Anthropic の Claude Code コマンドライン ツールのユーザーは今週、コーディング エージェントが訪問先の Web サイトにユーザーの 電子メール アドレスを送信していたことを発見しました。これは調査タスク中に行われた Web リクエストの「User-Agent」ヘッダーに埋め込まれていました。このバグは、11 月 5 日に GitHub issue #107757 で文書化され、すぐに数十万のビューと Anthropic からの迅速な対応を呼び起こし、修正の提供方法についての鋭い批判が寄せられました。これは、AI コーディング エージェントにとってプライバシーに関する最新のつまずきであり、AI ツールの報道 で私たちが注意深く監視しているカテゴリーです。

「1 日に数十通の詐欺メール」

macOS 上で Claude Code バージョン 2.1.318 を実行しているこの記者は、このツールが「Web 検索中に『User-Agent』 リクエスト ヘッダーで私の電子メールを任意のサードパーティに漏洩した」後、「1 日に数十通の詐欺メール」を受信するようになったと書いています。同氏は、この動作はオプトインまたはオプトアウト設定として存在すべきではないと主張した。自動化されたトラフィックを嫌うサービスには何も作用せず、ユーザーの匿名性も維持されず、「詐欺師にとっては宝の山だ」という。別のコメント投稿者は、同じ頃、古い、通常は静かな電子メール アドレスに奇妙なスパムが突然大量に届いたと独自に報告しました。

この問題は Anthropic の管理者によって bug、area:security、area:tools などのラベルでタグ付けされ、報告されてから数時間以内に数十のコメントが集まりました。

漏洩はどのようにして起こったのか

この問題に関するコメントの中で、Anthropic の寄稿者はそのメカニズムを説明し、誰も電子メール共有を意図的に実装していないと強調しました。説明されているシナリオ: 一部のサイト (Wikipedia など) は、スクリプト化されたクライアントに、User-Agent ヘッダー内の連絡先電子メールで自分自身を識別するよう求めるポリシーを公開しています。ユーザーがそのようなサイトのトピックを調査するよう Claude Code に依頼すると、モデルはそのポリシーに準拠しようとして、ユーザー自身の電子メール アドレスを「curl」呼び出しのヘッダーに挿入しました。

言い換えれば、モデルは行儀の良いウェブ市民であろうとし、その過程で個人データを漏洩させたということです。 「モデルは非常に予測不可能な場合があります」と寄稿者は書いています。 「これが、モデルの動作に関する決定論的なチェックが非常に重要である理由であり、調整を解決する必要がある理由です。」

Anthropic の修正: プラグイン

Anthropic の返答はすぐに届きました。同じコメントによると、「この動作を決定的にブロックする」ために `cc-plugin-privacy` と呼ばれる組み込み MOD が バージョン 2.1.317 以降 に導入されました。この MOD はデフォルトで有効になっており、「/plugins」コマンドでオフに切り替えることができます。そのソースは、Claude Code リポジトリで Anthropic の他の組み込み MOD と一緒に利用できるようになりました。同社はユーザーに対し、小切手に不備があった場合は直ちに報告するよう求めた。

この修正により、即座に 2 つの批判が巻き起こりました。まず、一部のユーザーは配信メカニズムそのものに疑問を呈し、「プライバシーはプラグインであってはなりません。不変のものであるべきです」とコメント投稿者の一人が書き、次に何が来るのか、「cc-plugin-dont-leak-my-API-key?」と尋ねました。第 2 に、より根本的な点で、コメント投稿者は なぜモデルがユーザーの電子メール アドレスにアクセスできるのか と尋ねました。アドレスがエージェントのコンテキストに決して配置されない場合、モデルの誤った動作によってアドレスが漏洩する可能性はありません。あるユーザーが言ったように、このプラグインは完全に削除できる設計上の決定のための絆創膏のように見えます。

公開に伴う摩擦についても報告がありました。バージョン 2.1.318 を実行しているユーザーの 1 人は、「/plugins」メニューのリストに「cc-plugin-privacy」が見つからないと述べており、修正が対象となるすべてのインストールに適用されていないことを示唆しています。別のコメント投稿者は、User-Agent の動作に関する同様のレポートが 7 月にもリポジトリに提出されていたと指摘し、プロジェクトが問題が広まってからしか行動しないと批判しました。

エージェントのセキュリティの全体像

この事件は、広く報道される IPO の準備を進め、企業向けに代理店を配置している Anthropic にとって、微妙な時期に発生した。また、この問題は、エージェント ハーネスの設計に関する広範な議論の真っ只中にあります。つまり、エージェントにどのようなコンテキストが与えられるか、どのような決定論的なガードレールがエージェントを囲むか、モデルが即興で行動する場合に誰が責任を取るかなどです。

多くの開発者がこのスレッドから得た中心的な教訓は、アーキテクチャに関するものです。最新のコーディング エージェントはある程度の自律性を持って動作するため、意図 ベースの保護手段 (モデルが従うように指示されたポリシー) は構造的に信頼できなくなります。機密性の高いものはすべて、最初からモデルの手の届かないところに置いておく必要があり、決定論的なチェックにより、モデルが勝手に話すことができない動作が強制されます。この問題における Anthropic 自身の枠組みは、予測不可能なモデルには決定論的なチェックが必要であるという点を認めています。

ユーザーにとって、実践的なガイダンスは簡単です。 Claude Code を実行する場合は、バージョン 2.1.317 以降に更新し、プライバシー MOD が有効であることを確認してください。そして、エージェントがその他のコンテキスト (資格情報、連絡先詳細、内部ホスト名) を保持していることを考慮してください。善意のモデルが、いつか見知らぬ人と共有することを決定する可能性があります。

AI の一歩先を行く

AI ツールは、安全性レビューが追いつかないほどの速さで出荷されています。 AI ニュース報道 であらゆる展開をフォローしてください。

AIニュースをもっと読む→