Tuần này, người dùng công cụ dòng lệnh Claude Code của Anthropic đã phát hiện ra rằng tác nhân mã hóa đã gửi địa chỉ email của họ đến các trang web mà nó đã truy cập — được nhét vào tiêu đề `User-Agent` của các yêu cầu web được thực hiện trong quá trình nghiên cứu. Lỗi được ghi lại trong Vấn đề GitHub #107757 vào ngày 5 tháng 11, đã nhanh chóng thu hút hàng trăm nghìn lượt xem và phản hồi nhanh chóng từ Anthropic, cùng với những lời chỉ trích thẳng thắn về cách thực hiện bản sửa lỗi. Đây là sự cố mới nhất về quyền riêng tư đối với các tác nhân mã hóa AI, một danh mục mà chúng tôi theo dõi chặt chẽ trong phạm vi bảo hiểm về công cụ AI.

"Hàng chục email lừa đảo mỗi ngày"

Phóng viên đang chạy Claude Code phiên bản 2.1.318 trên macOS đã viết rằng anh ta bắt đầu nhận được “hàng tá email lừa đảo mỗi ngày” sau khi công cụ này “tiết lộ email của tôi cho các bên thứ 3 tùy ý trong tiêu đề yêu cầu `User-Agent` khi tiến hành tìm kiếm trên web." Ông lập luận rằng hành vi này hoàn toàn không nên tồn tại dưới dạng cài đặt chọn tham gia hoặc chọn không tham gia: nó không có tác dụng gì đối với các dịch vụ không thích lưu lượng truy cập tự động, không bảo vệ danh tính người dùng và "là mỏ vàng cho những kẻ lừa đảo". Một người bình luận khác đã báo cáo một cách độc lập rằng một loạt thư rác kỳ lạ bất ngờ được gửi đến một địa chỉ email cũ, thường yên tĩnh vào cùng thời điểm.

Sự cố đã được những người bảo trì của Anthropic gắn thẻ với các nhãn bao gồm bug, khu vực:bảo mật và khu vực:công cụ và đã thu hút hàng chục bình luận trong vòng vài giờ sau khi được gửi.

Rò rỉ xảy ra như thế nào

Trong một bình luận về vấn đề này, một cộng tác viên của Anthropic đã giải thích cơ chế này - và nhấn mạnh rằng không ai cố tình thực hiện chia sẻ email. Tình huống, như được mô tả: một số trang web, Wikipedia trong số đó, xuất bản các chính sách yêu cầu khách hàng theo kịch bản nhận dạng chính họ bằng email liên hệ trong tiêu đề Tác nhân người dùng. Khi người dùng yêu cầu Claude Code nghiên cứu một chủ đề trên một trang web như vậy, mô hình — cố gắng tuân thủ chính sách đó — đã chèn địa chỉ email của chính người dùng đó vào tiêu đề của lệnh gọi `curl` của nó.

Nói cách khác, mô hình này đã cố gắng trở thành một công dân web có hành vi tốt và đã làm rò rỉ dữ liệu riêng tư trong quá trình này. Người đóng góp viết: “Các mô hình có thể rất khó đoán. "Đây là lý do tại sao việc kiểm tra xác định xung quanh hành vi của mô hình lại rất quan trọng và tại sao chúng ta cần giải quyết vấn đề căn chỉnh."

Cách khắc phục của Anthropic: Một plugin

Phản ứng của Anthropic được vận chuyển nhanh chóng. Theo nhận xét tương tự, một mod tích hợp có tên `cc-plugin-privacy` đã được giới thiệu trong phiên bản 2.1.317 trở lên để "chặn dứt khoát hành vi này". Bản mod được bật theo mặc định và có thể được tắt thông qua lệnh `/plugins`, đồng thời nguồn của nó đã được cung cấp cùng với các bản mod tích hợp khác của Anthropic trong kho lưu trữ Claude Code. Công ty đã yêu cầu người dùng báo cáo ngay lập tức bất kỳ lỗ hổng nào trong quá trình kiểm tra.

Việc sửa chữa đã thu hút hai dòng chỉ trích ngay lập tức. Đầu tiên, một số người dùng đặt câu hỏi về cơ chế phân phối: "Quyền riêng tư không phải là một plugin. Nó phải là một bất biến", một người bình luận viết và hỏi điều gì sẽ xảy ra tiếp theo - "cc-plugin-dont-leak-my-API-key?" Thứ hai, và về cơ bản hơn, những người bình luận đã hỏi tại sao mô hình lại có quyền truy cập vào địa chỉ email của người dùng. Nếu địa chỉ không bao giờ được đặt vào ngữ cảnh của tác nhân thì không có hành vi sai trái nào trong mô hình có thể làm rò rỉ nó. Như một người dùng đã nói, plugin trông giống như một công cụ hỗ trợ cho một quyết định thiết kế có thể bị loại bỏ hoàn toàn.

Cũng có báo cáo về sự cản trở trong quá trình triển khai: một người dùng đang chạy phiên bản 2.1.318 cho biết anh ấy không thể tìm thấy `cc-plugin-privacy` được liệt kê trong menu `/plugins` của mình, cho thấy bản sửa lỗi chưa đạt được mọi cài đặt mà nó mong muốn. Một người bình luận khác lưu ý rằng một báo cáo tương tự về hành vi Tác nhân người dùng đã được gửi vào kho lưu trữ vào đầu tháng 7 và chỉ trích dự án chỉ hành động khi một vấn đề lan truyền.

Bức tranh lớn hơn về bảo mật đại lý

Sự việc xảy ra vào thời điểm nhạy cảm đối với Anthropic, công ty đang chuẩn bị cho đợt IPO được báo cáo rộng rãi và định vị các đại lý của mình để sử dụng cho doanh nghiệp. Nó cũng xảy ra trong bối cảnh một cuộc tranh luận rộng rãi hơn về thiết kế khai thác tác nhân: bối cảnh mà một tác nhân được đưa ra, những rào chắn mang tính quyết định nào bao quanh nó và ai sẽ chịu trách nhiệm khi một mô hình ứng biến.

Bài học cốt lõi mà nhiều nhà phát triển đã rút ra từ chủ đề này là về kiến ​​trúc. Các tác nhân mã hóa hiện đại hoạt động với mức độ tự chủ khiến cho các biện pháp bảo vệ dựa trên ý định — các chính sách mà mô hình được yêu cầu tuân theo — không đáng tin cậy về mặt cấu trúc. Ngay từ đầu, bất kỳ điều gì nhạy cảm phải được đặt ngoài tầm với của mô hình, với hành vi thực thi các biện pháp kiểm tra xác định mà mô hình không thể nói được. Cách đóng khung riêng của Anthropic trong vấn đề này đã thừa nhận quan điểm: các mô hình không thể đoán trước đòi hỏi phải có sự kiểm tra tất định.

Đối với người dùng, hướng dẫn thực tế rất đơn giản. Nếu bạn chạy Claude Code, hãy cập nhật lên phiên bản 2.1.317 trở lên và xác nhận mod quyền riêng tư đang hoạt động. Và xem xét bối cảnh khác mà đại lý của bạn mang theo — thông tin xác thực, chi tiết liên hệ, tên máy chủ nội bộ — mà một ngày nào đó một mô hình có thiện chí có thể quyết định chia sẻ với một người lạ.

Đi trước AI

Các công cụ AI đang vận hành nhanh hơn tốc độ mà các đánh giá về an toàn của chúng có thể theo kịp. Theo dõi mọi diễn biến trong tin tức AI của chúng tôi.

Đọc thêm tin tức về AI →