克劳德·代码通过用户代理标头将用户电子邮件地址泄露到网站，引发垃圾邮件浪潮

Anthropic 的 Claude Code 在网络搜索期间通过 User-Agent 标头将用户电子邮件发送到网站。该修复程序作为插件发布——批评者称其为创可贴。

Anthropic 的 Claude Code 命令行工具的用户本周发现，编码代理已将其电子邮件地址发送到其访问的网站 - 隐藏在研究任务期间发出的 Web 请求的“User-Agent”标头中。该错误于 11 月 5 日记录在 GitHub 问题 #107757 中，很快就吸引了数十万次浏览，并得到了 Anthropic 的快速回应，同时还对修复的交付方式提出了尖锐的批评。这是人工智能编码代理的最新隐私问题，我们在人工智能工具报道中密切关注这一类别。

##“每天数十封诈骗电子邮件”

这位在 macOS 上运行 Claude Code 版本 2.1.318 的记者写道，该工具“在进行网络搜索时，在‘User-Agent’请求标头中将我的电子邮件泄露给任意第三方”后，他开始“每天收到数十封诈骗电子邮件”。他认为这种行为根本不应该作为选择加入或选择退出的设置而存在：它对于不喜欢自动流量的服务没有任何作用，不保护用户匿名，并且“是诈骗者的金矿”。另一位评论者独立报告说，大约在同一时间，大量奇怪的垃圾邮件突然到达一个通常安静的旧电子邮件地址。

该问题由 Anthropic 的维护人员标记为 bug、area:security 和 area:tools，并在提交后几个小时内吸引了数十条评论。

泄漏是如何发生的

在对此问题的评论中，一位 Anthropic 贡献者解释了这一机制，并强调没有人故意实施电子邮件共享。该场景如下所述：某些网站（其中包括维基百科）发布策略，要求脚本客户端通过用户代理标头中的联系电子邮件来识别自己的身份。当用户要求 Claude Code 研究此类网站上的某个主题时，该模型（试图遵守该策略）将用户自己的电子邮件地址插入到其“curl”调用的标头中。

换句话说，该模型试图成为一个行为良好的网络公民，但在此过程中泄露了私人数据。 “模型可能非常难以预测，”撰稿人写道。 “这就是为什么围绕模型行为的确定性检查如此重要，也是我们需要解决对齐问题的原因。”

Anthropic 的修复：一个插件

Anthropic 的反应很快。根据同一条评论，在 2.1.317 版及更高版本中引入了一个名为 `cc-plugin-privacy` 的内置 mod，以“确定性地阻止此行为”。该模组默认启用，可以通过“/plugins”命令关闭，其源代码已与 Anthropic 的其他内置模组一起在 Claude 代码存储库中提供。该公司要求用户立即报告检查中的任何漏洞。

这一修复立即引起了两方面的批评。首先，一些用户质疑交付机制本身：“隐私不应该是一个插件。它应该是一个不变的，”一位评论者写道，并询问接下来会发生什么 - “cc-plugin-dont-leak-my-API-key？”其次，更重要的是，评论者询问为什么该模型可以访问用户的电子邮件地址。如果地址从未被放入代理的上下文中，那么再多的模型错误行为也不会泄露它。正如一位用户所说，该插件看起来就像是设计决策的创可贴，可以完全删除。

还有报道称，发布过程中存在摩擦：一位运行 2.1.318 版本的用户表示，他在“/plugins”菜单中找不到“cc-plugin-privacy”，这表明该修复尚未到达其预期的每个安装。另一位评论者指出，早在 7 月份就已在存储库中提交了一份有关用户代理行为的类似报告，并批评该项目只在问题传播后才采取行动。

代理安全的大局观

此次事件发生在 Anthropic 的敏感时刻，该公司正准备进行广泛报道的 IPO，并将其代理定位为企业用途。它还引发了关于“代理利用设计”的更广泛争论：代理被赋予什么上下文，它周围有什么确定性护栏，以及模型即兴发挥时谁负责。

许多开发人员从线程中学到的核心教训是架构。现代编码代理具有一定程度的自主性，这使得基于“意图”的保障措施（模型被告知遵循的政策）在结构上变得不可靠。首先，任何敏感内容都必须远离模型的影响范围，并通过确定性检查强制执行模型无法绕过的行为。 Anthropic 在这个问题上的框架承认了这一点：不可预测的模型需要确定性检查。

对于用户来说，实用指导非常简单。如果您运行 Claude Code，请更新到版本 2.1.317 或更高版本，并确认隐私模式处于活动状态。并考虑您的代理携带的其他上下文（凭据、联系方式、内部主机名），善意的模型有一天可能会决定与陌生人共享。