Mã Claude đã gửi email người dùng đến các trang web dưới dạng địa chỉ liên hệ

Nội dung video này đề cập

• Lydia Hallie của Anthropic cho biết email tài khoản được thêm vào ngữ cảnh của mô hình cho người dùng đã đăng nhập vì Claude đã tạo ra tên cho những thứ như thẻ @author mà không có nó.
• Các trang web như Wikimedia yêu cầu tập lệnh cung cấp User-Agent có thông tin liên hệ; chính sách chấp nhận một email, một trang web hoặc một người dùng wiki. Mô hình đôi khi sử dụng email tài khoản mà nó có trong ngữ cảnh.
• Phiên bản 2.1.317 đã thêm một kiểm tra. Tệp readme được công bố của nó mô tả việc từ chối không có lời nhắc đối với các cuộc gọi Bash, PowerShell và Monitor giữ địa chỉ và đặt tên User-Agent, đồng thời cho biết WebFetch, WebSearch, tập lệnh và giá trị thời gian chạy không được kiểm tra. Nhật ký thay đổi và nhân viên mô tả cùng một bảo vệ là hỏi hoặc chặn.
• Hai người dùng báo cáo rằng tính năng bảo vệ được tải không từ chối các lệnh kiểm tra vô hại; Anthropic chưa xác nhận các báo cáo đó. Kênh ổn định vẫn ở phiên bản 2.1.311, không có kiểm tra, và mục nhật ký thay đổi mới nhất tại thời điểm ghi là 2.1.318.
• Các vấn đề trên GitHub mô tả cùng một rò rỉ User-Agent có từ ngày 18 tháng 9, với một báo cáo vào tháng 7 về khối ngữ cảnh được đưa vào. Phán quyết là REVERT: một địa chỉ mà mô hình có thể thấy là một địa chỉ mà nó có thể gửi.

Bản ghi đã dịch

Được dịch từ lời tường thuật tiếng Anh gốc. Âm thanh và phụ đề có sẵn được điều khiển bởi YouTube.

Làm thế nào một email đăng nhập đến được Wikipedia và SEC?

0:00 Email đăng nhập của bạn dùng để đăng nhập. Đối với một số người dùng Claude Code đã đăng nhập, nó cũng được đưa vào User-Agent của các yêu cầu tới các trang web như Wikipedia và SEC. Trong video này: nó đã đến đó bằng cách nào? Và liệu bản sửa lỗi có đóng nó không? Anthropic nói rằng lẽ ra họ phải phát hiện ra điều này sớm hơn. Trình theo dõi lỗi của riêng họ có một ngày cho biết nó đã sớm hơn bao nhiêu, và tôi sẽ đọc nó trước phán quyết. Hôm nay là thứ Sáu, ngày 6 tháng 11, và đây là The Daily Diff.

0:24 Claude Code là tác nhân mã hóa của Anthropic. Nó đọc dự án của bạn và chạy các lệnh cho bạn, bao gồm các cuộc gọi curl đến web. User-Agent là dòng trong mỗi yêu cầu web đặt tên cho chương trình đang gọi.

Tại sao mô hình lại biết email của bạn?

0:35 Địa chỉ đã đến đó có chủ đích. Lydia Hallie, người làm việc trên Claude Code, đã giải thích trên Hacker News rằng Claude tiếp tục tạo ra tên cho những thứ như thẻ tác giả trong mã, bởi vì nó không biết bạn là ai. Vì vậy, Anthropic đã thêm email tài khoản vào ngữ cảnh của mô hình cho người dùng đã đăng nhập. Nó bùng nổ vào thứ Năm với một vấn đề GitHub có tiêu đề vi phạm quyền riêng tư trong tiêu đề User-Agent. Người báo cáo đổ lỗi cho nó về hàng chục email lừa đảo mỗi ngày, và không có bằng chứng công khai nào chứng minh mối liên hệ đó.

1:02 Chủ đề Hacker News đã vượt qua mười hai trăm điểm. Một báo cáo từ tháng 7 đã trích dẫn văn bản được chèn. Dưới tiêu đề email người dùng, nó nói địa chỉ email của người dùng là, sau đó là địa chỉ của bạn. Người báo cáo đó cũng đã phát hiện Claude viết địa chỉ vào các cam kết git, và tính năng bảo vệ đẩy của GitHub đã chặn đẩy.

