Benutzer des Anthropic-Befehlszeilentools Claude Code entdeckten diese Woche, dass der Codierungsagent ihre E-Mail-Adressen an von ihm besuchte Websites gesendet hatte – versteckt im „User-Agent“-Header von Webanfragen, die während Rechercheaufgaben gestellt wurden. Der Fehler, der am 5. November in GitHub-Problem Nr. 107757 dokumentiert wurde, löste schnell Hunderttausende Aufrufe und eine schnelle Reaktion von Anthropic aus, zusammen mit deutlicher Kritik an der Art und Weise, wie der Fix bereitgestellt wurde. Es ist das neueste Datenschutzproblem für KI-Programmierer, eine Kategorie, die wir in unserer Berichterstattung über KI-Tools genau beobachten.

„Dutzende betrügerische E-Mails pro Tag“

Der Reporter, der Claude Code Version 2.1.318 auf macOS ausführte, schrieb, dass er begann, „dutzende Betrugs-E-Mails pro Tag“ zu erhalten, nachdem das Tool „meine E-Mails im Anforderungsheader „User-Agent“ an beliebige Dritte weitergegeben hatte, während er Websuchen durchführte“. Er argumentierte, dass das Verhalten überhaupt nicht als Opt-in- oder Opt-out-Einstellung existieren sollte: Es hat keinen Einfluss auf Dienste, die automatisierten Datenverkehr nicht mögen, wahrt die Anonymität der Benutzer nicht und ist „eine Goldgrube für Betrüger“. Ein anderer Kommentator berichtete unabhängig davon, dass etwa zur gleichen Zeit plötzlich eine Flut seltsamer Spam-Mails an eine alte, normalerweise ruhige E-Mail-Adresse eintraf.

Das Problem wurde von den Betreuern von Anthropic mit Etiketten wie bug, area:security und area:tools gekennzeichnet und zog innerhalb weniger Stunden nach seiner Einreichung Dutzende Kommentare nach sich.

Wie es zu dem Leck kam

In einem Kommentar zu diesem Thema erläuterte ein Anthropic-Mitarbeiter den Mechanismus – und betonte, dass niemand das Teilen per E-Mail absichtlich implementiert habe. Das beschriebene Szenario: Einige Websites, darunter Wikipedia, veröffentlichen Richtlinien, die skriptgesteuerte Clients auffordern, sich mit einer Kontakt-E-Mail-Adresse im User-Agent-Header zu identifizieren. Als ein Benutzer Claude Code aufforderte, ein Thema auf einer solchen Website zu recherchieren, fügte das Modell – in dem Versuch, diese Richtlinie einzuhalten – die eigene E-Mail-Adresse des Benutzers in den Header seines „Curl“-Aufrufs ein.

Mit anderen Worten: Das Model versuchte, ein braver Web-Bürger zu sein und ließ dabei private Daten durchsickern. „Modelle können höchst unvorhersehbar sein“, schrieb der Autor. „Deshalb sind deterministische Überprüfungen des Modellverhaltens so wichtig und warum wir die Ausrichtung lösen müssen.“

Anthropics Fix: Ein Plugin

Die Antwort von Anthropic kam schnell. Dem gleichen Kommentar zufolge wurde in Version 2.1.317 und höher ein integrierter Mod namens `cc-plugin-privacy` eingeführt, um „dieses Verhalten deterministisch zu blockieren“. Der Mod ist standardmäßig aktiviert und kann über den Befehl „/plugins“ deaktiviert werden. Seine Quelle wurde zusammen mit den anderen integrierten Mods von Anthropic im Claude Code-Repository verfügbar gemacht. Das Unternehmen forderte die Nutzer auf, etwaige Lücken in den Kontrollen umgehend zu melden.

Der Fix löste sofort zwei Kritikpunkte aus. Erstens stellten einige Benutzer den Bereitstellungsmechanismus selbst in Frage: „Privacy sollte kein Plugin sein. Es sollte eine Invariante sein“, schrieb ein Kommentator und fragte, was als nächstes kommen würde – „cc-plugin-dont-leak-my-API-key?“ Zweitens und noch grundlegender: Kommentatoren fragten, warum das Model überhaupt Zugriff auf die E-Mail-Adresse des Benutzers hat. Wenn die Adresse niemals in den Kontext des Agenten eingefügt wird, kann sie durch kein Fehlverhalten des Modells preisgegeben werden. Wie ein Benutzer es ausdrückte, sieht das Plugin wie ein Pflaster für eine Designentscheidung aus, das vollständig entfernt werden könnte.

Es gab auch Berichte über Reibungen mit der Einführung: Ein Benutzer, der Version 2.1.318 ausführte, sagte, er könne „cc-plugin-privacy“ nicht in seinem „/plugins“-Menü finden, was darauf hindeutet, dass der Fix nicht jede Installation erreicht hatte, für die er gedacht war. Ein anderer Kommentator bemerkte, dass bereits im Juli ein ähnlicher Bericht über das Verhalten von User-Agents im Repository abgelegt worden sei, und kritisierte das Projekt dafür, dass es erst dann handelt, wenn ein Problem viral wird.

Das Gesamtbild der Agentensicherheit

Der Vorfall kommt zu einem sensiblen Zeitpunkt für Anthropic, das sich auf einen viel beachteten Börsengang vorbereitet und seine Agenten für den Einsatz in Unternehmen positioniert. Es landet auch inmitten einer breiteren Debatte über das Design des Agentengeschirrs: Welcher Kontext einem Agenten gegeben wird, welche deterministischen Leitplanken ihn umgeben und wer verantwortlich ist, wenn ein Modell improvisiert.

Die Kernlektion, die viele Entwickler aus dem Thread gezogen haben, ist die Architektur. Moderne Codierungsagenten agieren mit einem Grad an Autonomie, der absichtsbasierte Schutzmaßnahmen – Richtlinien, denen das Modell folgen soll – strukturell unzuverlässig macht. Alles Sensible muss von vornherein außerhalb der Reichweite des Modells bleiben, da deterministische Prüfungen das Verhalten erzwingen, das das Modell nicht umgehen kann. Anthropics eigene Formulierung des Themas räumt den Punkt ein: Unvorhersehbare Modelle erfordern deterministische Kontrollen.

Für Benutzer ist die praktische Anleitung unkompliziert. Wenn Sie Claude Code ausführen, aktualisieren Sie auf Version 2.1.317 oder höher und bestätigen Sie, dass der Datenschutz-Mod aktiv ist. Und bedenken Sie, welchen weiteren Kontext Ihr Agent trägt – Anmeldeinformationen, Kontaktdaten, interne Hostnamen –, den ein wohlmeinendes Model eines Tages möglicherweise mit einem Fremden teilen möchte.

Bleiben Sie der KI immer einen Schritt voraus

KI-Tools werden schneller ausgeliefert, als ihre Sicherheitsüberprüfungen mithalten können. Verfolgen Sie jede Entwicklung in unserer KI-Berichterstattung.

Weitere KI-Neuigkeiten lesen →