Claude Code 將使用者的電子郵件寄給網站作為聯絡地址
Claude Code 將登入帳戶的電子郵件地址新增至模型的上下文，而代理程式有時會將該地址放入它為要求腳本提供聯絡方式的網站（例如 Wikipedia 和 SEC）所撰寫的 curl 請求的 User-Agent 標頭中。
Claude Code 將登入帳戶的電子郵件地址新增至模型的上下文，而代理程式有時會將該地址放入它為要求腳本提供聯絡方式的網站（例如 Wikipedia 和 SEC）所撰寫的 curl 請求的 User-Agent 標頭中。Anthropic 在版本 2.1.317 中發布了一個 shell 命令檢查，並表示下一個版本將從上下文中移除電子郵件。使用者對相同洩漏的報告可追溯到 9 月 18 日。
本影片重點
- Anthropic 的 Lydia Hallie 表示，登入使用者的帳戶電子郵件已新增至模型的上下文，因為如果沒有它，Claude 會為諸如 @author 標籤之類的事物編造名稱。
- Wikimedia 等網站要求腳本提供包含聯絡資訊的有用 User-Agent；政策接受電子郵件、網站或維基使用者。模型有時會使用上下文中有的帳戶電子郵件。
- 版本 2.1.317 新增了檢查。其發布的 readme 描述了對包含地址並命名 User-Agent 的 Bash、PowerShell 和 Monitor 呼叫的拒絕，沒有提示，並表示 WebFetch、WebSearch、腳本和執行時值未經檢查。變更日誌和工作人員將相同的防護措施描述為要求或阻擋。
- 兩位使用者報告說，載入的防護措施沒有拒絕無害的測試命令；Anthropic 尚未確認這些報告。穩定版仍為 2.1.311，缺少該檢查，而錄製時最新的變更日誌條目為 2.1.318。
- 描述相同 User-Agent 洩漏的 GitHub 問題可追溯到 9 月 18 日，7 月份有一份關於注入上下文區塊的報告。判決結果是 REVERT：模型可以看到的地址就是它可以發送的地址。
問題與解答
Claude Code 為何將使用者的電子郵件地址放入 User-Agent 標頭中？
根據 Claude Code 團隊的 Lydia Hallie 表示，Anthropic 將登入帳戶的電子郵件地址新增至模型的上下文，以便 Claude 不再為作者標籤等內容編造名稱。當 Claude 撰寫自己的 curl 命令時，它有時會將該地址用作 User-Agent 中的聯絡方式，因為某些網站要求腳本提供聯絡方式。
維基百科和 SEC 為何要求腳本自行識別？
Wikimedia 的 User-Agent 政策規定，腳本應使用包含聯絡資訊的資訊性 User-Agent 字串，否則可能會在不通知的情況下被阻擋，並且它接受電子郵件地址、網站或維基使用者。SEC 的 EDGAR 頁面要求自動化客戶端聲明使用者代理，並顯示包含公司名稱和管理員電子郵件的範例標頭。
Claude Code 隱私模組檢查了什麼，又遺漏了什麼？
該模組發布的 readme 說明，它會拒絕（不提示）Bash、PowerShell 或 Monitor 呼叫，如果其輸入包含帳戶地址並命名 User-Agent，它會使用兩個單字匹配而不使用解析器。readme 說明 WebFetch、WebSearch、MCP 工具、包含地址的腳本以及在執行時計算的值都未經檢查，並稱該模組是一種涵蓋一種形式的禮貌。
從代理程式上下文中移除資料與過濾其命令有何不同？
是的。出站命令的過濾器必須識別資料可能採取的每個路徑，而 Claude Code readme 列出了其過濾器不涵蓋的幾個路徑。從上下文中移除地址意味著模型無可發送。Lydia Hallie 表示，下一個版本將從上下文中移除帳戶電子郵件，預計下週初發布；在錄製時，最新的變更日誌條目為 2.1.318。
The Daily Diff 對 Claude Code 電子郵件變更的判決是什麼？
The Daily Diff 的判決是 REVERT，旨在將帳戶電子郵件放入模型上下文中，因為模型可以看到的地址就是它可以發送的地址。該集指出，防護措施自己的 readme 說明它涵蓋一種形式，並且描述相同 User-Agent 洩漏的 GitHub 問題於 9 月 18 日提交，比病毒式討論串早了七週。
翻譯文字稿
譯自英文原版旁白。可用的音訊和字幕由 YouTube 控制。
登入電子郵件是如何到達維基百科和 SEC 的？
0:00 您的登入電子郵件是用於登入的。 對於某些已登入的 Claude Code 使用者，它也會隨同 對維基百科和 SEC 等網站的請求中的 User-Agent。 在此影片中：它是如何到達那裡的？ 修復程式是否解決了這個問題？ Anthropic 表示他們應該更早發現這個問題。 他們的錯誤追蹤器上有一個日期，說明了它早了多少，我會在判決 結果之前讀它。今天是 11 月 6 日星期五，這是 The Daily Diff。
