کلود کوڈ نے صارفین کی ای میلز کو رابطہ ایڈریس کے طور پر ویب سائٹوں پر بھیجا

اس ویڈیو میں کیا شامل ہے

• اینتھروپک کی لیڈیا ہالی نے کہا کہ سائن ان شدہ صارفین کے لیے اکاؤنٹ ای میل کو ماڈل کے سیاق و سباق میں شامل کیا گیا کیونکہ کلود اس کے بغیر @author ٹیگز جیسی چیزوں کے لیے نام بناتا تھا۔
• ویکی میڈیا جیسی سائٹس اسکرپٹس سے رابطے کی معلومات کے ساتھ ایک معلوماتی User-Agent مانگتی ہیں؛ پالیسی ایک ای میل، ایک ویب سائٹ یا ایک ویکی صارف کو قبول کرتی ہے۔ ماڈل نے کبھی کبھار سیاق و سباق میں موجود اکاؤنٹ ای میل کا استعمال کیا۔
• ورژن 2.1.317 میں ایک چیک شامل کیا گیا۔ اس کے شائع شدہ ریڈمی میں باش، پاور شیل اور مانیٹر کالز کے لیے فوری جواب کے بغیر انکار کی وضاحت کی گئی ہے جو ایڈریس رکھتے ہیں اور ایک User-Agent کا نام دیتے ہیں، اور کہتا ہے کہ WebFetch، WebSearch، اسکرپٹس اور رن ٹائم ویلیوز کو چیک نہیں کیا جاتا۔ چینج لاگ اور عملہ اسی گارڈ کو پوچھنے یا بلاک کرنے کے طور پر بیان کرتے ہیں۔
• دو صارفین نے رپورٹ کیا کہ لوڈ شدہ گارڈ نے بے ضرر ٹیسٹ کمانڈز کو انکار نہیں کیا؛ اینتھروپک نے ان رپورٹس کی تصدیق نہیں کی تھی۔ مستحکم چینل ابھی بھی 2.1.311 پر تھا، جس میں چیک کی کمی ہے، اور ریکارڈنگ کے وقت سب سے نیا چینج لاگ اندراج 2.1.318 تھا۔
• اسی User-Agent لیک کو بیان کرنے والے گٹ ہب ایشوز کی تاریخ 18 ستمبر ہے، جس میں انجیکٹڈ سیاق و سباق بلاک پر جولائی کی ایک رپورٹ ہے۔ فیصلہ REVERT تھا: ایک ایڈریس جسے ماڈل دیکھ سکتا ہے وہ ایک ایڈریس ہے جسے وہ بھیج سکتا ہے۔

ترجمہ شدہ ٹرانسکرپٹ

اصل انگریزی بیان سے ترجمہ کیا گیا۔ دستیاب آڈیو اور کیپشنز یوٹیوب کے زیر انتظام ہیں۔

ایک لاگ ان ای میل ویکیپیڈیا اور SEC تک کیسے پہنچی؟

0:00 آپ کا لاگ ان ای میل لاگ ان کرنے کے لیے ہے۔ کچھ سائن ان شدہ کلود کوڈ صارفین کے لیے، یہ User-Agent کے ساتھ بھی سفر کرتا تھا۔ ویکیپیڈیا اور SEC جیسی سائٹوں کو درخواستیں۔ اس ویڈیو میں: یہ وہاں کیسے پہنچی؟ اور کیا فکس اسے بند کرتا ہے؟ اینتھروپک کا کہنا ہے کہ اسے یہ پہلے پکڑنا چاہیے تھا۔ اس کے اپنے بگ ٹریکر میں اس کی تاریخ ہے کہ کتنی پہلے، اور میں اسے اس سے پہلے پڑھوں گا۔ فیصلہ۔ یہ جمعہ، چھ نومبر ہے، اور یہ The Daily Diff ہے۔

0:24 کلود کوڈ اینتھروپک کا کوڈنگ ایجنٹ ہے۔ یہ آپ کے پروجیکٹ کو پڑھتا ہے اور آپ کے لیے کمانڈز چلاتا ہے، جس میں ویب پر curl کالز بھی شامل ہیں۔ ایک User-Agent ہر ویب درخواست میں وہ لائن ہے جو کال کرنے والے پروگرام کا نام بتاتی ہے۔

