Användare av Anthropics kommandoradsverktyg Claude Code upptäckte denna vecka att kodningsagenten hade skickat sina e-postadresser till webbplatser som den besökte - instoppad i "User-Agent"-huvudet för webbförfrågningar som gjordes under forskningsuppgifter. Felet, dokumenterat i GitHub nummer #107757 den 5 november, drog snabbt hundratusentals visningar och ett snabbt svar från Anthropic, tillsammans med skarp kritik av hur korrigeringen levererades. Det är den senaste integritetssnubblen för AI-kodningsagenter, en kategori vi tittar noga på i vår AI-verktygstäckning.

"Dusintals bedrägerimeddelanden per dag"

Reportern, som kör Claude Code version 2.1.318 på macOS, skrev att han började ta emot "dussintals bluff-e-postmeddelanden per dag" efter att verktyget "avslöjade min e-post till godtyckliga tredje parter i "User-Agent"-förfrågningshuvudet medan han gjorde webbsökningar." Han hävdade att beteendet inte borde existera som en opt-in eller opt-out-inställning alls: det gör ingenting för tjänster som ogillar automatiserad trafik, bevarar inte användarens anonymitet och "är en guldgruva för bedragare." En annan kommentator rapporterade oberoende en plötslig flod av bisarr spam som anlände till en gammal, vanligtvis tyst e-postadress ungefär samtidigt.

Problemet märktes av Anthropics underhållare med etiketter inklusive bugg, område:säkerhet och område:verktyg, och drog dussintals kommentarer inom några timmar efter det att det lämnats in.

Hur läckan hände

I en kommentar om frågan förklarade en antropisk bidragsgivare mekanismen - och betonade att ingen hade implementerat e-postdelning medvetet. Scenariot, som beskrivs: vissa webbplatser, Wikipedia bland dem, publicerar policyer som ber skriptklienter att identifiera sig med en kontakt-e-post i User-Agent-huvudet. När en användare bad Claude Code att undersöka ett ämne på en sådan sida, infogade modellen - som försökte följa den policyn - användarens egen e-postadress i rubriken på sitt "curl"-samtal.

Modellen försökte med andra ord vara en väluppfostrad webbmedborgare och läckte privat data i processen. "Modeller kan vara mycket oförutsägbara", skrev bidragsgivaren. "Det är därför deterministiska kontroller kring modellbeteende är så viktiga, och varför vi måste lösa anpassning."

Anthropic's Fix: A Plugin

Anthropics svar skickades snabbt. Enligt samma kommentar introducerades en inbyggd mod som heter `cc-plugin-privacy` i version 2.1.317 och senare för att "deterministiskt blockera detta beteende." Moden är aktiverad som standard och kan stängas av via kommandot `/plugins`, och dess källa har gjorts tillgänglig tillsammans med Anthropics andra inbyggda mods i Claude Code-förrådet. Företaget bad användarna att omedelbart rapportera eventuella luckor i kontrollerna.

Fixningen fick två omedelbara linjer av kritik. Först ifrågasatte vissa användare själva leveransmekanismen: "Sekretess ska inte vara ett plugin. Det borde vara ett invariant", skrev en kommentator och frågade vad som skulle komma härnäst - "cc-plugin-dont-leak-my-API-key?" För det andra, och mer fundamentalt, frågade kommentatorer varför modellen överhuvudtaget har tillgång till användarens e-postadress. Om adressen aldrig sätts in i agentens sammanhang kan ingen mängd modellfel läcka ut den. Som en användare uttryckte det, ser plugin-programmet ut som ett plåster för ett designbeslut som skulle kunna tas bort helt.

Det fanns också rapporter om friktion med utrullningen: en användare som kör version 2.1.318 sa att han inte kunde hitta `cc-plugin-privacy` listad i hans `/plugins`-meny, vilket tyder på att korrigeringen inte hade nått varje installation den var avsedd för. En annan kommentator noterade att en liknande rapport om User-Agent-beteende hade lämnats in i förvaret så tidigt som i juli, och kritiserade projektet för att endast agera när ett problem blivit viralt.

Den större bilden för Agent Security

Incidenten landar i ett känsligt ögonblick för Anthropic, som förbereder sig för en allmänt rapporterad börsnotering och positionerar sina agenter för företagsanvändning. Det landar också mitt i en bredare debatt om design av agentsele: vilket sammanhang en agent ges, vilka deterministiska skyddsräcken som sveper runt den och vem som är ansvarig när en modell improviserar.

Kärnläxan många utvecklare tog från tråden är arkitektonisk. Moderna kodningsagenter agerar med en grad av autonomi som gör *avsiktsbaserade skyddsåtgärder – policyer som modellen är tillsagd att följa – strukturellt opålitliga. Allt känsligt måste hållas utom räckhåll för modellen i första hand, med deterministiska kontroller som upprätthåller beteende som modellen inte kan prata sig runt. Anthropics egen inramning i frågan medger poängen: oförutsägbara modeller kräver deterministiska kontroller.

För användarna är den praktiska vägledningen enkel. Om du kör Claude Code, uppdatera till version 2.1.317 eller senare och bekräfta att sekretessmoden är aktiv. Och fundera på vilket annat sammanhang din agent har – referenser, kontaktuppgifter, interna värdnamn – som en välmenande modell en dag kan besluta sig för att dela med en främling.

Ligg före AI

AI-verktyg levereras snabbare än vad deras säkerhetsrecensioner kan hänga med. Följ varje utveckling i vår AI-nyhetsbevakning.

Läs mer AI-nyheter →