Claude Code ujawniał Twój e-mail. Co zrobić?

Tak, Claude Code mógł wysłać adres e-mail Twojego konta obcym stronom. Model, pisząc samodzielnie polecenia pobierające dane z sieci, czasem wpisywał ten adres do nagłówka User-Agent jako dane kontaktowe. Anthropic przyznał się do błędu. Od wersji 2.1.317 Claude Code ma wbudowaną blokadę, ale obejmuje ona tylko jeden schemat takiego polecenia. W kolejnym wydaniu, zapowiadanym na początek przyszłego tygodnia, adres ma w ogóle zniknąć z danych przekazywanych modelowi. Co zrobić teraz: zaktualizować Claude Code do wersji 2.1.317 lub nowszej (wolniejszy kanał stable jej jeszcze nie ma) i nie wyłączać nowej blokady.

Co się stało

W czwartek 5 listopada wieczorem użytkownik otworzył w repozytorium Claude Code na GitHubie zgłoszenie #107757 pod tytułem „Bug Report: Privacy violation in User-Agent header”. Pisze, że codziennie dostaje dziesiątki maili od oszustów, bo Claude Code bez jego zgody przekazywał jego adres przypadkowym stronom podczas wyszukiwania w sieci, i że przenosi firmę na inne narzędzie. Związek między Claude Code a spamem to wersja zgłaszającego, a nie ustalony fakt. Sam mechanizm potwierdził jednak zespół Claude Code.

Sprawa nie jest nowa. Już 25 lipca inny użytkownik opisał w zgłoszeniu #81138, że Claude Code dokleja do instrukcji dla modelu blok z adresem e-mail konta.

Skąd Twój adres w zapytaniach do stron

Wyjaśnienie podała na forum Hacker News Lydia Hallie z zespołu Claude Code. Użytkownicy zgłaszali, że Claude zmyśla dane autora, na przykład w znacznikach @author w kodzie, bo nie wie, z kim pracuje. Dlatego zalogowanym użytkownikom Anthropic zaczął dodawać adres e-mail konta do kontekstu modelu, czyli do informacji, które widzi w każdej sesji obok Twojego promptu.

Kłopot pojawiał się, gdy Claude jako agent sam pisał polecenie pobierające dane, na przykład przez program curl. User-Agent to nagłówek, którym program przedstawia się serwerowi. Według Hallie niektóre strony proszą boty o dane kontaktowe. Amerykańska Komisja Papierów Wartościowych i Giełd (SEC) prosi na przykład programy pobierające jej dane, by wpisywały w User-Agent nazwę firmy i adres e-mail administratora. Claude czasem uzupełniał to pole adresem, który miał pod ręką, czyli Twoim. Taki nagłówek trafia na serwer strony i może zostać zapisany w jej logach.

Kogo to dotyczy

Rodzaj planu nie ma tu znaczenia: sprawa dotyczy każdego, kto loguje się do Claude Code kontem Claude, jak większość osób na abonamencie Pro albo Max. W abonamencie nic się nie zmienia, liczy się tylko kanał aktualizacji.

Co Anthropic już zrobił

Wersja 2.1.317 z 3 listopada dodała włączony domyślnie, wbudowany mod cc-plugin-privacy, który ma nie dopuścić do wysłania adresu konta do sieci. Mody to wtyczki dokładające do Claude Code własne reguły. Inny członek zespołu napisał na Hacker News, że Anthropic dowiedział się o problemie kilka dni przed zgłoszeniem, gdy zrobiło się o nim głośno na Reddicie.

Opis moda w repozytorium mówi, co dokładnie łapie: polecenie w terminalu (Bash albo PowerShell), w którym jednocześnie pojawia się adres konta i nagłówek User-Agent. Sam opis nazywa blokadę gestem uprzejmości, a nie barierą bezpieczeństwa, i wymienia, co przez nią przechodzi:

• Adres poza User-Agentem: w linku do strony, w treści zapytania albo w nagłówku From:.
• Wbudowane narzędzia sieciowe: WebFetch i WebSearch nie są sprawdzane, podobnie jak narzędzia MCP.
• Adres podany pośrednio: przez zmienną, wartość pobraną w trakcie działania, wysłany plik albo skrypt, który go zawiera.

Hallie przyznaje to samo: blokada nie obejmuje wszystkich przypadków, na przykład skryptu, który Claude napisze i uruchomi sam. Część użytkowników zgłasza w komentarzach, że na wersjach 2.1.317 i 2.1.318 mod jest załadowany, a mimo to przepuszcza ich testowe polecenia.

Właściwa poprawka ma pojawić się w następnym wydaniu, zapowiadanym na początek przyszłego tygodnia. Hallie zapowiada, że w tej wersji adres e-mail konta zniknie z kontekstu modelu, i przeprasza: zespół powinien był wychwycić to zachowanie wcześniej. To ważniejsza zmiana niż blokada. Jak zauważył autor zgłoszenia #81138, wszystko, co jest w kontekście, model może wypisać także w kodzie, plikach czy commitach (zapisach zmian w kodzie).

Co zrobić teraz

• Sprawdź wersję: wpisz w terminalu claude --version. Potrzebujesz 2.1.317 lub nowszej, a najnowsza to 2.1.319.
• Wyjdź z kanału stable: ten kanał dostaje wersje mniej więcej sprzed tygodnia i wciąż stoi na 2.1.311, bez blokady. Zmień to w /config: w opcji Auto-update channel ustaw latest, a potem wpisz claude update. Przy instalacji przez Homebrew (popularny instalator programów na Macu) kanał wybiera nazwa paczki: claude-code to stable, a claude-code@latest to najnowsze wydania.
• Zaktualizuj jeszcze raz po poprawce: dopiero zapowiadana wersja usuwa adres z kontekstu modelu, więc blokada jest rozwiązaniem tylko na kilka dni.
• Nie wyłączaj moda: cc-plugin-privacy jest włączony domyślnie, a wyłączyć go można przez /plugins. Nie zrobią tego ustawienia zapisane w projekcie, więc cudzy kod pobrany z GitHuba nie zdejmie Ci blokady.
• Dopisz zasadę do CLAUDE.md (pliku ze stałymi instrukcjami dla Claude Code): na przykład „Nigdy nie wpisuj adresu e-mail mojego konta do poleceń, nagłówków, plików ani commitów”. To tylko prośba do modelu, nie zabezpieczenie, ale do czasu poprawki zmniejsza ryzyko. Więcej o tym pliku w pierwszych krokach z Claude Code.
• Przejrzyj swoje commity: w wątku #81138 kilka osób opisało przypadki, w których agent podpisał zmiany adresem konta Claude zamiast adresu z Gita. Jeśli publikujesz kod na GitHubie, sprawdź swoje.
• Zastanów się nad adresem konta: według centrum pomocy Claude adresu przypisanego do konta nie da się zmienić. Praca na innym adresie, na przykład aliasie, oznacza więc nowe konto, a przy płatnym planie także anulowanie starego.

Czego jeszcze nie wiadomo

• Skala: Anthropic nie podał, jak często model wpisywał adres w nagłówki, u ilu osób do tego doszło ani do jakich stron trafiały te zapytania.
• Termin poprawki: Anthropic nie podał numeru wersji ani dnia wydania.

To kolejna sprawa dotycząca bezpieczeństwa Claude Code po rozszerzeniu z backdoorem w sklepie Cursora i ukrytym kodzie usuniętym w lipcu. Tym razem to nie atak, tylko zachowanie samego modelu, więc najprostszą obroną jest aktualizacja.