0:24 Claude Code 是 Anthropic 的程式設計代理。 它會讀取您的專案並為您執行命令， 包括對網路的 curl 呼叫。 User-Agent 是每個網路請求中識別呼叫程式的行。
模型為何知道您的電子郵件？
0:35 該地址是有意放在那裡的。 在 Claude Code 工作的 Lydia Hallie 在 Hacker News 上解釋說，Claude 一直在為程式碼中的作者標籤等東西編造名稱， 因為它不知道你是誰。 因此 Anthropic 將帳戶電子郵件新增到已登入使用者的模型上下文中。 週四，一個名為「User-Agent 標頭中的隱私侵犯」的 GitHub 問題爆發了。 報告者將其歸咎於每天數十封詐騙電子郵件， 但沒有公開證據證明這種關聯。
1:02 Hacker News 討論串超過一千兩百點。 7 月的一份報告已經引用了注入的文字。 在標題為「使用者電子郵件」下，它說使用者的電子郵件地址是， 然後是您的地址。 該報告者還發現 Claude 將地址寫入 git 提交中， 而 GitHub 的推送保護阻擋了推送。
網站為何要求腳本提供電子郵件？
1:20 有些網站要求腳本自行識別。 Wikimedia 的政策規定，腳本應使用包含聯絡資訊的資訊性 User-Agent， 否則可能會在不通知的情況下被阻擋。 網站也可以作為聯絡方式。 SEC 的 Edgar 頁面顯示了一個包含公司名稱和管理員 電子郵件的範例標頭。當 Claude Code 為維基百科撰寫自己的 curl 命令時， 網站需要一個聯絡方式，而其上下文中唯一的地址就是您的登入 電子郵件。一位 Claude Code 開發人員在 Hacker News 上這樣說。
1:48 Claude 顯然傾向於決定這項政策值得遵循。 根據引用它的使用者說法，相同的上下文區塊告訴模型永遠不要
沒有任何東西告訴它不要這樣做嗎？
1:56 在標頭中、URL 中或負載中，將該地址發送到不相關的服務。 在 10 月的一份報告中，Claude 總結了接下來發生的事情。 我還是發送了。 而 User-Agent 在請求後並不會消失。 Apache 的標準組合日誌格式會將其寫入存取日誌中， 與訪問者的 IP 和時間並列。 Anthropic 的第一個回應隨版本 3.17 發布。 變更日誌稱其為一項檢查，會在網路或 shell 工具呼叫傳送
隱私模組實際上阻擋了什麼？
2:19 您的帳戶電子郵件到網路之前進行詢問。 它預設是開啟的。 但穩定版仍在 3.11 版，沒有此功能。 它的原始碼在問題發布後不到兩小時就公開了。 它掛鉤了 shell 工具，意思是 Bash、PowerShell 和 Monitor。 如果命令包含您的地址並命名 User-Agent， readme 說它會被拒絕，沒有提示。 變更日誌說它會詢問，工作人員評論說它會阻擋，
2:44 而 readme 說它會不經詢問就拒絕。 整個阻擋器是兩個單字匹配，沒有解析器， 這是故意的。然後使用者對其進行了測試。 一位在 Mac 上，一位在 Windows 上執行了無害的命令，
防護措施是否成功攔截了測試？
2:56 一個是 echo 到空白處，另一個是 curl 到一個永遠無法解析的無效網域。 兩者都說模組顯示已載入，且兩個命令都未被拒絕。 這些是使用者報告；Anthropic 尚未確認。 readme 也列出了哪些可以通過。 網路工具，WebFetch 和 WebSearch，未經檢查， 這與提到網路呼叫的變更日誌不太符合。 同樣，包含您的地址的腳本，或在執行時計算的值，也未經檢查。 readme 稱整個事情為一種禮貌，只涵蓋一種形式。
3:25 Hallie 表示下一個版本將從 Claude Code 提供給模型的內容中移除帳戶電子郵件，預計下週初發布。
實際修復何時發布，您現在該怎麼辦？
3:32 出站過濾器必須識別每個路徑。 如果地址從未進入，就沒有什麼可過濾的。 在我錄製此內容時，最新的變更日誌條目仍是 3.18。 如果您使用穩定版，請更新到 3.17 或更高版本。 如果您編寫掛鉤，Windows 測試人員的權宜之計也會檢查檔案編輯， 因此硬編碼的地址會在腳本撰寫之前被發現。 並在您的會話記錄中搜尋您的電子郵件旁邊的 User-Agent。 現在那個日期。
更早多久就被報導了？
4:00 我們應該更早發現這種行為，Hallie 寫道。 7 月的報告已經警告說， 上下文中任何內容都可能洩漏到出站 工具呼叫中。而在 9 月 18 日，一位使用者提交了一個錯誤，標題為： 來自帳戶中繼資料的使用者電子郵件無意中發送到外部服務， 在 User-Agent 標頭中。這比週四的討論串早了七週， 一個機器人約在一分鐘內將其標記為安全性區域。 到 10 月下旬，至少還有四個問題描述了相同的洩漏，