Tại sao các trang web yêu cầu tập lệnh cung cấp email?

1:20 Một số trang web yêu cầu tập lệnh tự nhận dạng. Chính sách của Wikimedia nói rằng tập lệnh nên sử dụng User-Agent có thông tin, thông tin liên hệ, nếu không chúng có thể bị chặn mà không cần thông báo. Một trang web cũng hoạt động như một liên hệ. Trang Edgar của SEC hiển thị một tiêu đề mẫu với tên công ty và email quản trị. Khi Claude Code viết lệnh curl của riêng mình cho Wikipedia, trang web muốn một liên hệ, và địa chỉ duy nhất trong ngữ cảnh của nó là email đăng nhập của bạn. Một nhà phát triển Claude Code đã nói như thế này trên Hacker News.

1:48 Claude dường như có xu hướng quyết định rằng chính sách này đáng để tuân thủ. Theo người dùng trích dẫn, cùng một khối ngữ cảnh đã nói với mô hình không bao giờ

Không có gì ngăn cản nó sao?

1:56 gửi địa chỉ đó đến một dịch vụ không liên quan, trong tiêu đề, URL hoặc tải trọng. Trong một báo cáo tháng 10, Claude đã tóm tắt những gì đã xảy ra tiếp theo. Tôi vẫn gửi nó. Và User-Agent không biến mất sau yêu cầu. Định dạng nhật ký kết hợp tiêu chuẩn của Apache ghi nó vào nhật ký truy cập, bên cạnh IP của khách truy cập và thời gian. Phản hồi đầu tiên của Anthropic đã được phát hành trong phiên bản ba trăm mười bảy.

Chế độ riêng tư thực sự chặn gì?

2:19 Nhật ký thay đổi gọi đó là một kiểm tra sẽ hỏi trước khi một cuộc gọi công cụ web hoặc shell gửi email tài khoản của bạn đến mạng. Nó được bật theo mặc định. Nhưng kênh ổn định vẫn ở phiên bản ba trăm mười một, không có nó. Nguồn của nó đã được công khai chưa đầy hai giờ sau sự cố. Nó gắn các công cụ shell, nghĩa là Bash, PowerShell và Monitor. Nếu một lệnh giữ địa chỉ của bạn và đặt tên User-Agent, readme nói rằng nó bị từ chối, không có lời nhắc.

2:44 Nhật ký thay đổi nói rằng nó hỏi, một bình luận của nhân viên nói rằng nó chặn, và readme nói rằng nó từ chối mà không hỏi. Toàn bộ bouncer là hai từ khớp, không có trình phân tích cú pháp, một cách có chủ đích. Sau đó người dùng đã thử nghiệm nó.

Tính năng bảo vệ có bắt được thử nghiệm không?

2:56 Một người trên máy Mac và một người trên Windows đã chạy các lệnh vô hại, một lệnh echo vào hư không và một lệnh curl đến một tên miền chấm không hợp lệ không bao giờ phân giải. Cả hai đều nói rằng mod hiển thị là đã tải, và không có lệnh nào bị từ chối. Đó là các báo cáo của người dùng; Anthropic chưa xác nhận chúng. Readme cũng liệt kê những gì được thông qua. Các công cụ web, WebFetch và WebSearch, không được kiểm tra, đó là một sự không phù hợp kỳ lạ với nhật ký thay đổi đề cập đến các cuộc gọi web. Cũng không phải một tập lệnh chứa địa chỉ của bạn, hoặc một giá trị được tính toán tại thời gian chạy.

3:25 Readme gọi toàn bộ sự việc là một sự lịch sự chỉ bao gồm một hình dạng. Hallie nói rằng bản phát hành tiếp theo sẽ loại bỏ email tài khoản khỏi những gì Claude Code

Bản sửa lỗi thực sự sẽ được phát hành khi nào, và bạn sẽ làm gì bây giờ?