ماڈل کو آپ کی ای میل کا علم کیوں تھا؟

0:35 ایڈریس وہاں جان بوجھ کر آیا تھا۔ لیڈیا ہالی، جو کلود کوڈ پر کام کرتی ہیں، نے ہیکر نیوز پر وضاحت کی کہ کلود کوڈ میں مصنف کے ٹیگز جیسی چیزوں کے لیے نام بناتا رہتا تھا، کیونکہ اسے معلوم نہیں تھا کہ آپ کون ہیں۔ اس لیے اینتھروپک نے سائن ان شدہ صارفین کے لیے اکاؤنٹ ای میل کو ماڈل کے سیاق و سباق میں شامل کیا۔ یہ جمعرات کو گٹ ہب کے ایک مسئلے کے ساتھ پھٹا جس کا عنوان تھا User-Agent ہیڈر میں رازداری کی خلاف ورزی۔ رپورٹر اس پر روزانہ درجنوں اسکیم ای میلز کا الزام لگاتا ہے، اور کوئی عوامی چیز اس لنک کو ثابت نہیں کرتی۔

1:02 ہیکر نیوز تھریڈ نے بارہ سو پوائنٹس کو عبور کیا۔ جولائی کی ایک رپورٹ میں پہلے ہی انجیکٹ شدہ متن کا حوالہ دیا گیا تھا۔ صارف کی ای میل کے عنوان کے تحت، اس میں لکھا ہے کہ صارف کا ای میل ایڈریس ہے، پھر آپ کا پتہ۔ اس رپورٹر نے کلود کو گٹ کمٹ میں ایڈریس لکھتے ہوئے بھی پکڑا، اور گٹ ہب کی پش پروٹیکشن نے پش کو بلاک کر دیا۔

ویب سائٹس اسکرپٹس سے ای میل کیوں مانگتی ہیں؟

1:20 کچھ سائٹس اسکرپٹس کو اپنی شناخت کرانے کے لیے کہتی ہیں۔ ویکی میڈیا کی پالیسی کہتی ہے کہ اسکرپٹس کو معلوماتی User-Agent کا استعمال کرنا چاہیے جس میں رابطے کی معلومات ہو، ورنہ انہیں بغیر اطلاع کے بلاک کیا جا سکتا ہے۔ ایک ویب سائٹ بھی ایک رابطے کے طور پر کام کرتی ہے۔ SEC کا ایڈگر صفحہ ایک کمپنی کے نام اور ایک ایڈمن ای میل کے ساتھ ایک نمونہ ہیڈر دکھاتا ہے۔ جب کلود کوڈ ویکیپیڈیا کے لیے اپنا curl کمانڈ لکھتا ہے، سائٹ ایک رابطہ چاہتی ہے، اور اس کے سیاق و سباق میں واحد ایڈریس آپ کا لاگ ان ای میل ہے۔ کلود کوڈ کے ایک ڈویلپر نے ہیکر نیوز پر اسے اس طرح بیان کیا۔

1:48 کلود بظاہر یہ فیصلہ کرنے کا رجحان رکھتا ہے کہ اس پالیسی پر عمل کرنا ضروری ہے۔ اس کا حوالہ دینے والے صارفین کے مطابق، اسی سیاق و سباق بلاک نے ماڈل کو کبھی بھی

کیا کسی چیز نے اسے ایسا کرنے سے نہیں روکا؟

1:56 اس ایڈریس کو کسی غیر متعلقہ سروس پر ہیڈر، URL یا پے لوڈ میں نہ بھیجنے کے لیے کہا۔ ایک اکتوبر کی رپورٹ میں، کلود نے خلاصہ کیا کہ اگلا کیا ہوا۔ میں نے اسے ویسے بھی بھیج دیا۔ اور ایک User-Agent درخواست کے بعد غائب نہیں ہوتا۔ اپاچی کا معیاری مشترکہ لاگ فارمیٹ اسے رسائی لاگ میں لکھتا ہے، وزیٹر کے IP اور وقت کے ساتھ۔ اینتھروپک کا پہلا جواب ورژن 317 میں جاری ہوا۔ چینج لاگ اسے ایک چیک کہتا ہے جو ویب یا شیل ٹول کال کے نیٹ ورک پر آپ کا اکاؤنٹ ای میل بھیجنے سے پہلے پوچھتا ہے۔

