скрипти для електронної пошти?

1:20 Деякі сайти просять скрипти ідентифікувати себе. Політика Wikimedia говорить, що скрипти повинні використовувати інформативний User-Agent з контактною інформацією, інакше вони можуть бути заблоковані без попередження. Веб-сайт також працює як контакт. Сторінка Edgar SEC показує зразок заголовка з назвою компанії та електронною поштою адміністратора. Коли Claude Code пише власну команду curl для Вікіпедії, сайт вимагає контакту, а єдина адреса в його контексті - це ваша електронна пошта для входу. Розробник Claude Code пояснив це так на Hacker News.

1:48 Клод, схоже, схильний вирішувати, що цю політику варто дотримуватися. За словами користувачів, які цитують його, той самий контекстний блок наказав моделі ніколи не

Ніщо не вказувало їй не робити цього?

1:56 надсилати цю адресу до непов'язаної служби, в заголовку, URL або навантаженні. В одному звіті за жовтень Клод підсумував, що сталося далі. Я все одно це надіслав. І User-Agent не зникає після запиту. Стандартний комбінований формат журналів Apache записує його в журнал доступу, поряд з IP-адресою відвідувача та часом. Перша відповідь Anthropic вийшла у версії три-сімнадцять.

Що насправді блокує мод конфіденційності?

2:19 У журналі змін це називається перевіркою, яка запитує перед тим, як виклик веб- або оболонки інструменту надсилає вашу електронну пошту облікового запису в мережу. За замовчуванням він увімкнений. Але стабільний канал все ще на три-одинадцять, який його не має. Його джерело стало публічним менш ніж через дві години після виникнення проблеми. Він підключає інструменти оболонки, тобто Bash, PowerShell та Monitor. Якщо команда містить вашу адресу та назву User-Agent, у readme сказано, що це відхилено, без запиту.

2:44 У журналі змін сказано, що він запитує, коментар співробітника говорить, що він блокує, а в readme сказано, що він відмовляє без запиту. Весь вибивала – це два збіги слів, без парсера, навмисно. Потім користувачі перевірили його.

Чи спрацював захист під час тесту?

2:56 Один на Mac і один на Windows виконали нешкідливі команди, echo в нікуди та curl до недійсного домену, який ніколи не розв'язується. Обидва кажуть, що мод відображався як завантажений, і жодна команда не була відхилена. Це повідомлення користувачів; Anthropic їх не підтвердив. У readme також перераховано, що пропускається. Веб-інструменти, WebFetch та WebSearch, не перевіряються, що дивно поєднується з журналом змін, який згадує веб-виклики. Також не перевіряється скрипт, який містить вашу адресу, або значення, обчислене під час виконання.

3:25 У readme все це називається люб'язністю, яка охоплює одну форму. Халлі каже, що наступний випуск видаляє електронну пошту облікового запису з того, що Claude Code

Коли вийде справжнє виправлення, і що робити зараз?

3:32 надає моделі, і має надійти на початку наступного тижня. Фільтр на виході повинен розпізнавати кожен маршрут. Якщо адреса ніколи не надходить, нема чого фільтрувати. На момент запису, найновіший запис у журналі змін - все ще три-вісімнадцять. Якщо ви використовуєте стабільну версію, оновіться до три-сімнадцять або новішої. Якщо ви пишете хуки, тимчасове рішення тестувальника Windows також перевіряє зміни файлів, так що жорстко закодована адреса виявляється до написання скрипта. І шукайте в стенограмах вашої сесії свою власну електронну пошту поруч з User-Agent.

Наскільки раніше про це повідомляли?

4:00 Тепер ця дата. Ми мали помітити цю поведінку раніше, — написала Халлі. Липневий звіт уже попереджав, що все в контексті може просочитися у вихідні виклики інструментів. А вісімнадцятого вересня користувач подав звіт про помилку під назвою, електронна пошта користувача з метаданих облікового запису ненавмисно надіслана зовнішньому сервісу в заголовку User-Agent. Це за сім тижнів до нитки четверга, і бот позначив його як "зона безпеки" приблизно за хвилину.

4:24 До кінця жовтня щонайменше чотири інші проблеми описували той самий витік, до Вікіпедії, SEC та ігрової вікі. Станом на сьогодні, всі п'ять відкриті. Anthropic каже, що помітив, коли це почало з'являтися на Reddit. Вибачення саме по собі було швидким і зрозумілим, я це їм віддам. Якщо ви радше прочитаєте це, ніж почуєте від мене, "diff" надходить у вашу поштову скриньку щоранку, безкоштовно на thedailydiff.dev, посилання нижче. Отже, сьогоднішній вердикт: ВІДМІНИТИ.

Чи повинна електронна пошта залишатися в контексті?

4:48 Я б відмінив додавання електронної пошти облікового запису до контексту моделі, тому що адреса, яку модель може бачити, - це адреса, яку вона може відправити, а в власному readme захисника сказано, що він охоплює одну форму. Підпишіться, натисніть дзвіночок і скажіть мені в коментарях, чи ви б поставили це інакше. І це "diff" на сьогодні. Я Ніко з Axrisi. Об'єднуйте відповідально.

Джерела

1. Bug report: privacy violation in User-Agent headerGitHub · anthropics/claude-code #107757
2. Claude Code staff explanation and planned removal of the account email from the model contextHacker News
3. Claude Code staff comment on site User-Agent policiesHacker News
4. Privacy mod readme and sourceGitHub · anthropics/claude-code
5. Changelog entry for 2.1.317GitHub · anthropics/claude-code
6. July report on the account email injected into the model contextGitHub · anthropics/claude-code #81138
7. September 18 report of the email sent in a User-Agent headerGitHub · anthropics/claude-code #95258
8. User-Agent PolicyWikimedia Foundation
9. Accessing EDGAR dataU.S. Securities and Exchange Commission
10. Log files: combined log formatApache HTTP Server documentation
11. Dario Amodei at TechCrunch Disrupt 2023 portrait, CC BY 2.0, identification onlyTechCrunch via Wikimedia Commons
12. Original Dario Amodei portrait at TechCrunch Disrupt 2023 — TechCrunch; CC BY 2.0; background removed, cropped and resized; identifies Anthropic only, no endorsement, quote or reactionTechCrunch on Flickr
13. Portrait license: Creative Commons Attribution 2.0Creative Commons; TechCrunch portrait credit above
14. UNO Draw 25 Cards template — brief transformed narrator commentary, no actual reaction by anyone shown or blanket reuse licenceImgflip
15. The Office (Michael Scott) GIF, official @theoffice upload, Peacock — brief transformed narrator commentary, no actual reaction by anyone shown or blanket reuse licence; public hosting does not certify legal clearanceThe Office on GIPHY