4:24 到維基百科、SEC 和一個遊戲維基。 截至今天，所有五個都還開放。 Anthropic 表示，當這個問題開始在 Reddit 上爆發時，他們就注意到了。 我承認，道歉本身是迅速而直接的。 如果您寧願閱讀而不是聽我說，The Daily Diff 每天早上都會免費 寄到您的收件匣，網址是 thedailydiff.dev，連結在下方。 所以，今天的判決：REVERT。 我會撤銷將帳戶電子郵件放入模型上下文的決定，
電子郵件應該保留在上下文中嗎？
4:48 因為模型可以看到的地址就是它可以發送的地址， 而防護措施自己的 readme 說它只涵蓋一種形式。 訂閱、點擊鈴鐺，並在評論中告訴我，如果您會以不同的方式蓋章。 這就是今天的差異。 我是 Axrisi 的 Niko。 負責任地合併。 負責任地合併。
來源
- Bug report: privacy violation in User-Agent headerGitHub · anthropics/claude-code #107757
- Claude Code staff explanation and planned removal of the account email from the model contextHacker News
- Claude Code staff comment on site User-Agent policiesHacker News
- Privacy mod readme and sourceGitHub · anthropics/claude-code
- Changelog entry for 2.1.317GitHub · anthropics/claude-code
- July report on the account email injected into the model contextGitHub · anthropics/claude-code #81138
- September 18 report of the email sent in a User-Agent headerGitHub · anthropics/claude-code #95258
- User-Agent PolicyWikimedia Foundation
- Accessing EDGAR dataU.S. Securities and Exchange Commission
- Log files: combined log formatApache HTTP Server documentation
- Dario Amodei at TechCrunch Disrupt 2023 portrait, CC BY 2.0, identification onlyTechCrunch via Wikimedia Commons
- Original Dario Amodei portrait at TechCrunch Disrupt 2023 — TechCrunch; CC BY 2.0; background removed, cropped and resized; identifies Anthropic only, no endorsement, quote or reactionTechCrunch on Flickr
- Portrait license: Creative Commons Attribution 2.0Creative Commons; TechCrunch portrait credit above
- UNO Draw 25 Cards template — brief transformed narrator commentary, no actual reaction by anyone shown or blanket reuse licenceImgflip
- The Office (Michael Scott) GIF, official @theoffice upload, Peacock — brief transformed narrator commentary, no actual reaction by anyone shown or blanket reuse licence; public hosting does not certify legal clearanceThe Office on GIPHY
.jpg){kind=link}