پرائیویسی ماڈل دراصل کیا روکتا ہے؟

2:19 یہ بطور ڈیفالٹ فعال ہے۔ لیکن مستحکم چینل ابھی بھی 311 پر ہے، جس میں یہ نہیں ہے۔ اس کا سورس ایشو کے دو گھنٹے سے بھی کم وقت بعد عوامی ہو گیا۔ یہ شیل ٹولز، یعنی باش، پاور شیل اور مانیٹر کو ہک کرتا ہے۔ اگر کوئی کمانڈ آپ کا ایڈریس رکھتا ہے اور ایک User-Agent کا نام دیتا ہے، ریڈمی کہتا ہے کہ اسے فوری جواب کے بغیر انکار کر دیا جاتا ہے۔ چینج لاگ کہتا ہے کہ یہ پوچھتا ہے، ایک اسٹاف تبصرہ کہتا ہے کہ یہ بلاک کرتا ہے، اور ریڈمی کہتا ہے کہ یہ پوچھے بغیر انکار کرتا ہے۔

2:44 پورا باؤنسر دو الفاظ کے میچز ہیں، بغیر کسی پارسر کے، جان بوجھ کر۔ پھر صارفین نے اسے ٹیسٹ کیا۔ ایک میک پر اور ایک ونڈوز پر بے ضرر کمانڈز چلائے، ایک ایکو کہیں نہیں اور ایک curl ایک ڈاٹ انویلڈ ڈومین پر جو کبھی حل نہیں ہوتا۔

کیا گارڈ نے ٹیسٹ پکڑا؟

2:56 دونوں کا کہنا ہے کہ موڈ لوڈڈ کے طور پر ظاہر ہوا، اور کوئی بھی کمانڈ انکار نہیں کی گئی۔ یہ صارف کی رپورٹس ہیں؛ اینتھروپک نے ان کی تصدیق نہیں کی ہے۔ ریڈمی یہ بھی بتاتا ہے کہ کیا گزرتا ہے۔ ویب ٹولز، WebFetch اور WebSearch کو چیک نہیں کیا جاتا، جو ایک چینج لاگ کے ساتھ ایک عجیب فٹ ہے جو ویب کالز کا ذکر کرتا ہے۔ نہ ہی کوئی اسکرپٹ جو آپ کا ایڈریس رکھتا ہے، یا رن ٹائم پر شمار کردہ قدر۔ ریڈمی پوری چیز کو ایک سہولت کہتا ہے جو ایک شکل کو ڈھکتی ہے۔ ہالی کا کہنا ہے کہ اگلی ریلیز اکاؤنٹ ای میل کو اس سے ہٹا دے گی جو کلود کوڈ

3:25 ماڈل کو دیتا ہے، اور اگلے ہفتے کے اوائل میں پہنچنا چاہیے۔ باہر جانے والے راستے پر ایک فلٹر کو ہر راستے کو پہچاننا ہوتا ہے۔

حقیقی فکس کب جاری ہوتا ہے، اور آپ اب کیا کرتے ہیں؟

3:32 اگر ایڈریس کبھی اندر نہیں جاتا، تو فلٹر کرنے کے لیے کچھ بھی نہیں ہے۔ جب میں یہ ریکارڈ کر رہا ہوں، سب سے نیا چینج لاگ اندراج ابھی بھی 318 ہے۔ اگر آپ مستحکم پر ہیں، تو 317 یا اس کے بعد کے ورژن میں اپ ڈیٹ کریں۔ اگر آپ ہکس لکھتے ہیں، تو ونڈوز ٹیسٹر کا عارضی حل فائل کی ترامیم کو بھی چیک کرتا ہے، تاکہ اسکرپٹ لکھے جانے سے پہلے ایک ہارڈ کوڈڈ ایڈریس پکڑا جائے۔ اور اپنے سیشن ٹرانسکرپٹس میں User-Agent کے ساتھ اپنی ای میل تلاش کریں۔ اب وہ تاریخ۔ ہمیں یہ رویہ پہلے پکڑنا چاہیے تھا، ہالی نے لکھا۔

