Claude Code는 사용자 에이전트 헤더를 통해 사용자 이메일 주소를 웹사이트로 유출하여 스팸 파동을 촉발시켰습니다.

Anthropic의 Claude Code는 웹 검색 중에 User-Agent 헤더를 통해 사용자 이메일을 웹사이트로 보냈습니다. 수정 사항은 플러그인으로 제공됩니다. 비평가들은 이를 반창고라고 부릅니다.

Anthropic의 Claude Code 명령줄 도구 사용자는 이번 주에 코딩 에이전트가 자신이 방문한 웹사이트에 자신의 이메일 주소를 연구 작업 중에 이루어진 웹 요청의 'User-Agent' 헤더에 집어넣었다는 사실을 발견했습니다. 11월 5일 GitHub 문제 #107757에 문서화된 이 버그는 수십만 건의 조회수를 기록했고 Anthropic의 신속한 반응과 함께 수정 사항이 어떻게 전달되었는지에 대한 날카로운 비판을 받았습니다. 이는 AI 도구 범위에서 면밀히 관찰하고 있는 카테고리인 AI 코딩 에이전트에 대한 최신 개인 정보 보호 문제입니다.

"하루에도 수십 통의 사기 이메일"

macOS에서 Claude Code 버전 2.1.318을 실행하는 기자는 이 도구가 "웹 검색을 수행하는 동안 'User-Agent' 요청 헤더에 있는 내 이메일을 임의의 제3자에게 공개한" 이후 "하루에 수십 통의 사기 이메일"을 받기 시작했다고 썼습니다. 그는 이러한 행위가 옵트인 또는 옵트아웃 설정으로 존재해서는 안 된다고 주장했습니다. 이는 자동화된 트래픽을 싫어하고 사용자 익명성을 유지하지 않으며 "사기꾼에게는 금광"인 서비스에는 아무 것도 하지 않습니다. 또 다른 댓글 작성자는 거의 같은 시간에 오래되고 일반적으로 조용했던 이메일 주소로 기괴한 스팸이 갑자기 쏟아져 들어오는 것을 독립적으로 보고했습니다.

이 문제는 Anthropic의 관리자에 의해 bug, area:security, area:tools 등의 라벨로 태그 지정되었으며, 접수된 지 몇 시간 내에 수십 개의 댓글이 달렸습니다.

누출은 어떻게 발생했나요?

이 문제에 대한 논평에서 Anthropic 기고자는 메커니즘을 설명하고 누구도 의도적으로 이메일 공유를 구현하지 않았다고 강조했습니다. 설명된 대로 시나리오는 Wikipedia 등의 일부 사이트에서 스크립팅된 클라이언트에게 User-Agent 헤더의 연락처 이메일로 자신을 식별하도록 요청하는 정책을 게시합니다. 사용자가 Claude Code에게 그러한 사이트의 주제를 조사해 달라고 요청했을 때 모델은 해당 정책을 준수하려고 시도하면서 'curl' 호출 헤더에 사용자 자신의 이메일 주소를 삽입했습니다.

즉, 해당 모델은 선량한 웹 시민이 되려고 노력했으며 그 과정에서 개인정보가 유출된 것입니다. 기고자는 "모델은 예측하기가 매우 어려울 수 있습니다."라고 썼습니다. "이것이 모델 동작에 대한 결정론적 검사가 중요한 이유이며 정렬 문제를 해결해야 하는 이유입니다."

Anthropic의 수정: 플러그인

Anthropic의 응답은 빠르게 전달되었습니다. 같은 댓글에 따르면 "이 동작을 결정적으로 차단"하기 위해 `cc-plugin-privacy`라는 내장 모드가 버전 2.1.317 이상에 도입되었습니다. 모드는 기본적으로 활성화되어 있으며 '/plugins' 명령을 통해 끌 수 있으며 해당 소스는 Claude Code 저장소에 있는 Anthropic의 다른 내장 모드와 함께 사용할 수 있습니다. 회사는 사용자들에게 수표에 차이가 있는 경우 즉시 보고하도록 요청했습니다.

이 수정 사항은 즉각적인 두 가지 비판을 불러일으켰습니다. 첫째, 일부 사용자는 제공 메커니즘 자체에 의문을 제기했습니다. 한 댓글 작성자는 "개인 정보 보호는 플러그인이 되어서는 안 됩니다. 고정되어야 합니다. "라고 적고 다음에는 "cc-plugin-dont-leak-my-API-key?"가 무엇인지 묻습니다. 둘째, 더 근본적으로 댓글 작성자는 왜 모델이 사용자의 이메일 주소에 액세스할 수 있는지 질문했습니다. 주소가 에이전트의 컨텍스트에 배치되지 않으면 모델의 오작동으로 인해 주소가 유출될 수 없습니다. 한 사용자가 말했듯이 플러그인은 완전히 제거될 수 있는 디자인 결정을 위한 반창고처럼 보입니다.

또한 출시와 관련된 마찰에 대한 보고도 있었습니다. 버전 2.1.318을 실행하는 한 사용자는 자신의 '/plugins' 메뉴에서 'cc-plugin-privacy'를 찾을 수 없다고 말했는데, 이는 수정 사항이 의도한 모든 설치에 도달하지 않았음을 암시합니다. 또 다른 논평자는 User-Agent 동작에 대한 유사한 보고서가 7월에 저장소에 제출되었다는 점을 언급하고 문제가 입소문이 난 후에만 조치를 취하는 프로젝트를 비판했습니다.

에이전트 보안의 더 큰 그림

이 사건은 널리 보고된 IPO를 준비하고 기업용 대리인을 배치하고 있는 Anthropic에게 민감한 순간에 이르렀습니다. 또한 에이전트 하네스 설계(에이전트에게 어떤 컨텍스트가 제공되는지, 어떤 결정론적 가드레일이 이를 둘러싸고 있는지, 모델이 즉석에서 작업할 때 누가 책임을 져야 하는지)에 대한 광범위한 논쟁이 진행되고 있습니다.

많은 개발자가 스레드에서 얻은 핵심 교훈은 아키텍처입니다. 최신 코딩 에이전트는 의도 기반 보호 장치(모델이 따라야 하는 정책)를 구조적으로 신뢰할 수 없게 만드는 어느 정도의 자율성을 가지고 작동합니다. 모델이 원하는 대로 말할 수 없는 동작을 강제하는 결정론적 검사를 통해 민감한 모든 항목은 먼저 모델의 손이 닿지 않는 곳에 보관해야 합니다. 이 문제에 대한 Anthropic의 자체 프레임은 요점을 인정합니다. 즉, 예측할 수 없는 모델은 결정론적 점검을 요구합니다.

사용자에게는 실용적인 지침이 간단합니다. Claude Code를 실행하는 경우 버전 2.1.317 이상으로 업데이트하고 개인정보 보호 모드가 활성화되어 있는지 확인하세요. 그리고 선의의 모델이 언젠가 낯선 사람과 공유하기로 결정할 수 있는 자격 증명, 연락처 세부 정보, 내부 호스트 이름 등 에이전트가 전달하는 다른 컨텍스트가 무엇인지 고려하십시오.