3:32 cung cấp cho mô hình, và sẽ đến vào đầu tuần tới. Một bộ lọc trên đường ra phải nhận ra mọi tuyến đường. Nếu địa chỉ không bao giờ đi vào, thì không có gì để lọc. Khi tôi ghi hình điều này, mục nhật ký thay đổi mới nhất vẫn là ba trăm mười tám. Nếu bạn đang ở kênh ổn định, hãy cập nhật lên ba trăm mười bảy trở lên. Nếu bạn viết các hook, giải pháp tạm thời của người thử nghiệm Windows cũng kiểm tra các chỉnh sửa tệp, vì vậy một địa chỉ được mã hóa cứng sẽ bị phát hiện trước khi tập lệnh được viết. Và tìm kiếm bản ghi phiên của bạn để tìm email của chính bạn bên cạnh User-Agent.

Nó đã được báo cáo sớm hơn bao nhiêu?

4:00 Bây giờ là ngày đó. Chúng tôi lẽ ra phải phát hiện hành vi này sớm hơn, Hallie đã viết. Báo cáo tháng 7 đã cảnh báo rằng bất cứ thứ gì trong ngữ cảnh có thể rò rỉ vào các cuộc gọi công cụ đi ra ngoài. Và vào ngày 18 tháng 9, một người dùng đã gửi một lỗi có tiêu đề, email người dùng từ siêu dữ liệu tài khoản vô tình được gửi đến dịch vụ bên ngoài trong tiêu đề User-Agent. Đó là bảy tuần trước chủ đề của thứ Năm, và một bot đã gắn thẻ khu vực bảo mật trong khoảng một phút.

4:24 Đến cuối tháng 10, ít nhất bốn vấn đề khác đã mô tả cùng một rò rỉ, đến Wikipedia, SEC và một wiki game. Tính đến hôm nay, cả năm vẫn đang mở. Anthropic nói rằng họ đã nhận thấy khi điều này bắt đầu bùng nổ trên Reddit. Lời xin lỗi của họ rất nhanh chóng và rõ ràng, tôi sẽ thừa nhận điều đó. Nếu bạn muốn đọc điều này hơn là nghe tôi nói, the diff sẽ đến hộp thư đến của bạn mỗi sáng, miễn phí tại the daily diff dot dev, liên kết bên dưới. Vì vậy, phán quyết hôm nay: REVERT.

Email có nên ở trong ngữ cảnh không?

4:48 Tôi sẽ hoàn nguyên việc đưa email tài khoản vào ngữ cảnh của mô hình, bởi vì một địa chỉ mà mô hình có thể thấy là một địa chỉ mà nó có thể gửi, và readme của chính tính năng bảo vệ nói rằng nó bao gồm một hình dạng. Đăng ký, nhấn chuông, và cho tôi biết trong phần bình luận nếu bạn sẽ đóng dấu nó khác đi. Và đó là the diff của ngày hôm nay. Tôi là Niko từ Axrisi. Hợp nhất một cách có trách nhiệm.

Nguồn

1. Bug report: privacy violation in User-Agent headerGitHub · anthropics/claude-code #107757
2. Claude Code staff explanation and planned removal of the account email from the model contextHacker News
3. Claude Code staff comment on site User-Agent policiesHacker News
4. Privacy mod readme and sourceGitHub · anthropics/claude-code
5. Changelog entry for 2.1.317GitHub · anthropics/claude-code
6. July report on the account email injected into the model contextGitHub · anthropics/claude-code #81138
7. September 18 report of the email sent in a User-Agent headerGitHub · anthropics/claude-code #95258
8. User-Agent PolicyWikimedia Foundation
9. Accessing EDGAR dataU.S. Securities and Exchange Commission
10. Log files: combined log formatApache HTTP Server documentation
11. Dario Amodei at TechCrunch Disrupt 2023 portrait, CC BY 2.0, identification onlyTechCrunch via Wikimedia Commons
12. Original Dario Amodei portrait at TechCrunch Disrupt 2023 — TechCrunch; CC BY 2.0; background removed, cropped and resized; identifies Anthropic only, no endorsement, quote or reactionTechCrunch on Flickr
13. Portrait license: Creative Commons Attribution 2.0Creative Commons; TechCrunch portrait credit above
14. UNO Draw 25 Cards template — brief transformed narrator commentary, no actual reaction by anyone shown or blanket reuse licenceImgflip
15. The Office (Michael Scott) GIF, official @theoffice upload, Peacock — brief transformed narrator commentary, no actual reaction by anyone shown or blanket reuse licence; public hosting does not certify legal clearanceThe Office on GIPHY