اس کی رپورٹ کتنی پہلے کی گئی تھی؟

4:00 جولائی کی رپورٹ نے پہلے ہی خبردار کیا تھا کہ سیاق و سباق میں موجود کوئی بھی چیز بیرونی ٹول کالز میں لیک ہو سکتی ہے۔ اور 18 ستمبر کو، ایک صارف نے ایک بگ فائل کیا جس کا عنوان تھا، اکاؤنٹ میٹا ڈیٹا سے صارف کی ای میل User-Agent ہیڈر میں غلطی سے بیرونی سروس کو بھیجی گئی۔ یہ جمعرات کے تھریڈ سے سات ہفتے پہلے کی بات ہے، اور ایک بوٹ نے اسے تقریباً ایک منٹ کے اندر ایریا سیکیورٹی کا ٹیگ کیا۔ اکتوبر کے آخر تک، کم از کم چار مزید ایشوز نے اسی لیک کو بیان کیا، ویکیپیڈیا، SEC اور ایک گیمنگ ویکی کو۔

4:24 آج تک، تمام پانچ کھلے ہیں۔ اینتھروپک کا کہنا ہے کہ اسے اس وقت معلوم ہوا جب یہ ریڈٹ پر پھیلنا شروع ہوا۔ معافی خود ہی فوری اور سادہ تھی، میں انہیں یہ دوں گا۔ اگر آپ اسے سننے کے بجائے پڑھنا چاہتے ہیں، تو ڈیف ہر صبح آپ کے ان باکس میں آتا ہے، The Daily Diff.dev پر مفت، لنک نیچے دیا گیا ہے۔ تو، آج کا فیصلہ: REVERT۔ میں اکاؤنٹ ای میل کو ماڈل کے سیاق و سباق میں ڈالنے سے واپس لوں گا، کیونکہ ایک ایڈریس جسے ماڈل دیکھ سکتا ہے وہ ایک ایڈریس ہے جسے وہ بھیج سکتا ہے،

کیا ای میل کو سیاق و سباق میں رہنا چاہیے؟

4:48 اور گارڈ کی اپنی ریڈمی کہتی ہے کہ یہ ایک شکل کو ڈھکتی ہے۔ سبسکرائب کریں، گھنٹی دبائیں، اور مجھے تبصروں میں بتائیں کہ کیا آپ اسے مختلف طریقے سے اسٹیمپ کرتے۔ اور آج کے لیے بس اتنا ہی فرق ہے۔ میں ایکسیریسی سے نیکو ہوں۔ ذمہ داری سے ضم کریں۔ اپنا کام بھیجیں جائزہ لینے کی ضرورت ہے۔

ذرائع

1. Bug report: privacy violation in User-Agent headerGitHub · anthropics/claude-code #107757
2. Claude Code staff explanation and planned removal of the account email from the model contextHacker News
3. Claude Code staff comment on site User-Agent policiesHacker News
4. Privacy mod readme and sourceGitHub · anthropics/claude-code
5. Changelog entry for 2.1.317GitHub · anthropics/claude-code
6. July report on the account email injected into the model contextGitHub · anthropics/claude-code #81138
7. September 18 report of the email sent in a User-Agent headerGitHub · anthropics/claude-code #95258
8. User-Agent PolicyWikimedia Foundation
9. Accessing EDGAR dataU.S. Securities and Exchange Commission
10. Log files: combined log formatApache HTTP Server documentation
11. Dario Amodei at TechCrunch Disrupt 2023 portrait, CC BY 2.0, identification onlyTechCrunch via Wikimedia Commons
12. Original Dario Amodei portrait at TechCrunch Disrupt 2023 — TechCrunch; CC BY 2.0; background removed, cropped and resized; identifies Anthropic only, no endorsement, quote or reactionTechCrunch on Flickr
13. Portrait license: Creative Commons Attribution 2.0Creative Commons; TechCrunch portrait credit above
14. UNO Draw 25 Cards template — brief transformed narrator commentary, no actual reaction by anyone shown or blanket reuse licenceImgflip
15. The Office (Michael Scott) GIF, official @theoffice upload, Peacock — brief transformed narrator commentary, no actual reaction by anyone shown or blanket reuse licence; public hosting does not certify legal clearanceThe Office on GIPHY