Uživatelé nástroje příkazového řádku Claude Code společnosti Anthropic tento týden zjistili, že kódovací agent posílal jejich e-mailové adresy na webové stránky, které navštívil – zastrčené do hlavičky „User-Agent“ webových požadavků podaných během výzkumných úkolů. Chyba zdokumentovaná v vydání na GitHubu #107757 z 5. listopadu rychle přilákala stovky tisíc zhlédnutí a rychlou odezvu od společnosti Anthropic spolu s ostrou kritikou toho, jak byla oprava doručena. Je to nejnovější klopýtnutí v oblasti ochrany soukromí pro kódovací agenty AI, kategorii, kterou pozorně sledujeme v našem [pokrytí nástrojů AI] (https://aibuzzwire.news).

„Desítky podvodných e-mailů za den“

Reportér, který používá Claude Code verze 2.1.318 na macOS, napsal, že začal dostávat „desítky podvodných e-mailů denně“ poté, co nástroj „prozradil můj e-mail libovolným třetím stranám v záhlaví požadavku „User-Agent“ při provádění vyhledávání na webu. Tvrdil, že toto chování by vůbec nemělo existovat jako nastavení opt-in nebo opt-out: nedělá nic pro služby, které nemají rády automatizovaný provoz, nezachovává anonymitu uživatelů a „je zlatým dolem pro podvodníky“. Jiný komentující nezávisle ohlásil náhlou záplavu bizarního spamu, který zhruba ve stejnou dobu dorazil na starou, obvykle tichou e-mailovou adresu.

Tento problém byl označen správci Anthropic štítky včetně bug, area:security a area:tools a během několika hodin od podání vyvolal desítky komentářů.

Jak k úniku došlo

V komentáři k tomuto problému přispěvatel Antropie vysvětlil mechanismus – a zdůraznil, že nikdo neimplementoval sdílení e-mailů záměrně. Scénář, jak je popsán: některé weby, mezi nimi Wikipedie, publikují zásady požadující od skriptovaných klientů, aby se identifikovali kontaktním e-mailem v hlavičce User-Agent. Když uživatel požádal Claude Code, aby prozkoumal téma na takovém webu, model – ve snaze vyhovět těmto zásadám – vložil vlastní e-mailovou adresu uživatele do hlavičky svého volání „curl“.

Jinými slovy, model se snažil být dobře vychovaným webovým občanem a během toho unikal soukromá data. "Modely mohou být vysoce nepředvídatelné," napsal přispěvatel. "To je důvod, proč jsou deterministické kontroly chování modelu tak důležité a proč musíme vyřešit zarovnání."

Oprava Anthropic: Plugin

Odpověď Anthropic byla odeslána rychle. Podle stejného komentáře byl ve verze 2.1.317 a novější představen vestavěný mod s názvem `cc-plugin-privacy`, který „deterministicky blokuje toto chování“. Mod je ve výchozím nastavení povolen a lze jej vypnout pomocí příkazu `/plugins` a jeho zdroj byl zpřístupněn spolu s dalšími vestavěnými moduly Anthropic v úložišti Claude Code. Společnost požádala uživatele, aby okamžitě nahlásili jakékoli mezery v kontrolách.

Oprava vyvolala hned dvě linie kritiky. Nejprve někteří uživatelé zpochybňovali samotný mechanismus doručování: "Soukromí by nemělo být pluginem. Mělo by to být invariant," napsal jeden komentátor a zeptal se, co bude následovat - "cc-plugin-dont-leak-my-API-key?" Za druhé, a to je zásadnější, komentátoři se ptali, proč má model vůbec přístup k e-mailové adrese uživatele. Pokud adresa není nikdy umístěna do kontextu agenta, nemůže ji uniknout žádné množství špatného chování modelu. Jak řekl jeden uživatel, plugin vypadá jako náplast pro rozhodnutí o designu, kterou lze zcela odstranit.

Objevily se také zprávy o neshodách se zavedením: jeden uživatel používající verzi 2.1.318 řekl, že nemůže najít `cc-plugin-privacy` uvedený v jeho nabídce `/plugins`, což naznačuje, že se oprava nedostala do každé instalace, pro kterou byla určena. Další komentátor poznamenal, že podobná zpráva o chování User-Agent byla uložena v úložišti již v červenci, a kritizoval projekt za to, že jednal pouze tehdy, když se problém stane virálním.

Větší obrázek pro Agent Security

Incident se dostává do citlivého okamžiku pro společnost Anthropic, která se připravuje na široce hlášenou IPO a umísťuje své agenty pro podnikové použití. Zapadá také do širší debaty o designu postroje agentů: jaký kontext je agentovi dán, jaké deterministické mantinely ho obklopují a kdo nese odpovědnost, když model improvizuje.

Hlavní lekce, kterou si mnoho vývojářů z vlákna vzalo, je architektura. Moderní kódovací agenti jednají s takovou mírou autonomie, která činí záruky založené na záměrech – zásady, které má model dodržovat – strukturálně nespolehlivé. Cokoli citlivého musí být v první řadě drženo mimo dosah modelu, s deterministickými kontrolami vynucujícími chování model nemůže mluvit. Antropic vlastní rámec v tomto problému připouští pointu: nepředvídatelné modely vyžadují deterministické kontroly.

Pro uživatele je praktický návod jednoduchý. Pokud spustíte Claude Code, aktualizujte na verzi 2.1.317 nebo novější a potvrďte, že je aktivní režim ochrany osobních údajů. A zvažte, jaký další kontext váš agent nese – přihlašovací údaje, kontaktní údaje, interní názvy hostitelů – které by se dobře míněný model mohl jednoho dne rozhodnout sdílet s cizím člověkem.

Udržujte si náskok před umělou inteligencí

Nástroje umělé inteligence se dodávají rychleji, než stačí jejich bezpečnostní hodnocení. Sledujte každý vývoj v našem zpravodajství o AI.

Přečtěte si další zprávy o AI →