Gebruikers van Anthropic's opdrachtregelprogramma Claude Code ontdekten deze week dat de codeeragent hun e-mailadressen naar websites had gestuurd die het bezocht - weggestopt in de `User-Agent`-header van webverzoeken die tijdens onderzoekstaken werden gedaan. De bug, gedocumenteerd in GitHub issue #107757 op 5 november, trok al snel honderdduizenden views en een snelle reactie van Anthropic, samen met scherpe kritiek op de manier waarop de oplossing werd geleverd. Het is de nieuwste privacy-struikel voor AI-codeeragenten, een categorie die we nauwlettend in de gaten houden in onze [dekking over AI-tools] (https://aibuzzwire.news).

"Tientallen zwendel-e-mails per dag"

De verslaggever, die Claude Code versie 2.1.318 op macOS draaide, schreef dat hij "tientallen oplichtings-e-mails per dag" begon te ontvangen nadat de tool "mijn e-mail aan willekeurige derden had bekendgemaakt in de 'User-Agent'-verzoekheader tijdens het uitvoeren van zoekopdrachten op internet." Hij betoogde dat dit gedrag helemaal niet zou mogen bestaan ​​als een opt-in- of opt-out-instelling: het doet niets voor diensten die een hekel hebben aan geautomatiseerd verkeer, waarborgt de anonimiteit van de gebruiker niet en "is een goudmijn voor oplichters." Een andere reageerder maakte onafhankelijk melding van een plotselinge stroom bizarre spam die rond dezelfde tijd op een oud, doorgaans rustig e-mailadres arriveerde.

Het probleem werd door de beheerders van Anthropic getagd met labels als bug, area:security en area:tools, en binnen enkele uren nadat het probleem was ingediend, ontstonden er tientallen reacties.

Hoe het lek gebeurde

In een commentaar op de kwestie legde een medewerker van Anthropic het mechanisme uit – en benadrukte dat niemand het delen van e-mail opzettelijk had geïmplementeerd. Het scenario, zoals beschreven: sommige sites, waaronder Wikipedia, publiceren beleid waarin scriptclients worden gevraagd zichzelf te identificeren met een contact-e-mailadres in de User-Agent-header. Toen een gebruiker Claude Code vroeg om onderzoek te doen naar een onderwerp op zo'n site, voegde het model, in een poging aan dat beleid te voldoen, het eigen e-mailadres van de gebruiker in de header van zijn 'curl'-aanroep in.

Met andere woorden: het model probeerde een braaf webburger te zijn en lekte daarbij privégegevens. "Modellen kunnen zeer onvoorspelbaar zijn", schreef de medewerker. "Dit is de reden waarom deterministische controles rond modelgedrag zo belangrijk zijn, en waarom we de afstemming moeten oplossen."

De oplossing van Anthropic: een plug-in

Het antwoord van Anthropic werd snel verzonden. Volgens hetzelfde commentaar werd in versie 2.1.317 en hoger een ingebouwde mod genaamd `cc-plugin-privacy` geïntroduceerd om "dit gedrag deterministisch te blokkeren." De mod is standaard ingeschakeld en kan worden uitgeschakeld via het commando `/plugins`, en de bron ervan is beschikbaar gemaakt naast de andere ingebouwde mods van Anthropic in de Claude Code-repository. Het bedrijf vroeg gebruikers om eventuele hiaten in de cheques onmiddellijk te melden.

De oplossing lokte meteen twee punten van kritiek uit. Ten eerste trokken sommige gebruikers het leveringsmechanisme zelf in twijfel: "Privacy zou geen plug-in moeten zijn. Het zou een invariant moeten zijn", schreef een commentator, met de vraag wat er daarna zou komen: "cc-plugin-dont-lek-mijn-API-sleutel?" Ten tweede, en meer fundamenteel, vroegen commentatoren waarom het model überhaupt toegang heeft tot het e-mailadres van de gebruiker. Als het adres nooit in de context van de agent wordt geplaatst, kan geen enkele vorm van wangedrag het lekken. Zoals een gebruiker het uitdrukte, ziet de plug-in eruit als een pleister voor een ontwerpbeslissing die volledig kan worden verwijderd.

Er waren ook meldingen van problemen met de uitrol: een gebruiker die versie 2.1.318 draaide, zei dat hij `cc-plugin-privacy` niet kon vinden in zijn `/plugins`-menu, wat suggereert dat de oplossing niet elke installatie had bereikt waarvoor deze bedoeld was. Een andere commentator merkte op dat een soortgelijk rapport over User-Agent-gedrag al in juli in de repository was opgeslagen, en bekritiseerde het project omdat het pas in actie kwam zodra een probleem viraal ging.

Het grotere geheel voor agentbeveiliging

Het incident komt op een gevoelig moment terecht voor Anthropic, dat zich voorbereidt op een breed gerapporteerde beursintroductie en zijn agenten positioneert voor zakelijk gebruik. Het komt ook terecht in een breder debat over het ontwerp van een agentharnas: welke context een agent krijgt, welke deterministische vangrails eromheen worden gewikkeld en wie verantwoordelijk is als een model improviseert.

De kernles die veel ontwikkelaars uit de thread hebben gehaald, is architectonisch. Moderne codeeragenten handelen met een mate van autonomie die op intentie gebaseerde waarborgen – beleid dat het model moet volgen – structureel onbetrouwbaar maakt. Alles wat gevoelig is, moet in de eerste plaats buiten het bereik van het model worden gehouden, met deterministische controles die gedrag afdwingen waar het model niet omheen kan praten. Anthropic's eigen formulering van de kwestie geeft dit punt toe: onvoorspelbare modellen vereisen deterministische controles.

Voor gebruikers is de praktische begeleiding eenvoudig. Als u Claude Code gebruikt, update dan naar versie 2.1.317 of hoger en bevestig dat de privacymod actief is. En bedenk welke andere context uw agent bij zich heeft (inloggegevens, contactgegevens, interne hostnamen) die een goedbedoelend model op een dag zou kunnen besluiten te delen met een vreemde.

Blijf AI een stap voor

AI-tools worden sneller verzonden dan hun veiligheidsbeoordelingen kunnen bijhouden. Volg elke ontwikkeling in onze AI-nieuwsverslaggeving.

Lees meer AI-nieuws →